Autenticazione a più fattori
Richiedere più fattori di autenticazione per l'accesso.
Autenticazione a più fattori è definito dall'esito PR.AA-03 (Users, services, and hardware are authenticated) di NIST CSF 2.0. Crosswalk Mappato tramite un crosswalk pubblicato in ISO 27001, CMMC, 800-53 e NIS2. Redazione Mappato in modo editoriale in CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA e Cyber Essentials. Solo debolmente correlato in HIPAA. Nessuna mappatura nei nostri dati Nessuna mappatura nei nostri dati per GDPR e CPS 234.
| Framework | Requisito | Titolo | Collegamento | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | Definizione dell'argomento | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | Crosswalk | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | Redazione | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | Redazione | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | Redazione | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | Crosswalk | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | Crosswalk | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (PR.AA-03) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| GDPR | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di GDPR è mappato su questo argomento nei nostri dati. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | Crosswalk | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | Redazione | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | Redazione | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di CPS 234 è mappato su questo argomento nei nostri dati. |
| Cyber Essentials | CE 4 | User Access Control | Redazione | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
Definizione dell'argomento Risultati CSF 2.0 che definiscono questo tema · Crosswalk almeno una scelta supportata da una tabella di corrispondenza pubblicata · Redazione Giudizio di ControlMapping, con la motivazione · non mappato, condivide solo gli esiti CSF di questo argomento · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Metodologia.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Mappatura errata o mancante? Segnalalo
Informazioni su Autenticazione a più fattori
L'autenticazione a più fattori (MFA) riduce in modo significativo il rischio di compromissione degli account, richiedendo agli utenti di presentare due o più fattori di verifica, tipicamente combinando qualcosa che conoscono (password), qualcosa che possiedono (token hardware o dispositivo mobile) e qualcosa che sono (biometria). L'MFA è oggi considerata un requisito di sicurezza di base in praticamente tutti i framework di compliance ed è particolarmente critica per gli account privilegiati, l'accesso remoto e l'autenticazione ai servizi cloud. Le linee guida di NIST (SP 800-63B) e CISA privilegiano metodi resistenti al phishing, come le chiavi di sicurezza FIDO2 e le passkey, rispetto ai codici SMS, che possono essere intercettati; l'Essential Eight richiede metodi più robusti ai livelli di maturità più elevati.