11のセキュリティフレームワークにおけるMFA要件の比較
MFAが重要であることには誰もが同意しますが、フレームワークによって、義務化されている場面、対象となるユーザー、求められる強度の基準は異なります。要件IDとともに比較結果を示します。
本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。
多要素認証は、侵害後に最もよく挙げられる単一の統制策です。「そのアカウントにはMFAがなかった」という形で。また、フレームワーク間で大きく差が出る統制でもあります。特定のユーザーやアクセス経路についてMFAを明示的に挙げるものもあれば、「安全な認証」を求めたうえで方式はリスク評価に委ねるものもあります。まったく言及しないものも1つあります。
誰に何が求められるか
| フレームワーク | 多要素認証 | リンク |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | トピックの定義 |
| ISO 27001 | A.8.5 | 対応表 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | 編集 |
| SOC 2 | CC6.1 | 編集 |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | 編集 |
| CMMC | IA.L2-3.5.3 | 対応表 |
| 800-53 | IA-2(1)IA-2(2) | 対応表 |
| HIPAA | — | |
| GDPR | — | 当サイトのデータにはマッピングがありません |
| NIS2 | 11.611.7 | 対応表 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | 編集 |
各リンクの詳細と根拠： 多要素認証 のフレームワーク横断 →
明示的な要件
- PCI DSS v4.0.1 が最も具体的です。カードホルダーデータ環境へのコンソール以外の管理者アクセスに対するMFA（8.4.1）、カードホルダーデータ環境へのすべてのアクセスに対するMFA（8.4.2）、リモートネットワークアクセスに対するMFA（8.4.3）を定めています。2025年3月31日以降、8.4.2は管理者だけでなくすべてのユーザーに適用されます。8.5.1では、MFAシステム自体の構成に関する要件も追加されており、たとえばリプレイ攻撃やバイパスへの対策が含まれます。
- CMMC Level 2（IA.L2-3.5.3）は、特権アカウントへのローカルおよびネットワークアクセス、ならびに非特権アカウントへのネットワークアクセスに対するMFAを求めています。
- NIST SP 800-53 は、IA-2(1) および IA-2(2) を通じて、特権アカウントおよび非特権アカウントに対するMFAを求めています。
- CIS Controls v8.1 は、外部公開アプリケーション（6.3）、リモートネットワークアクセス（6.4）、管理者アクセス（6.5）に対するMFAを求めています。
- NIS2の実施規則（11.7項）は、アクセスされるシステムの分類に応じて、適切な場合には多要素認証または継続的認証を求めています。指令そのものも、第21条の措置の一つとしてMFAを挙げています。
- Essential Eight はMFAを8つの戦略の一つとしており、成熟度レベルごとに要件が拡張されます。レベル1ではオンラインサービスとリモートアクセス、特権ユーザーとデータリポジトリへと広がり、より高いレベルでは耐フィッシングMFAが求められます。
暗黙的な要件
ISO 27001 は安全な認証（A.8.5）を求めており、ISO/IEC 27002のガイダンスも重要なシステムに対するMFAを指し示しています。ただし、標準では選択をリスク対応に委ねています。SOC 2 にはMFAに関する基準はありません。監査人はこれを論理アクセス（CC6.1）の下で確認し、実際にはリモートアクセスと特権アクセスについて多くの監査人が期待しています。HIPAA の現行セキュリティルールは、人または組織の認証（§164.312(d)）を求めていますが、その方法は規定していません。HHSは2025年1月に、MFAを義務化する案を提示しました。GDPRは、リスクに見合ったセキュリティを求めていますが、特定の統制策は挙げていません。
フレームワークの今後の方向性：フィッシング耐性
方向性は明確です。NISTのデジタルアイデンティティガイドライン（SP 800-63B）やCISAは、SMSやアプリで送られるワンタイムコードよりも、FIDO2セキュリティキーやパスキーなどの耐フィッシング認証器を推奨しています。Essential Eightも、より高い成熟度レベルにフィッシング耐性を組み込んでいます。今MFA方式を選定するなら、直面しうる最も厳格なフレームワークを前提に設計してください。まず管理者とリモートアクセスに耐フィッシングMFAを適用し、その後全ユーザーに広げるのが基本です。
主なポイント
- PCI DSS、CMMC、SP 800-53、CIS、NIS2、Essential Eightは、MFAを明示的に挙げています。
- ISO 27001とSOC 2はMFAを暗示しています。HIPAAは近いうちに義務化する可能性があります。
- 今から耐フィッシングMFAを前提に設計し、管理者とリモートアクセスから始めてください。
実践的なベースライン
- リモートアクセスはすべてMFA：VPN、リモートデスクトップ、クラウドコンソール、メール、外部公開されたすべてのアプリケーション。
- 特権操作はすべてMFA：CMMCが適用される場合はローカル管理者アクセスを含みます。
- 機密データにアクセスできる全員にMFA（PCIの「CDEへのすべてのアクセス」）。
- 管理者には今すぐ耐フィッシング方式を適用し、可能になり次第すべてのユーザーに広げてください。
- MFAイベントをログに記録し、失敗と新規登録についてアラートを出してください。
多要素認証トピックページには、すべての要件IDとその出典が掲載されており、ギャップ分析では、現在のフレームワークのMFA要件と次に必要なフレームワークのMFA要件を比較できます。
よくある質問
どのフレームワークがMFAを明示的に求めていますか？
PCI DSS v4.0.1（8.4.1～8.4.3）、CMMC Level 2（IA.L2-3.5.3）、SP 800-53（IA-2(1)およびIA-2(2)）、CIS Controls（6.3～6.5）、NIS2の実施規則（11.7）、Essential Eight。ISO 27001とSOC 2は、MFAという語を使わずに安全な認証を求めています。
HIPAAはMFAを求めていますか？
現行のセキュリティルールは、MFAを特に求めるものではなく、人または組織の認証を求めています。HHSは2025年1月に、MFAを義務化する案を提示しました。この案が確定したかどうかは確認してください。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。