多要素認証
アクセスには複数の認証要素を要求すること。
多要素認証 は NIST CSF 2.0 のアウトカム PR.AA-03 (Users, services, and hardware are authenticated) で定義されています。 対応表 ISO 27001, CMMC, 800-53 および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA および Cyber Essentials において編集上マッピング済み。 HIPAA においては緩やかに関連するのみ。 当サイトのデータにはマッピングがありません 当サイトのデータには GDPR および CPS 234 に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | トピックの定義 | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | 対応表 | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | 編集 | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | 編集 | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | 編集 | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | 対応表 | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | 対応表 | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（PR.AA-03）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| GDPR | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている GDPR の要件はありません。 |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | 対応表 | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | 編集 | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | 編集 | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CPS 234 の要件はありません。 |
| Cyber Essentials | CE 4 | User Access Control | 編集 | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
多要素認証について
多要素認証（MFA）は、利用者に2つ以上の検証要素の提示を求めることで、アカウント侵害のリスクを大幅に low 低減します。通常は、本人だけが知っている情報（パスワード）、本人が所持するもの（ハードウェアトークンやモバイル端末）、本人の身体的特徴（生体認証）のいずれか複数を組み合わせます。MFAは現在、ほぼすべてのコンプライアンスフレームワークにおける基本的なセキュリティ要件とみなされており、特権アカウント、リモートアクセス、クラウドサービスの認証において特に重要です。NIST（SP 800-63B）およびCISAのガイダンスでは、傍受される可能性のあるSMSコードよりも、FIDO2セキュリティキーやパスキーなどのフィッシング耐性のある方式が推奨されています。Essential Eightでは、成熟度レベルが上がるにつれてより強力な方式が求められます。