Autenticação multifator
Exigir múltiplos fatores de autenticação para o acesso.
Autenticação multifator é definido pelo resultado do NIST CSF 2.0 PR.AA-03 (Users, services, and hardware are authenticated). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, CMMC, 800-53 e NIS2. Editorial Mapeado editorialmente em CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA e Cyber Essentials. Apenas vagamente relacionado em HIPAA. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para GDPR e CPS 234.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | Definição do tópico | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | Correspondência | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | Editorial | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | Editorial | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | Editorial | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | Correspondência | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | Correspondência | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | Não mapeado para este tema | Esses requisitos compartilham apenas os resultados do CSF deste tópico (PR.AA-03) por meio de crosswalks publicados: vale verificar, mas não é um mapeamento. | |
| GDPR | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de GDPR está mapeado para este tema em nossos dados. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | Correspondência | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | Editorial | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de CPS 234 está mapeado para este tema em nossos dados. |
| Cyber Essentials | CE 4 | User Access Control | Editorial | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Autenticação multifator
A autenticação multifator (MFA) reduz significativamente o risco de comprometimento de contas ao exigir que os usuários apresentem dois ou mais fatores de verificação, normalmente combinando algo que eles sabem (senha), algo que eles possuem (token de hardware ou dispositivo móvel) e algo que eles são (biometria). A MFA é hoje considerada um requisito básico de segurança em praticamente todos os frameworks de conformidade e é especialmente crítica para contas privilegiadas, acesso remoto e autenticação em serviços de nuvem. As orientações do NIST (SP 800-63B) e da CISA privilegiam métodos resistentes a phishing, como chaves de segurança FIDO2 e passkeys, em detrimento de códigos por SMS, que podem ser interceptados; o Essential Eight exige métodos mais robustos em níveis de maturidade mais elevados.