Многофакторная аутентификация
Требование использовать несколько факторов аутентификации для доступа.
Тема Многофакторная аутентификация определена результатом NIST CSF 2.0: PR.AA-03 (Users, services, and hardware are authenticated). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CMMC, 800-53 и NIS2. Редакционные материалы Сопоставлено редакторски в CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA и Cyber Essentials. Только косвенная связь в HIPAA. Нет сопоставления в наших данных В наших данных нет сопоставления для GDPR и CPS 234.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | Определение темы | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | Соответствия | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | Редакционные материалы | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | Редакционные материалы | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | Редакционные материалы | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | Соответствия | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | Соответствия | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.AA-03) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| GDPR | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование GDPR не сопоставлено с этой темой. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | Соответствия | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | Редакционные материалы | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | Редакционные материалы | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CPS 234 не сопоставлено с этой темой. |
| Cyber Essentials | CE 4 | User Access Control | Редакционные материалы | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Многофакторная аутентификация»
Многофакторная аутентификация (MFA) существенно снижает риск компрометации учётных записей, требуя от пользователей предъявить два или более фактора проверки, как правило, сочетая то, что человек знает (пароль), то, чем он владеет (аппаратный токен или мобильное устройство), и то, что он собой представляет (биометрия). MFA сегодня считается базовым требованием безопасности практически во всех стандартах соответствия и особенно важна для привилегированных учётных записей, удалённого доступа и аутентификации в облачных сервисах. Рекомендации NIST (SP 800-63B) и CISA отдают предпочтение устойчивым к фишингу методам, таким как ключи безопасности FIDO2 и passkeys, перед SMS-кодами, которые можно перехватить; Essential Eight требует более надёжных методов на более высоких уровнях зрелости.