NewMFA对HIPAA的要求？

Question

一家供应商告诉我，2017年生效的新指南要求对所有承载PHI的系统进行多因素认证。他们说，像白表IP地址这样的东西足以满足这一要求。这只是个卖主想卖给我的东西吗？还是真的有关于这个问题的最新指南？

Answer 1

HIPAA没有明确规定MFA，但由于NIST指南(800-63)的更新，很有理由认为没有MFA的解决方案不足以满足第164.312d节的要求，因此不满足HIPAA的要求是非常合理的。

也就是说，白名单is是一个相当平庸的安全解决方案，绝对不被认为是MFA。