Non trattare Autenticazione multifattore come acquisto una tantum o casella. Collegalo al risultato — richiede fattori indipendenti affinché una password rubata non sia sufficiente —, assegna responsabilità, misura copertura ed efficacia e aggiornalo quando cambiano minacce, sistemi o requisiti.

CIS Critical Security Controls v8: https://www.cisecurity.org/controls/v8