CA SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) обеспечить многофакторную аутентификацию для всех учетных записей, способных непосредственно вызывать выдачу сертификатов.