Processo di accesso conforme

Collaborare con uno sviluppatore per aggiornare un sistema di accesso tramite un'interfaccia utente Web:

Attualmente, usiamo:

1. Inserisci l'ID di accesso
2. Passa attraverso Challenge / Step-up
3. In base ai risultati: Sfida / Step-up All'utente viene presentata la pagina della password per accedere

Stanno volendo cambiare il flusso in:

1. Inserisci l'ID di accesso
2. All'utente viene immediatamente visualizzata la pagina della password
3. Passa attraverso Challenge / Step-up

Il secondo scenario appare arretrato e vulnerabile agli attacchi.

Ho bisogno di cercare qualcosa che lo confermi dal punto di vista della conformità / normativo.