MFA verplichten voor je team

Je kunt multifactorauthenticatie (MFA) verplichten voor alle leden van een team, of voor elk lid van je organisatie. Wanneer je de verplichting inschakelt, kies je hoe streng deze wordt toegepast: een blijvende banner die leden eraan herinnert MFA in te stellen, of een volledige buitensluiting zodra een respijtperiode van 14 dagen is verstreken.

Waar je MFA verplicht

MFA-verplichting is op twee niveaus beschikbaar:

Niveau	Waar	Wie het kan wijzigen
Team	Team Settings > General, onder MFA enforcement	Teameditors en organisatiebeheerders
Organisatie	Organization Settings > Security, schakelaar Require MFA for all members	Organisatiebeheerders

Verplichting op organisatieniveau overschrijft de teamschakelaar. Wanneer je organisatie MFA verplicht, staat de teamschakelaar vergrendeld aan en toont deze de tooltip “MFA is enforced at the organization level. Team-level settings cannot override this.”

MFA-verplichting inschakelen voor een team

1. Open teaminstellingen of navigeer naar Team Settings > General
2. Zet onder MFA enforcement de schakelaar aan
3. Kies in het dialoogvenster Enable MFA enforcement? voor Banner of Lockout
4. Klik op Enable

Iedereen met rechten om het team te beheren kan deze instelling wijzigen, dus zowel teameditors als organisatiebeheerders. Teamviewers zien de schakelaar wel, maar kunnen deze niet wijzigen.

MFA-verplichting inschakelen voor de hele organisatie

1. Open organisatie-instellingen of navigeer naar Organization Settings > Security
2. Zet Require MFA for all members aan
3. Kies in het dialoogvenster Enable MFA Enforcement? voor Persistent banner of Full lockout
4. Klik op Enable

Alleen organisatiebeheerders zien het tabblad Security. Na het inschakelen toont de pagina de actieve modus als badge, plus het aantal resterende dagen van de respijtperiode.

Verplichtingsmodi

Beide niveaus bieden dezelfde twee modi, aangeduid als Banner / Lockout op de teamschakelaar en als Persistent banner / Full lockout op de organisatiepagina.

Banner

Leden zonder MFA zien een blijvende banner bovenaan het dashboard die hen vraagt MFA in te stellen. Ze kunnen alle functies blijven gebruiken zolang de banner zichtbaar is. Gebruik deze modus om de invoering aan te moedigen zonder het werk van je team te verstoren.

Lockout

Leden zonder MFA zien tijdens de respijtperiode dezelfde banner. Zodra de respijtperiode is verstreken, worden ze buitengesloten van het dashboard totdat ze MFA hebben ingesteld. Gebruik deze modus wanneer je beveiligingsbeleid MFA vereist en je een harde deadline nodig hebt.

Om van modus te wisselen, zet je de verplichting uit en weer aan en kies je de andere modus in het dialoogvenster.

De respijtperiode van 14 dagen

Elk lid krijgt 14 dagen om MFA in te stellen voordat de buitensluiting ingaat. De respijtperiode start op de laatste van deze twee datums: de datum waarop de verplichting is ingeschakeld, of de datum waarop het lid bij het team of de organisatie kwam. Een lid dat wordt uitgenodigd nadat de verplichting is ingeschakeld, krijgt zijn eigen 14 dagen vanaf de dag dat het lid toetreedt.

Tijdens de respijtperiode zien leden altijd de banner, ongeacht de gekozen modus. Daarna geldt de geconfigureerde modus. Valt een lid onder meer dan één verplichting (bijvoorbeeld zowel de organisatie als een team), dan gelden de strengste modus en de vroegste deadline.

Wat er gebeurt wanneer MFA verplicht is

• Leden die MFA al hebben ingeschakeld, kunnen normaal inloggen, ongeacht de modus
• Leden zonder MFA zien een banner die hen vraagt MFA in te stellen
• In de lockout-modus worden leden die aan het einde van hun respijtperiode geen MFA hebben ingesteld, buitengesloten totdat ze de instelling voltooien
• De verplichting uitzetten gaat direct in en wist de respijtperiode

Alle wijzigingen in de verplichting worden vastgelegd in de audit logs.

Ondersteunde MFA-methoden

Beide MFA-methoden werken met verplichting:

• Authenticator-apps - Authy, Google Authenticator, 1Password en andere TOTP-apps
• Hardware-beveiligingssleutels - YubiKeys en andere FIDO2-apparaten

Teamleden kunnen tijdens het instellen een van beide methoden kiezen. Voor stapsgewijze instructies, zie MFA instellen.

Best practices

• Geef je team eerst een seintje. Deel de MFA-instelgids voordat je de verplichting inschakelt, zodat mensen MFA op hun eigen tijd kunnen instellen.
• Begin met de banner. Draai een paar weken in bannermodus en schakel over naar lockout zodra de meeste leden de instelling hebben voltooid.
• Beveel back-upmethoden aan. Het gebruik van zowel een authenticator-app als een hardwaresleutel voorkomt buitensluiting als een methode niet beschikbaar is.
• Controleer de audit logs. Gebruik na het inschakelen van de verplichting de audit logs om te bevestigen dat leden de instelling voltooien.