MFA verplichten voor je team

Organisatiebeheerders kunnen multifactorauthenticatie (MFA) verplichten voor alle leden van een team. Wanneer je de verplichting inschakelt, kies je hoe streng deze wordt toegepast: een blijvende banner die leden eraan herinnert MFA in te stellen, of een harde afsluiting die hen na 14 dagen buitensluit.

MFA-verplichting inschakelen

1. Open teaminstellingen of navigeer naar Team Settings > Security
2. Zet Require MFA aan
3. Selecteer een verplichtingsmodus (zie hieronder)
4. Bevestig de wijziging

Dit gaat direct in voor alle huidige en toekomstige teamleden.

Verplichtingsmodi

Bij het inschakelen van de MFA-verplichting kies je een van twee modi:

Alleen banner

Leden zonder MFA zien bij elke aanmelding een blijvende banner bovenaan het dashboard die hen vraagt MFA in te stellen. Ze hebben nog steeds toegang tot het dashboard en kunnen alle functies gebruiken zolang de banner actief is. Dit is een goede optie als je de invoering wilt aanmoedigen zonder de werkstroom van je team te verstoren.

Harde afsluiting (14 dagen)

Leden zonder MFA krijgen dezelfde banner, maar na 14 dagen worden ze volledig buitengesloten van het dashboard. Bij hun volgende aanmelding na de afsluiting moeten ze MFA instellen voordat ze ergens toegang toe krijgen. Gebruik deze modus wanneer je beveiligingsbeleid MFA vereist en je een harde deadline nodig hebt.

Je kunt op elk moment schakelen tussen modi via Team Settings > Security. Overschakelen naar de harde afsluiting start het venster van 14 dagen vanaf de datum waarop je het inschakelt, niet vanaf het moment waarop het lid voor het eerst werd geïnformeerd.

Wat er gebeurt wanneer MFA verplicht is

• Leden die MFA al hebben ingeschakeld, kunnen normaal inloggen, ongeacht de modus
• Leden zonder MFA zien een banner die hen vraagt MFA in te stellen
• In de modus met harde afsluiting worden leden die na 14 dagen geen MFA hebben ingesteld, buitengesloten totdat ze de instelling voltooien
• Nieuwe leden die worden uitgenodigd nadat de verplichting is ingeschakeld, vallen onder dezelfde modus en tijdlijn

Alle wijzigingen in de verplichting worden vastgelegd in de audit logs.

Ondersteunde MFA-methoden

Beide MFA-methoden werken met verplichting:

• Authenticator-apps - Authy, Google Authenticator, 1Password en andere TOTP-apps
• Hardware-beveiligingssleutels - YubiKeys en andere FIDO2-apparaten

Teamleden kunnen tijdens het instellen een van beide methoden kiezen. Voor stapsgewijze instructies, zie MFA instellen.

Best practices

• Geef je team eerst een seintje. Deel de MFA-instelgids voordat je de verplichting inschakelt, zodat mensen MFA op hun eigen tijd kunnen instellen.
• Beveel back-upmethoden aan. Het gebruik van zowel een authenticator-app als een hardwaresleutel voorkomt buitensluiting als een methode niet beschikbaar is.
• Controleer de audit logs. Gebruik na het inschakelen van de verplichting de audit logs om te bevestigen dat leden de instelling voltooien.