Belangrijkste punten
- Dwing MFA af op elk beheerdersaccount, inclusief integratie- en API-gebruikers, om ongeautoriseerde toegang te blokkeren en phishing of credential stuffing te voorkomen.
- Gebruik sterke app-gebaseerde authenticatietools zoals Salesforce Authenticator, Microsoft Authenticator of Google Authenticator of fysieke beveiligingssleutels (FIDO2/U2F).
- Schakel zwakkere MFA-opties zoals sms-gebaseerde MFA uit.
- Stel voorwaardelijke of adaptieve MFA-beleidsregels in (via Salesforce of uw IdP) die alleen bij risicovolle omstandigheden worden geactiveerd. Zo verhoogt u de bescherming zonder MFA-moeheid te veroorzaken.
- Train beheerders regelmatig zodat zij phishingpogingen herkennen, weerstand bieden aan MFA-moeheidsaanvallen en de beste praktijken volgen bij het goedkeuren van legitieme authenticatieverzoeken.
- Controleer en monitor MFA-logboeken via Salesforce en uw IdP om compliance te verifiëren, omzeilingspogingen te detecteren en neem deze controles op in uw kwartaalevaluaties van de beveiliging.
Salesforce staat centraal in de bedrijfsvoering van veel SMB’s en bevat gevoelige klant- en bedrijfsgegevens. Omdat Salesforce-beheerders toegang en configuraties bepalen, zijn hun accounts vaak een geliefd doelwit voor phishing en credential stuffing.
Daarom is het cruciaal om Salesforce MFA te activeren voor uw beheerdersgebruikers. Zo blijven uw gegevens beschermd tegen datalekken en kwaadwillenden.
Zo versterkt u de MFA-compliance van beheerders
Vereisten:
- U hebt toegang nodig tot een Salesforce-beheerdersaccount.
- U moet beschikken over Salesforce-licenties die MFA ondersteunen (inbegrepen in de meeste edities).
- U moet offboarding- en onboardingbeleid hebben vastgelegd voor Salesforce-gebruikers.
Let op: optioneel kunt u een externe IdP (Okta, Microsoft Entra ID, Google) gebruiken voor centraal MFA-beleid.
Stap 1: dwing MFA af voor alle beheerdersrollen
U moet MFA verplicht stellen voor elk beheerdersaccount. Neem waar mogelijk ook integratieaccounts hierin mee. U kunt hiervoor de ingebouwde MFA-opties in Salesforce gebruiken, zoals authenticator-apps of U2F-sleutels.
Iedere persoon moet daarnaast een eigen inlogaccount hebben. Vermijd gedeelde logins zoveel mogelijk en sta deze bij voorkeur niet toe.
Stap 2: versterk de authenticatiefactoren
App-gebaseerde authenticators (Microsoft Authenticator, Google Authenticator, Salesforce Authenticator) zijn de voorkeursmethode. Gebruik ze waar dat kan. Schakel daarnaast zwakkere authenticatiemethoden uit, zoals sms-codes, om datalekken te voorkomen.
In omgevingen met hoge beveiligingseisen kunt u ook fysieke beveiligingssleutels inzetten. Dit zijn kleine, fysieke apparaten die een extra authenticatielaag toevoegen en het lastiger maken om door uw beveiliging heen te breken. Bevoegde medewerkers moeten de sleutel fysiek insteken of tegen een NFC-compatibel device houden om toegang te krijgen tot ondersteunde accounts en services, iets wat kwaadwillenden een stuk moeilijker voor elkaar krijgen.
Stap 3: stel voorwaardelijk MFA-beleid in (via Salesforce of uw IdP)
Niet elke situatie is hetzelfde. Soms is er meer beveiliging nodig dan anders. Wanneer beheerders inloggen vanaf een nieuw device of vanaf een onbekende locatie of regio, is het verstandig om strengere MFA-regels af te dwingen. Zo voorkomt u dat kwaadwillenden inloggen met gestolen of gehackte referenties.
Hanteer in dat verband adaptief MFA-beleid in plaats van overdreven restrictieve regels. Mensen raken geïrriteerd als ze telkens opnieuw moeten inloggen op hun devices. Zorg er daarom voor dat MFA alleen wordt geactiveerd wanneer dat echt nodig is in plaats van gebruikers voortdurend om bevestiging te vragen.
Stap 4: bied beheerderstraining die past bij een SMB
Natuurlijk moeten de beheerders zelf ook hun steentje bijdragen aan de beveiliging van hun accounts. Organiseer daarom trainingssessies voor de Salesforce-beheerders, zodat zij phishingpogingen en MFA-moeheid eenvoudig herkennen. Beheerders moeten ook weten wat ze moeten doen bij verdachte activiteit en hoe ze dit melden bij de IT-beheerders.
Leg in deze sessies de nadruk op oplettendheid: gebruikers horen bijvoorbeeld nooit een onverwacht MFA-verzoek goed te keuren. Maak daarnaast korte naslaggidsen of knowledge base-artikelen voor het oplossen van MFA-problemen, zodat iedereen snel kan terugvinden wat er van hen wordt verwacht.
Zet de stappen voor onboarding en offboarding van beheerders om in gedocumenteerde, herhaalbare SOP’s.
Stap 5: monitor en evalueer de handhaving van MFA
Om te controleren of beheerders uw MFA-eisen naleven, moet u de MFA-logboeken in Salesforce regelmatig auditen. Controleer of bij alle beheerdersaccounts MFA is geactiveerd. Is dat bij een account niet zo, pak dit dan direct op met de betreffende beheerder en zorg dat MFA alsnog wordt ingeschakeld.
Neem deze MFA-controles op in uw kwartaalevaluaties van de beveiliging. Zo valt er niets tussen wal en schip en krijgen kwaadwillenden geen gemakkelijke kans om door uw verdediging te breken en bij de gegevens van uw organisatie te komen.
Stap 6: verificatie
Controleer of alle Salesforce-beheerders verplicht MFA gebruiken bij het inloggen. Bekijk de auditlogboeken op pogingen waarbij MFA is omzeild of niet is afgedwongen. Vindt u accounts die niet voldoen, neem dan direct contact op met de gebruiker en zorg dat MFA zo snel mogelijk wordt geactiveerd.
Bevestig dat beheerders goedgekeurde MFA-methoden gebruiken (apps of sleutels, geen sms). Gebruikt u fysieke sleutels, houd dan bij waar die sleutels zijn en geef ze alleen aan betrouwbare personen.
Aanvullende aandachtspunten bij het afdwingen van MFA-compliance bij uw Salesforce-beheerders
- Sommige apps die met Salesforce zijn verbonden ondersteunen mogelijk geen MFA. Gebruik in die gevallen integratiegebruikers met beperkte rechten en token-gebaseerde authenticatie.
- Het afdwingen van MFA maakt meestal deel uit van de compliance-eisen voor SMB’s, met name voor HIPAA, PCI DSS en GDPR.
- Standaardiseer de handhaving van MFA bij alle Salesforce-klanten die de MSP beheert.
Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Hoe pakt u ze aan? |
| Beheerders omzeilen MFA via verouderde apps | Verouderde apps zijn mogelijk minder veilig en door MFA te omzeilen kunnen kwaadwillenden bij uw servicegegevens komen. | U moet integraties beperken of upgraden. Beheerders mogen hun accounts alleen benaderen via bijgewerkte en goedgekeurde apps. |
| Klachten over MFA-moeheid | Gebruikers zijn minder geneigd MFA te gebruiken en gaan mogelijk op zoek naar manieren om het te omzeilen. | Optimaliseer de regels voor voorwaardelijke toegang en beperk onnodige verzoeken. |
| Verlies van een fysieke token | Zonder de fysieke token krijgt u geen toegang meer tot belangrijke gegevens. | Houd reservemethoden beschikbaar onder toezicht van een beheerder. |
Centraliseer uw MFA-beleid en configureer single sign-on in NinjaOne.
NinjaOne®-integraties voor het afdwingen van MFA-beleid
- Documentatie: bewaar de SOP’s voor MFA-handhaving voor Salesforce-beheerders in NinjaOne Documentationn®.
- Automatisering: activeer offboardingtaken om beheerdersaccounts te verwijderen en MFA opnieuw toe te wijzen.
- Monitoring: gebruik NinjaOne®–notificaties om authenticatieproblemen bij al uw klanten te volgen.
- Rapportage: neem de handhaving van MFA op in uw QBR’s om de voortgang op het gebied van compliance te laten zien.
Versterk uw beveiliging en bescherm Salesforce-beheerdersaccounts met MFA
Salesforce-beheerders vormen een kritiek risico-oppervlak voor SMB’s. Zij beschikken over belangrijke rechten die gevaarlijk zijn in handen van kwaadwillenden. Door uw MFA-beleid te versterken, beschermt u deze accounts met hoge privileges tegen moderne aanvallen en ondersteunt u tegelijk compliance en het vertrouwen van klanten.
Gerelateerde links:
