Configuration des méthodes de vérification par MFA disponibles pour les utilisateurs des organisations Salesforce

Nom du contrôle

Configuration des méthodes de vérification par authentification multifacteur (MFA)

Configuration recommandée

Activez les méthodes de vérification MFA résistantes à l'hameçonnage, en priorisant les authentificateurs intégrés, les clés de sécurité matérielles et l'authentification basée sur le certificat.

Vue d'ensemble du contrôle

Salesforce prend en charge plusieurs méthodes de vérification par MFA pour permettre aux utilisateurs de vérifier leur identité lors de la connexion ou de l'activation de l'appareil. Ces méthodes vont des authentificateurs résistants à l'hameçonnage, tels que les clés biométriques et de sécurité matérielle, aux méthodes plus faibles telles que les codes secrets basés sur SMS. La sélection de méthodes de vérification efficaces réduit considérablement le risque de vol d'identifiants et d'attaques d'ingénierie sociale.

Risque de sécurité s'il n'est pas configuré

Si les méthodes de vérification par MFA puissantes ne sont pas activées, les utilisateurs peuvent s'appuyer sur des options plus faibles ou moins résistantes à l'hameçonnage. Cela augmente la vulnérabilité à l'hameçonnage, à la relecture d'identifiants, à l'échange de cartes SIM et aux attaques d'ingénierie sociale qui peuvent entraîner un accès non autorisé.

Scénarios de menace

Attaques par hameçonnage capturant des codes secrets à usage unique, attaques par échange de carte SIM ciblant la MFA par SMS, piratage de session dû à l'absence d'authentification liée à l'origine, usurpation d'identité d'utilisateurs ou de systèmes sans validation de certificat.

Plage de score CVSS estimée

Critique (9,0 à 10,0).

Considérations relatives à l'impact sur le risque

La gravité du risque dépend du type d'utilisateur (interne ou externe), des niveaux de privilège d'accès, de l'exposition des sites Experience Cloud et de la résistance ou non des méthodes d'authentification à l'hameçonnage.

Risque plus élevé quand

Seule la MFA basée sur SMS est disponible, les authentificateurs résistants à l'hameçonnage ne sont pas activés, les clés de sécurité matérielles ne sont pas prises en charge ou l'authentification système à système n'a pas de validation basée sur le certificat.

Risque faible quand

Ce contrôle peut être considéré comme à faible risque lors de la mise en œuvre d'un ou de plusieurs des éléments suivants :

• Authentificateurs intégrés : Les authentificateurs biométriques basés sur l'appareil tels que Touch ID, Face ID ou Windows Hello sont activés.
• Clés de sécurité matérielles : Les clés de sécurité WebAuthn (FIDO2) ou U2F sont prises en charge et adoptées par les utilisateurs.
• Authentification basée sur le certificat : La validation mutuelle des certificats est automatiquement appliquée pour l'authentification sécurisée des utilisateurs ou du système.
• Utilisation limitée des SMS : La MFA par SMS est réservée aux utilisateurs externes et complétée par des garanties supplémentaires si possible.
• Demander la vérification de l'utilisateur pendant la vérification de la MFA : Pendant la vérification par MFA, la vérification de l'utilisateur est configurée pour être automatiquement appliquée.

Considérations relatives à l'entreprise et à l'intégration

Les clients doivent tenir compte de l'expérience utilisateur, de la compatibilité des appareils, des populations d'utilisateurs externes et des exigences réglementaires en sélectionnant des méthodes MFA. Les sites Experience Cloud accessibles en externe peuvent nécessiter l'adoption progressive de méthodes d'authentification renforcées.

Remédiation recommandée

Activez les authentificateurs intégrés et les clés de sécurité matérielles, configurez l'authentification basée sur le certificat si applicable, limitez ou supprimez progressivement la MFA basée sur SMS, et vérifiez régulièrement l'adoption et l'utilisation de la méthode MFA.

Guide d'examen sanitaire de sécurité

Security Health Review évalue les méthodes de vérification par MFA afin d'aider les clients à adopter l'authentification résistante à l'hameçonnage, à réduire les risques d'attaque basés sur l'identité et à s'aligner sur les normes de sécurité recommandées par Salesforce et les principes Zero Trust.