Implementar la autenticación de múltiples factores para organizaciones de Salesforce

Nombre de control

Aplicación de autenticación de múltiples factores (MFA) para organizaciones de Salesforce

Configuración recomendada

Aplique MFA para todas las rutas de autenticación de usuarios, incluyendo inicios de sesión directos, inicio de sesión único (SSO) y acceso de API.

Descripción general de control

MFA agrega un factor más allá de las contraseñas, reduciendo significativamente el riesgo de compromiso de cuenta. Salesforce admite la aplicación de MFA para inicios de sesión directos, autenticación basada en SSO y acceso de API para proteger usuarios, integraciones y datos confidenciales entre entornos.

Riesgo de seguridad si no está configurado

Sin MFA, las cuentas solo están protegidas por contraseñas, que se pueden robar, adivinar o reutilizar, lo que aumenta significativamente la posibilidad de acceso no autorizado. Esto es especialmente cierto para usuarios privilegiados e integraciones de API.

Escenarios de amenazas

Robo de credenciales basado en phishing, ataques de contraseña de fuerza bruta, credenciales comprometidas reutilizadas entre sistemas, acceso de API no autorizado utilizando credenciales o tokens robados.

Intervalo de puntuación de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones sobre el impacto del riesgo

La gravedad del riesgo depende del método de autenticación, los niveles de privilegios de usuario, la exposición de la organización y si el acceso se produce a través de la interfaz de usuario, SSO o API.

Riesgo más alto cuando

MFA no se aplica para organizaciones de producción, sandbox u organizaciones de desarrollador, cuando las sesiones de proveedor de SSO carecen de MFA o cuando se permite el acceso a API sin requisitos de autenticación adicionales.

Bajo riesgo cuando

• MFA de inicio de sesión directo: MFA está activada para todos los inicios de sesión de usuario directos entre organizaciones de producción, sandbox, prueba y desarrollador.
• Aplicación de MFA de SSO: MFA se aplica en el proveedor de SSO o a través de políticas de autenticación de alta seguridad de Salesforce.
• Protección de API MFA: El permiso MFA para inicios de sesión de API está activado para proteger el acceso basado en API y las aplicaciones cliente.
• Cobertura de usuario privilegiada: MFA se aplica para todos los usuarios administradores y de privilegios altos sin excepción.

Consideraciones comerciales y de integración

Los clientes deben evaluar la compatibilidad de MFA con poblaciones de usuarios, herramientas de automatización e integraciones. Los flujos de trabajo basados en API pueden requerir cuentas de servicio o excepciones basadas en permisos que aún mantienen fuertes controles de seguridad.

Remediación recomendada

Asigne un mandato a MFA para todos los inicios de sesión directos, SSO y acceso de API. Realice auditorías regulares de políticas y garantice la cobertura para usuarios con privilegios.

Directrices de revisión del estado de seguridad

Security Health Review evalúa la aplicación de MFA entre métodos de inicio de sesión, ayudando a los clientes a minimizar los riesgos basados en credenciales y cumplir las líneas base de seguridad de Salesforce y los estándares de Zero Trust.