Inlogbeleid voor je organisatie
Bijgewerkt:
Tweestapsverificatie, passkeys, inlogmethoden, IP- en landenbeperking en sessieregels op Team & beveiliging.
In dit artikel
Onder Instellingen → Team & beveiliging (/dashboard/settings/team), sectie Beveiliging & SSO, bepaal je als beheerder hoe teamleden inloggen. Het beleid geldt voor iedereen met dit bedrijf als thuisbedrijf.
Stappen
- Verplicht een tweede factor: Tweestapsverificatie verplichten voor iedereen, of onder Of alleen verplicht voor: voor Beheerders, Fiatteurs en/of Accountants. Een passkey verplicht je met Passkey verplicht voor alle gebruikers of per rol; dan geldt een overgangsfase van 14 dagen en heb je zelf eerst een passkey nodig.
- Kies onder Inlogmethoden welke methoden aan blijven: E-mail + wachtwoord, E-mailcode, Microsoft, Google en Passkey/Face ID + pincode. Minstens één moet aan blijven, tenzij SAML-SSO is ingericht — zie SSO en SCIM.
- Beperk waar vandaan ingelogd mag worden met Inloggen alleen toestaan vanuit (landcodes, bijv. NL, BE) en Inloggen alleen toestaan vanaf deze IP-adressen (één adres of bereik per regel, bijv. je kantoor of VPN). Daarbuiten opent het dashboard niet, ook niet met een geldig wachtwoord en tweede factor. Fiatto waarschuwt als je jezelf zou buitensluiten.
- Stel de sessieregels in: Uitloggen na inactiviteit (15 minuten tot 8 uur, plus een kortere termijn voor gevoelige rollen), Maximaal aantal apparaten per lid (1 tot en met 20; bij één te veel vervalt de oudste sessie), Apparaat onthouden bij 2FA (uit, 7, 14 of 30 dagen), Inactieve accounts opschorten (na 60, 90, 180 of 365 dagen zonder login) en Sessiekaping herkennen. Sla op.
Tips
- Aanscherpen gaat meteen in. Een afzwakking (iets uitzetten, ruimer maken of een termijn verlengen) gaat pas na 24 uur in: alle beheerders krijgen een mail en zien de melding Wachtende afzwakking van het inlogbeleid met de knop Tegenhouden.
- Bij Sessiekaping herkennen moet een lid wiens sessie ineens vanuit een ander land of op een ander soort apparaat wordt gebruikt, binnen vijftien minuten bevestigen met passkey, e-mailcode of authenticator-app; anders wordt de sessie beëindigd.
- Opschorten slaat beheerders en via SCIM beheerde leden over; het lid krijgt zeven dagen vooraf een waarschuwing en jij een overzicht.
- Met Wekelijks beveiligingsoverzicht per mail krijgen beheerders op maandag een samenvatting. Wie nog geen tweede factor heeft, zie je in het beveiligingsoverzicht.