二要素認証を必須にする

パスワードはフィッシングされますが、電話に表示される 6 桁のコードは、たいていそれと一緒には盗まれません。数分で、組織へのすべてのサインインに両方が必要になります。

ここでの二要素認証は TOTP、標準的な認証アプリのコードです。どの認証アプリでも動きます。1Password、Google Authenticator、Authy、パスワードマネージャー内蔵のもの。

1. まず自分で登録する

全員に必須にする前に、自分のアカウントで設定してください。これから必須にしようとしている道を、自分で歩いておきたいはずです。

アカウント設定で二要素認証のセクションを開き、登録を始めます。QR コードが表示されるので、認証アプリでスキャンし（またはシークレットを手で入力し）、アプリが最初に表示するコードで確認します。シークレットが表示されるのは登録時の 1 回だけで、あとから読み返す方法はありません。

リカバリーコードも受け取ります。電話をなくしたときに電話の代わりになる、1 回限りのコードです。秘密そのものとして保管してください。付箋ではなく、パスワードマネージャーに。

Owner として管理 → 認証を開き、ポリシーを二要素認証必須に設定します。その瞬間から、組織へのすべてのサインインにパスワードとコードが必要になります。

チームメイトが体験すること：

誰が登録済みかは一目で分かります。管理 → ユーザーに 2FA の列があります。

組織をまたいで、もっとも厳しい設定が勝ちます。ある人が複数の FortressFlag 組織に属していて、そのうちどれか 1 つでも 2FA を必須にしていれば、その人はどこでも 2FA でサインインします。あなたのポリシーは、共有しているチームメイトの別の組織での基準を引き上げることがあります。これは実際のコストであり、私たちから聞いてほしいことです。
電話をなくしたら再登録です。リカバリーコードで中に入り、再登録すると新しいシークレットが発行されます。古いシークレットを読み返すサポート経路はありません。それは機能です。