CatoクライアントでCatoクラウドへ接続する際、MFAを強制することができます。

Access ＞ User Authentication ＞ Authentication Methodタブから、Default MethodをMFAに変更し、SaveすることですべてのモバイルユーザにMFA接続を強制させることができます。
方式は、AuthenticatorアプリもしくはSMSの2種類が設定可能です。

また、特定のユーザのみ認証方式を変更することもできます。
Access ＞ Users から変更したいユーザをクリックし、
User Configuration ＞ Access ＆Authentication で「Override account Authentication settings」にチェックを入れます。
すると、ユーザごとに認証方式を選択できるようになり、Saveすると設定反映されます。