Можно ли заставить 'su' потребовать пароля, даже если названный с sudo?

Так, я недавно защитил свой корневой вход в систему и все sudo запросы с аутентификацией с 2 факторами. Однако я заметил что если пользователь с sudo доступ, который НЕ имеет 2FA, включил, мог легко sudo su и получите полный корневой доступ. В основном я хочу удостовериться, что этого не может произойти, и это все еще попросит пароль root, при попытке su root или sudo su.