Geen lijst van vijftig instellingen. Gewoon de paar dingen die er het meest toe doen, en hoe je kunt zien hoe het er bij jou voor staat.
[list] In het kort
- Microsoft 365 is deels veilig geleverd, maar of dat bij jou nog zo staat, weet je pas als je het nakijkt.
- Begin met vier dingen: tweestapsverificatie voor iedereen, oude inlogmethodes blokkeren, weinig en goed beveiligde beheerdersaccounts, en wachtwoorden die niet verplicht verlopen.
- Als beheerder zie je zelf wat er is ingesteld, onder andere in het Microsoft Entra-beheercentrum en in Microsoft Secure Score.
- Eigen regels maken kan, maar een verkeerde regel kan jezelf buitensluiten. Test eerst, zet dan pas aan.
- Laat het nalopen als er iets verandert in je bedrijf, en daarnaast met enige regelmaat.
"Staat dat bij ons wel goed ingesteld?" Die vraag krijgen we vaak, en meestal is het antwoord: een deel wel, een deel niet. Hier lees je waar je begint.
[question] Is Microsoft 365 niet gewoon veilig zoals het is geleverd?
Deels. Bij nieuwe omgevingen staan normaal gesproken de zogeheten "security defaults" aan. Dat betekent volgens Microsoft dat alle gebruikers tweestapsverificatie moeten instellen, dat beheerders die altijd moeten gebruiken, en dat oude inlogmethodes worden geblokkeerd.
Dat is een goed begin, maar het geldt niet voor elke omgeving. Een omgeving die van voor 2019 is, kan het anders hebben. Iemand kan het hebben uitgezet, bijvoorbeeld omdat een oud programma niet meer werkte. En wie eigen regels heeft ingesteld (Conditional Access), heeft security defaults niet meer aan. Hoe het bij jou staat, hangt dus af van wanneer en door wie je omgeving is ingericht.
Zoals geleverd is een begin. Of het nog zo staat, zie je alleen als je kijkt.
[key] Welke instellingen zijn het belangrijkst om als eerste na te lopen?
Vier dingen, in deze volgorde:
- Tweestapsverificatie voor iedereen. Een gestolen wachtwoord is dan niet genoeg om binnen te komen. Hoe dat samenhangt met je wachtwoordbeleid, lees je in "Wat is het beste wachtwoordbeleid voor een mkb-bedrijf?".
- Oude inlogmethodes blokkeren. Oudere programma's en mailprotocollen (zoals POP3 en IMAP) kunnen geen tweestapsverificatie. Een aanvaller kan daardoor je MFA omzeilen. Microsoft schrijft op basis van eigen analyse dat het overgrote deel van de wachtwoordaanvallen via deze oude methodes loopt. Let op: ook oudere apparaten, zoals een scanner die mail verstuurt, kunnen zulke methodes gebruiken. Kijk dat eerst na, anders houdt je scan-naar-mail ineens op.
- Beheerdersaccounts beperken en beveiligen. Microsoft adviseert zo min mogelijk beheerders met volledige rechten. Daarnaast adviseert Microsoft een apart account voor beheerwerk, dus niet het account waarmee je mailt, en twee noodaccounts die niet aan een persoon zijn gekoppeld.
- Wachtwoorden niet verplicht laten verlopen. Microsoft adviseert dit voor accounts die alleen in de cloud staan, mits je tweestapsverificatie gebruikt.
[cog] Waar zie ik als beheerder wat er nu is ingesteld?
Op twee plekken, en je hebt er een beheerdersrol voor nodig.
Of security defaults aan staan, zie je in het Microsoft Entra-beheercentrum: Entra ID, dan Overview, dan Properties. Daar staat een kopje "Security defaults". Staat daar dat je eigen Conditional Access-regels hebt, dan zijn die het die je omgeving beveiligen.
Een breder beeld geeft Microsoft Secure Score, in het Defender-portaal. Het laat per onderdeel zien welke aanbevolen acties er zijn en wat je al hebt gedaan. Microsoft zegt er zelf bij dat niet elke aanbeveling bij elke omgeving past. Een lage score is dus geen oordeel, en een hoge score geen garantie.
[warning] Moet tweestapsverificatie voor iedereen aan, zonder uitzondering?
Voor mensen: ja. Wij werken niet zonder tweestapsverificatie. Een wachtwoord alleen is te weinig.
Eén uitzondering volgt uit Microsoft's eigen advies: de noodaccounts. Die zijn bedoeld voor het geval alle beheerders buitengesloten raken, en worden daarom bewust niet aan tweestapsverificatie gekoppeld. Dat is een bewuste keuze, geen gat.
[factory] Kunnen mensen met gedeelde accounts of werkplekken op de vloer wel veilig werken?
Dat is lastiger. Bij een gedeeld account weet je niet wie wat heeft gedaan, en tweestapsverificatie werkt per persoon. Een eigen account per medewerker is daarom de veiligere route. Voor een werkplek waar meerdere mensen aan werken, hangt de beste oplossing af van hoe het werk is ingericht. Dat bespreek je per situatie, niet in een algemene regel.
[clock] Hoe vaak moet ik dit laten nalopen?
Er is geen vaste regel. Een gangbare aanpak: bij elke grote verandering in je bedrijf (veel nieuwe mensen, nieuwe apparatuur of programma's, een incident), en daarnaast met enige regelmaat, bijvoorbeeld één keer per jaar.
[handshake] Kan ik dit zelf, of moet mijn IT-partner dit doen?
Kijken wat er nu staat kun je met een beheerdersrol zelf. Wil je eigen regels maken, bijvoorbeeld "tweestapsverificatie, behalve op kantoor", dan heb je een licentie nodig die Conditional Access bevat. Dat is minstens Microsoft Entra ID P1. Welke pakketten dat omvatten, lees je in "Welk Microsoft 365-pakket past bij jouw bedrijf?".
Eén ding om te weten voor je begint: een verkeerde regel kan jezelf buitensluiten. Microsoft adviseert daarom om een nieuwe regel eerst in rapportagemodus te zetten. Je ziet dan wat de regel zou doen, zonder dat het al gebeurt. Wil je dit niet zelf uitzoeken, dan nemen wij het graag over. Zie Systeembeheer.
[clock] Tot slot
Microsoft 365 is deels veilig geleverd, maar je weet pas hoe het bij jou staat als je het bekijkt. Begin met tweestapsverificatie voor iedereen, blokkeer oude inlogmethodes, beperk je beheerdersaccounts en laat wachtwoorden niet onnodig verlopen. Kijk daarna op welke plekken je zelf kunt zien wat er is ingesteld.
Bel gerust als je wilt dat we meekijken. Een kwartier, zonder verplichting.
Wil je weten hoe jouw omgeving ervoor staat?
Wil je eerst weten waar jullie nu staan?
Bronnen
- Standaardinstellingen voor beveiliging in Microsoft Entra ID
- Verouderde verificatie blokkeren met voorwaardelijke toegang
- Informatie over beheerdersrollen in het Microsoft 365-beheercentrum
- Aanbevelingen voor wachtwoordbeleid
- Microsoft-beveiligingsscore
Welke Microsoft 365-instellingen pas je het eerst aan?