Microsoft 365 beveiligingsinstellingen

Een medewerker klikt op een mail van “de bank” en vult zijn wachtwoord in. Een uur later staat er een doorstuurregel in zijn mailbox. Niemand merkt het, tot een klant een nepfactuur betaalt.

Zo’n aanval komt vaker voor dan je denkt. Vaak had één instelling hem kunnen stoppen. Microsoft 365 heeft veel beveiligingsopties, maar die staan niet altijd op de strengste stand.

Hieronder lees je welke instellingen het verschil maken. We lopen ze langs in de volgorde waarin wij ze in de praktijk oppakken. Zo weet je waar je begint en wat je niet moet laten liggen.

Begin bij inloggen en beheerdersaccounts

Bijna elke aanval begint met een gestolen wachtwoord. Daarom start je bij de inlogbeveiliging, nog voordat je naar je bedrijfsnetwerk en andere lagen kijkt. Zet multifactorauthenticatie (MFA) aan voor alle gebruikers, zonder uitzonderingen. Ook voor de directeur en voor de stagiair.

Kies bij voorkeur voor de Microsoft Authenticator app of een fysieke beveiligingssleutel. Een code per sms is beter dan niets, maar minder veilig. Aanvallers kunnen een telefoonnummer namelijk overnemen.

Let daarna op de beheerdersaccounts. Beperk het aantal globale beheerders tot een handvol mensen. Geef elke beheerder een apart account voor beheer, los van de dagelijkse mailbox.

Een voorbeeld: een ICT medewerker leest zijn mail met hetzelfde account waarmee hij de hele omgeving beheert. Eén phishingmail is dan genoeg om je complete tenant open te zetten. Met een los beheeraccount blijft de schade veel kleiner.

Maak ook twee noodtoegangsaccounts aan. Geef ze een zeer lang wachtwoord en bewaar dat op een veilige plek. Zo kom je nog binnen als een regel of MFA zelf problemen geeft.

Stel regels in met voorwaardelijke toegang

Met voorwaardelijke toegang (Conditional Access) bepaal je onder welke voorwaarden iemand mag inloggen. Je kijkt naar de gebruiker, het apparaat, de locatie en het risico. Dit onderdeel zit in Microsoft 365 Business Premium. Heb je een kleine omgeving zonder die licentie, begin dan met de Security defaults. Die geven een gratis basisniveau.

Begin met een paar duidelijke regels. Deze drie leveren direct veel op:

• Blokkeer oude inlogmethoden (legacy authentication). Die omzeilen MFA volledig.
• Vraag MFA bij elke inlog buiten het kantoornetwerk.
• Blokkeer inloggen vanuit landen waar je nooit werkt.

Een voorbeeld uit de praktijk: een bedrijf met 80 medewerkers ziet elke nacht inlogpogingen uit het buitenland. Zonder landenblokkade hoopt het dat het wachtwoord sterk genoeg is. Met de blokkade komen de pogingen niet eens meer bij de inlogpagina.

Test elke nieuwe regel eerst in de modus “alleen rapporteren”. Zo zie je wie er geraakt wordt voordat het echt ingaat. Wie dit overslaat, sluit soms zichzelf of de hele financiële afdeling buiten. Dat is een klassieke fout, en een vervelende op maandagochtend.

Spreek ook af wat er gebeurt bij uitzonderingen. Een medewerker op vakantie in Spanje heeft tijdelijk toegang nodig. Leg vast wie dat goedkeurt en hoe lang de uitzondering duurt.

Zet je mailbox op slot tegen phishing

Mail blijft de meest gebruikte route voor aanvallers. Zet daarom de beveiligingsopties van Microsoft Defender for Office 365 aan, voor zover je licentie dat toelaat. Twee onderdelen zijn belangrijk. Safe Links controleert een link op het moment dat iemand erop klikt. Safe Attachments opent bijlagen eerst in een afgeschermde omgeving.

Blokkeer daarnaast automatisch doorsturen naar externe adressen. Aanvallers stellen vaak een verborgen doorstuurregel in om stilletjes mee te lezen. Dat gebeurde ook in het voorbeeld aan het begin van dit artikel. Met één instelling in het beleid voor uitgaande spam sluit je deze route af.

Regel ook de beveiliging van je eigen domein met SPF, DKIM en DMARC. Deze drie instellingen laten ontvangers zien welke mail echt van jou komt. Zo kan niemand eenvoudig een mail sturen die lijkt op die van jouw directeur. Zet DMARC eerst op “alleen monitoren”. Kijk een paar weken wie er allemaal namens jou mailt. Daarna zet je het beleid op afwijzen.

Voeg tot slot een duidelijke waarschuwing toe bij mail van buiten de organisatie. Een kleine banner boven het bericht helpt medewerkers alert te blijven. Combineer dit met training. Techniek vangt veel af, maar een oplettende collega vangt de rest.

Beperk wat er naar buiten gedeeld kan worden

Samenwerken is de kracht van Microsoft 365. Maar ruim delen is ook een risico. Controleer in SharePoint en OneDrive wat gebruikers standaard mogen doen. Vaak staat de optie “iedereen met de link” open. Zet die standaard op “specifieke personen”. Stel ook een vervaldatum in voor deellinks.

Een voorbeeld: iemand deelt een offerte met prijzen via een open link. Die link staat jaren later nog in een oude mail. Wie hem vindt, kan het document bekijken. Met een vervaldatum en gerichte uitnodigingen bestaat dit probleem niet.

Kijk ook naar gevoelige gegevens. Met vertrouwelijkheidslabels en regels voor gegevensverlies (DLP) markeer je bijvoorbeeld documenten met bankrekeningnummers of burgerservicenummers. Het systeem waarschuwt dan als iemand zo’n bestand extern wil delen. Welke functies je precies hebt, hangt af van je licentie. Check dat dus eerst.

Houd tot slot een overzicht bij van wie toegang heeft. Rechten groeien in de loop der jaren vanzelf. Medewerkers wisselen van afdeling, projecten eindigen en gasten blijven in de lijst staan. Een halfjaarlijkse opschoning voorkomt veel ellende.

Vergeet apparaten, logging en backup niet

Een veilige omgeving stopt niet bij het account. Ook de laptop of telefoon waarmee iemand inlogt telt mee. Met Microsoft Intune stel je eisen aan apparaten. Denk aan schijfversleuteling, een schermvergrendeling en actuele updates. Een apparaat dat niet voldoet, krijgt geen toegang tot bedrijfsgegevens.

Een voorbeeld: een laptop wordt gestolen uit een auto. Is de schijf versleuteld, dan blijft de data onleesbaar. Is dat niet zo, dan heb je ineens een datalek om te melden. Meer over een veilige inrichting van de werkplek lees je op onze website.

Zet ook de logging aan en bekijk die. De auditlog laat zien wie wat deed en wanneer. De Secure Score in het Microsoft Defender portaal geeft een overzicht van wat nog openstaat. Gebruik die score als checklist, niet als doel op zich.

Denk ook aan backup. Microsoft zorgt dat de dienst draait. Jij blijft verantwoordelijk voor je gegevens. Verwijderde bestanden staan een beperkte tijd in de prullenbak, en daarna zijn ze weg. Daarom vullen wij Microsoft 365 aan met AvePoint voor backup en herstel. Voor het signaleren van verdachte activiteit op werkplekken zetten we Huntress in, met 24/7 menselijke controle. Wil je meer weten over onze aanpak voor beveiliging? Daar vind je het volledige overzicht.

Instellingen blijven aandacht vragen

Beveiligen is geen eenmalig project. Microsoft voegt regelmatig functies toe en wijzigt standaardinstellingen. Nieuwe medewerkers, apps en samenwerkingen veranderen je omgeving. Wat vorig jaar klopte, kan nu een gat hebben.

Bij De Koning ICT controleren we omgevingen en backups elke dag. Zo grijpen we in voordat er een probleem ontstaat. Je belt bovendien direct met een expert en niet met een robot. Ons motto is “We doen het goed óf we doen het niet”, en dat geldt ook voor jouw instellingen. We zijn ISO 27001 gecertificeerd en al 25 jaar partner van Microsoft.

Twijfel je of jouw tenant er goed voor staat? Neem dan vrijblijvend contact met ons op. We kijken graag met je mee, zonder verplichtingen en zonder vaktaal.

Veelgestelde vragen over microsoft 365 beveiligingsinstellingen

Welke beveiligingsinstelling in Microsoft 365 is het belangrijkst?

MFA voor alle gebruikers heeft de grootste impact. Een gestolen wachtwoord is dan niet meer genoeg om in te loggen. Combineer dit met het blokkeren van oude inlogmethoden. Dan sluit je de bekendste achterdeur af.

Is Microsoft 365 Business Premium genoeg om veilig te werken?

Business Premium biedt een sterke basis. Je krijgt onder meer voorwaardelijke toegang, Defender for Office 365 en Intune. Maar de functies werken pas als ze goed zijn ingesteld. Voor backup en 24/7 monitoring vul je de omgeving meestal aan met diensten van derden.

Hoe vaak moet ik mijn beveiligingsinstellingen controleren?

Kijk minimaal één keer per kwartaal naar je Secure Score, beheerdersrechten en deelinstellingen. Bij grote wijzigingen, zoals een nieuwe vestiging of veel nieuwe medewerkers, controleer je eerder. Laat je dit beheren door een partner, dan gebeurt het vaak dagelijks en loopt het automatisch mee.