Microsoft 365 veilig inrichten

Een nieuwe Microsoft 365 omgeving staat er snel. Je maakt gebruikers aan, wijst licenties toe en zet de mailboxen over. Na een weekend kan iedereen werken.

Toch ontstaan de problemen vaak in de weken daarna. Een medewerker klikt op een nepmail. Een oud account blijft actief nadat iemand het bedrijf heeft verlaten. Een map met salarisgegevens blijkt zichtbaar voor het hele bedrijf.

Dat is geen pech. Standaardinstellingen zijn gericht op gemak, niet op veiligheid. Hieronder lees je in welke volgorde je Microsoft 365 veilig inricht en waar je in de praktijk op let.

Waarom de volgorde belangrijker is dan het aantal instellingen

Veel bedrijven beginnen met een lange lijst instellingen. Ze vinken die netjes af, maar verliezen het overzicht over hun bedrijfsnetwerk en de samenhang tussen alle onderdelen. Zo blijft een groot gat open, terwijl kleine details wel geregeld zijn.

Bij De Koning ICT werken we liever in lagen. Elke laag beschermt een ander deel van je omgeving. Valt er één laag weg, dan vangt de volgende de klap op.

Je hoeft niet alles op één dag te doen. Begin bij identiteit en werk daarna naar beneden. Zo haal je met weinig moeite het meeste risico weg.

Begin bij identiteit: wie mag er naar binnen

Bijna elke aanval op Microsoft 365 start met een gestolen wachtwoord. Meervoudige verificatie (MFA) is daarom de eerste stap. Zet die aan voor alle gebruikers, niet alleen voor de directie.

Een voorbeeld uit de praktijk: een medewerker vult op een nepsite haar wachtwoord in. Zonder MFA logt de aanvaller direct in en leest hij mee met de mail. Met MFA stuit hij op een tweede controle en komt hij niet verder.

Let ook op beheerdersaccounts. Gebruik beheerrechten nooit voor dagelijks werk zoals mailen en surfen. Maak aparte accounts voor beheer en houd het aantal beheerders klein. Een ICT verantwoordelijke die met volledige rechten door zijn inbox scrolt, loopt onnodig risico.

Voeg daar voorwaardelijke toegang aan toe. Je bepaalt dan bijvoorbeeld dat inloggen vanuit een onbekend land wordt geblokkeerd. Ook kun je extra controle vragen bij een inlog op een nieuw apparaat. Zet verder oude inlogmethoden uit die geen MFA ondersteunen, want aanvallers zoeken juist die achterdeur.

Regel de apparaten waarmee mensen werken

Een veilig account op een onveilig apparaat blijft een zwakke plek. Met Microsoft Intune bepaal je aan welke eisen een laptop of telefoon moet voldoen. Denk aan versleuteling, een schermvergrendeling en actuele updates.

Stel dat een medewerker haar laptop in de trein laat liggen. Is de schijf versleuteld en beheerd via Intune, dan wis je het apparaat op afstand. De bedrijfsgegevens zijn dan niet leesbaar voor degene die de laptop vindt.

Je kunt ook regelen dat alleen apparaten die aan de eisen voldoen bij bedrijfsmail kunnen. Een privételefoon zonder schermvergrendeling komt er dan niet in. Dat voelt streng, maar medewerkers merken er in de praktijk weinig van.

Wil je weten hoe wij dit in het dagelijks beheer aanpakken? Lees dan meer over veilige werkplekken met persoonlijke begeleiding. Daar zie je hoe beheer, hardware en ondersteuning samenkomen.

Bepaal waar je data staat en wie erbij mag

Microsoft 365 maakt delen makkelijk. Dat is handig, maar het levert ook risico op. Zonder afspraken groeit er een wirwar van mappen, teams en gedeelde links.

Begin met een eenvoudige indeling. Welke gegevens zijn gevoelig, zoals personeelsdossiers, offertes of financiële stukken? Geef die een eigen plek met beperkte toegang. Werk met groepen in plaats van rechten per persoon. Bij een nieuwe collega stel je dan maar één ding in.

Een voorbeeld: de HR afdeling bewaart contracten in een gedeelde teamsite. Bij het aanmaken kreeg het hele bedrijf leesrechten. Met een aparte site en een vaste groep is dat in een uur opgelost.

Let ook op delen met mensen buiten je organisatie. Beperk wie bestanden extern mag delen. Laat gedeelde links na een bepaalde tijd vervallen. Zo blijft een link naar een offerte niet jaren open staan voor iedereen die hem vindt.

Zorg voor een backup buiten Microsoft

Veel mensen denken dat Microsoft ook de backup regelt. Dat klopt maar deels. Microsoft zorgt dat de dienst beschikbaar is. Jij blijft zelf verantwoordelijk voor je gegevens.

Een medewerker die per ongeluk een hele map verwijdert, merkt dat soms pas na weken. Of ransomware versleutelt bestanden op een laptop en OneDrive synchroniseert de beschadigde versies gewoon mee. Dan kom je er alleen uit met een aparte backup.

Daarom zetten wij bij Microsoft 365 een backup van AvePoint in. Die staat los van je Microsoft omgeving. Dat past bij onze aanpak Modern Workplace+: Microsoft 365 als basis, aangevuld met diensten van derden waar dat extra veiligheid geeft.

We controleren de backups bovendien dagelijks. Een backup die nooit is getest, geeft schijnzekerheid. Meer over onze bredere aanpak lees je bij beveiliging en bedrijfscontinuïteit.

Houd toezicht en train je mensen

Instellingen blijven niet vanzelf goed. Er komen nieuwe gebruikers, nieuwe apps en nieuwe dreigingen. Daarom hoort toezicht bij het inrichten.

Wij controleren omgevingen dagelijks. Zo grijpen we in voordat een klein probleem een groot probleem wordt. Voor het opsporen van verdachte activiteit gebruiken we Huntress, waarbij mensen 24/7 meekijken.

Een voorbeeld is een verborgen doorstuurregel in een mailbox. Een aanvaller zet die in om stilletjes mee te lezen met facturen. Een geautomatiseerde melding mist dat soms. Een geoefend oog ziet het wel.

Vergeet de mensen zelf niet. Een korte training en af en toe een oefenmail maken medewerkers alert. Leg ook uit waar ze een verdachte mail kunnen melden. Reageer snel en vriendelijk op elke melding. Wie zich schaamt voor een fout, meldt niets en dan is het kwaad al geschied.

Veilig beginnen, rustig doorbouwen

Een veilige Microsoft 365 omgeving ontstaat in lagen: identiteit, apparaten, data, backup en toezicht. Je hoeft niet alles tegelijk te doen, maar de volgorde telt wel. Eén stap per keer brengt je verder dan een lijst die niemand afwerkt.

Wil je weten waar jouw omgeving nu staat? Dan kijken we graag met je mee. De Koning ICT is al meer dan 25 jaar Microsoft partner en werkt met korte lijnen. Je krijgt direct een expert aan de lijn, zonder tussenkomst van robots. Neem gerust contact met ons op voor een vrijblijvend gesprek.

Veelgestelde vragen over microsoft 365 veilig inrichten

Is Microsoft 365 niet standaard veilig genoeg?

Microsoft beveiligt de onderliggende infrastructuur goed. Maar de instellingen van jouw omgeving bepaal je zelf. Standaard staan veel zaken ruim open, zoals delen van bestanden en inloggen zonder tweede controle. Een veilige inrichting vraagt dus om bewuste keuzes en om aanvullende maatregelen, zoals een aparte backup.

Wat moet ik als eerste regelen?

Begin met meervoudige verificatie voor alle gebruikers. Scheid daarna beheerdersaccounts van gewone accounts. Met die twee stappen sluit je de meest gebruikte route voor aanvallers. Pak daarna apparaten, data, backup en toezicht aan.

Hoe vaak moet ik de inrichting controleren?

Controleer in elk geval elk kwartaal de beheerdersrollen, gastaccounts en gedeelde links. Ook bij elke nieuwe app of grote wijziging in je organisatie is een check verstandig. Backups en meldingen bekijk je het liefst dagelijks. Bij een beheerde dienst nemen wij dat werk uit handen.