Een aanvaller hoeft niet in te breken als hij gewoon kan inloggen. En dat gebeurt vaker dan je denkt. Een phishingmail, een gelekt wachtwoord of een collega die overal hetzelfde wachtwoord gebruikt. Meer is niet nodig.

Daarom is dit de belangrijkste beveiligingsmaatregel voor elke Microsoft 365-omgeving: meervoudige verificatie (MFA), slim ingezet met voorwaardelijke toegang.

Wat is MFA?

Bij MFA bewijs je op twee manieren wie je bent. Iets wat je weet, zoals een wachtwoord. En iets wat je hebt, zoals je telefoon. Een gestolen wachtwoord alleen is dan niet genoeg.

Microsoft dwingt MFA inmiddels zelf af voor het inloggen op zijn beheerportalen. Voor je gewone gebruikers moet je het zelf regelen.

Niet alle MFA is even sterk

  • Sms en spraakoproep: beter dan niets, maar kwetsbaar.
  • Microsoft Authenticator met nummervergelijking: een goede standaard.
  • Phishingbestendige methoden: zoals passkeys en Windows Hello for Business. De sterkste optie, zeker voor beheerders.

Wat is voorwaardelijke toegang?

Met voorwaardelijke toegang (Conditional Access) in Microsoft Entra bepaal je onder welke voorwaarden iemand mag inloggen. Je stelt regels op als:

  • Altijd MFA voor beheerders.
  • MFA als iemand van buiten het kantoornetwerk inlogt.
  • Alleen toegang vanaf beheerde en veilige apparaten.
  • Inloggen blokkeren vanuit landen waar je niet actief bent.
  • Oude inlogmethoden die geen MFA ondersteunen, helemaal blokkeren.

Je hebt hiervoor Entra ID P1 nodig. Dat zit onder meer in Business Premium, E3 en E5.

Beveiligingsstandaarden of voorwaardelijke toegang?

Heb je geen Entra ID P1? Zet dan minimaal de beveiligingsstandaarden aan. Dat is een vaste set basisinstellingen, waaronder MFA voor iedereen. Simpel, maar zonder maatwerk.

Heb je wel P1? Dan geeft voorwaardelijke toegang meer controle en minder gedoe voor gebruikers.

Zo voer je het in zonder chaos

  1. Begin met beheerders. Daar is het risico het grootst.
  2. Gebruik de rapportagemodus. Zie eerst wat een regel zou doen, zonder iemand te blokkeren.
  3. Houd een noodaccount achter de hand. Zo sluit je jezelf nooit buiten.
  4. Communiceer vooraf. Vertel medewerkers wat er verandert en waarom.
  5. Rol in stappen uit. Per afdeling, met een vast aanspreekpunt voor vragen.

Beveiliging is geen project, maar een gewoonte

Een goede inrichting is stap één. Daarna moet je bijhouden wat er gebeurt: verdachte inlogpogingen, nieuwe apps en medewerkers die uit dienst gaan. Met Beheer & Support van 365 Angels houden we dat samen met je op orde.

Wil je weten hoe veilig jouw Microsoft 365-inlog écht is? Plan een gesprek en we doen samen een snelle check.

Veelgestelde vragen

Is MFA vervelend voor medewerkers?

Met voorwaardelijke toegang hoeft het niet. Je vraagt alleen om MFA als het risico daarom vraagt.

Wat als een medewerker zijn telefoon kwijt is?

Zorg voor een tweede methode en een duidelijke procedure bij je servicedesk.

Kan ik gebruikers op vertrouwde locaties uitzonderen?

Dat kan, maar wees voorzichtig. Hybride werken maakt "het kantoornetwerk" minder betekenisvol. Vertrouw liever op het apparaat dan op de locatie.