Deze 5 Microsoft 365‑instellingen veroorzaken onnodige securityrisico’s
Microsoft 365 vormt bij veel organisaties het hart van de digitale werkplek. E-mail, documenten, samenwerking en steeds vaker ook bedrijfsprocessen draaien erop. Tegelijkertijd investeert Microsoft al jaren fors in security binnen het platform. Toch zien we in de praktijk dat die securitymogelijkheden maar gedeeltelijk worden benut. Instellingen zijn vaak ooit ingericht bij de start van Microsoft 365, maar daarna nauwelijks verder aangescherpt. Dat voelt lange tijd prima, totdat er een incident plaatsvindt, een audit vragen oproept of het management ineens inzicht wil in risico’s.
Het probleem is zelden onwil of gebrek aan kennis. Security moet concurreren met projecten, beheer en veranderende businessprioriteiten. Daardoor blijven juist de ogenschijnlijk kleine verbeteringen liggen. En dat is zonde, want er zijn meerdere quick wins die je relatief snel kunt doorvoeren zonder je hele omgeving opnieuw te ontwerpen. In dit blog bespreken we vijf van die quick wins die wij bij Microsoft 365‑omgevingen opvallend vaak tegenkomen en die direct bijdragen aan minder risico en meer rust.
1. MFA is ingericht, maar niet consequent afgedwongen
Multifactor authenticatie is inmiddels breed geaccepteerd als basismaatregel, maar in de praktijk zelden volledig doorgevoerd. In veel omgevingen geldt MFA alleen voor beheerders of alleen bij toegang van buiten het bedrijfsnetwerk. Vaak zijn er uitzonderingen gemaakt voor specifieke accounts of toepassingen, die ooit logisch waren maar nooit opnieuw zijn beoordeeld. Hierdoor blijft een aanzienlijk deel van de organisatie kwetsbaar voor phishing en het misbruik van gelekte wachtwoorden.
Door MFA consequent af te dwingen voor alle gebruikers en dit slim te combineren met Conditional Access op basis van risico, wordt het overgrote deel van de aanvallen al aan de voorkant geblokkeerd. Zeker wanneer legacy authentication volledig is uitgeschakeld, sluit je een belangrijke achterdeur. In de praktijk blijkt dat dit nauwelijks extra belasting oplevert voor eindgebruikers, terwijl het securityniveau drastisch stijgt. Het is een van de meest effectieve quick wins die je kunt doorvoeren binnen Microsoft 365.
2. Conditional Access staat aan, maar is te grofmazig ingericht
Conditional Access wordt vaak gezien als iets dat “geregeld” is zodra er een paar policies actief zijn. Die policies zijn echter meestal breed opgezet en historisch gegroeid. Er wordt weinig onderscheid gemaakt tussen verschillende typen gebruikers, apparaten of risico’s. Hierdoor ontstaat een situatie waarin beveiliging wel aanwezig is, maar niet optimaal aansluit op hoe de organisatie daadwerkelijk werkt.
Door Conditional Access opnieuw tegen het licht te houden en gerichter in te zetten, ontstaat veel meer controle. Denk aan strengere regels voor beheerders, extra eisen bij toegang tot gevoelige data en duidelijke voorwaarden voor toegang vanaf niet‑beheerde apparaten. Dit vraagt vooral om herontwerp en keuzes, niet om nieuwe tooling. Juist daarom is dit een typische quick win: met relatief beperkte inspanning verhoog je de weerbaarheid van je Microsoft 365‑omgeving aanzienlijk.
3. Secure Score wordt bekeken, maar niet als stuurmiddel gebruikt
De Microsoft Secure Score is voor veel IT‑managers een bekend dashboard, maar zelden een vast onderdeel van het securityproces. Vaak wordt er een keer naar gekeken, bijvoorbeeld bij een incident of tijdens een audit, en daarna verdwijnt het weer naar de achtergrond. Dat is jammer, want Secure Score is juist bedoeld om security concreet en meetbaar te maken.
Door Secure Score actief te gebruiken als leidraad voor verbeteringen, krijgt security richting en prioriteit. Het helpt om inzichtelijk te maken waar de grootste risico’s zitten en welke maatregelen relatief eenvoudig zijn door te voeren. Bovendien is het een krachtig hulpmiddel richting management, omdat je niet alleen kunt vertellen dat security verbetert, maar dit ook kunt onderbouwen met cijfers. Dit maakt security minder abstract en beter bestuurbaar, iets waar veel IT‑directeuren naar op zoek zijn.
4. Apparaatbeveiliging via Intune blijft hangen op basisniveau
Intune is in veel organisaties technisch aanwezig, maar wordt functioneel beperkt ingezet. Het platform wordt vaak gebruikt voor basisbeheer, terwijl de echte security‑waarde in de beleidsinstellingen en compliance‑regels zit. Apparaten die niet volledig zijn bijgewerkt, geen schijfversleuteling hebben of niet voldoen aan minimale beveiligingseisen, krijgen in de praktijk toch toegang tot bedrijfsdata.
In een wereld waarin hybride werken de norm is, vormt dat een reëel risico. Door security‑baselines af te dwingen en deze te koppelen aan Conditional Access, zorg je ervoor dat alleen veilige en beheerde apparaten toegang krijgen tot Microsoft 365. Dat verhoogt de bescherming van data zonder dat gebruikers beperkt worden in hun manier van werken. Dit is geen groots veranderproject, maar wel een stap die vaak wordt uitgesteld en daardoor veel risico laat liggen.
5. Admin rechten zijn historisch gegroeid en nooit opgeschoond
In vrijwel elke Microsoft 365‑omgeving zijn admin‑rechten organisch gegroeid. Accounts kregen extra rechten om iets snel te regelen, consultants kregen brede toegang voor een project en serviceaccounts werden aangemaakt zonder duidelijke einddatum. Wat daarbij vaak ontbreekt, is een moment van opruimen en herijken. Het resultaat is een omgeving met te veel Global Admins, onduidelijke rolverdelingen en accounts waarvan niemand meer precies weet waarom ze bestaan.
Dit is een van de grootste, maar tegelijk meest onderschatte securityrisico’s. Een gecompromitteerd admin‑account kan directe impact hebben op de hele tenant. Tegelijkertijd is dit probleem relatief snel aan te pakken. Door kritisch te kijken naar wie welke rechten écht nodig heeft, het aantal Global Admins sterk te beperken en tijdelijke rechten te regelen via Privileged Identity Management, verklein je de aanvalsvector aanzienlijk. Voor eindgebruikers verandert er vrijwel niets, maar voor security, audits en incidentrespons maakt dit een wereld van verschil.
Waarom juist deze instellingen?
Deze vijf onderwerpen zijn technisch gezien niet extreem complex. Ze blijven vooral liggen door tijdgebrek, gebrek aan eigenaarschap of de angst dat extra beveiliging ten koste gaat van gebruiksgemak. In de praktijk blijkt die angst vaak ongegrond. Wanneer maatregelen goed worden ontworpen en uitgelegd, accepteren gebruikers ze meestal zonder problemen. Juist door te starten met deze quick wins, maak je security behapbaar en voorkom je dat het een groot en abstract project wordt dat telkens wordt uitgesteld.
Voor IT‑managers en IT‑directeuren is dit herkenbaar. Je weet dat er meer uit Microsoft 365 te halen valt, maar het ontbreekt aan overzicht of focus om hier structureel mee bezig te zijn. Door deze quick wins gericht aan te pakken, zet je snel zichtbare stappen en leg je een stevige basis voor verdere verbetering.
Wij helpen je om dit pragmatisch aan te pakken
Wij helpen organisaties dagelijks bij het verbeteren van hun Microsoft 365‑security, zonder onnodige complexiteit toe te voegen. We kijken niet naar een theoretisch ideaalplaatje, maar naar wat in jullie situatie de meeste impact heeft en wat realistisch is binnen jullie organisatie. Vaak begint dat met inzicht: waar staan jullie nu en waar liggen de grootste risico’s?
Wil je weten welke van deze security quick wins voor jullie Microsoft 365 omgeving de hoogste prioriteit hebben? Plan dan een korte security intake. In één gesprek brengen we helder in kaart waar je snel winst kunt behalen en welke vervolgstappen logisch zijn.
Rolf Warntjes
partner BCONN
