De meeste MKB-organisaties die Microsoft 365 gebruiken, hebben multifactor-authenticatie aan staan. Dat is goed. Maar "aan staan" zegt weinig over wanneer die extra verificatie wordt gevraagd, voor wie, en wat er gebeurt als iemand vanaf een onbekend apparaat of uit een ander land inlogt. Dat is precies wat Conditional Access regelt: de voorwaarden waaronder een aanmelding wordt toegestaan.
Het probleem is dat Conditional Access ook de snelste manier is om een hele organisatie buiten te sluiten. Eén verkeerde regel en niemand komt meer in Outlook, inclusief de beheerder. Daarom beschrijf ik hier de basisset die ik in de praktijk inricht, in de volgorde waarin ik dat doe, met de waarborgen die daar bij horen.
Eerst de waarborgen
Voordat ik één regel aanzet, staan drie dingen vast.
Een break-glass-account. Een apart beheerdersaccount dat van álle Conditional Access-regels is uitgesloten, met een lang wachtwoord dat fysiek veilig bewaard wordt en waarvan het gebruik een melding oplevert. Als alles misgaat, is dit de weg terug naar binnen.
Rapportmodus eerst. Elke nieuwe regel begint in de modus "alleen rapporteren". De regel doet dan niets, maar registreert wel wat hij gedaan zou hebben. Na een week zie je precies wie er geraakt zou zijn, en of dat klopt met de bedoeling.
Een uitgesloten testgroep. Een kleine groep gebruikers, waaronder de beheerder zelf, waarmee een regel eerst in het echt wordt getest voordat hij organisatiebreed gaat.
Wie deze drie stappen overslaat, bespaart een uur en riskeert een dag.
De basisset
Dit zijn de regels waarmee ik in vrijwel elke MKB-omgeving begin. Ze overlappen bewust een beetje; dat is geen fout maar een vangnet.
1. Multifactor voor alle gebruikers
De kernregel: elke aanmelding door een gebruiker vereist multifactor-authenticatie. Geen uitzonderingen op basis van locatie of apparaat in deze eerste regel. De verfijning komt later, in aparte regels die toegang vergemakkelijken in plaats van verzwakken.
2. Verouderde authenticatie blokkeren
Oudere protocollen zoals basis-authenticatie voor IMAP, POP of SMTP ondersteunen geen multifactor. Zolang die open staan, is de eerste regel te omzeilen. Deze regel sluit ze af. In rapportmodus zie je snel welke printers, scanners of oude apps er nog gebruik van maken; die krijgen een moderne koppeling of een aparte, beperkte oplossing.
3. Multifactor voor beheerders, altijd en overal
Beheerdersrollen krijgen een eigen, strengere regel. Ook als de eerste regel ooit wordt versoepeld, blijft deze staan. Waar mogelijk eis ik hier een phishing-bestendige methode zoals een beveiligingssleutel of Windows Hello for Business.
4. Aanmeldrisico en gebruikersrisico
Als de licentie het toelaat, reageren twee regels op de risicosignalen van Microsoft: bij een verhoogd aanmeldrisico wordt opnieuw multifactor gevraagd, bij een hoog gebruikersrisico wordt een wachtwoordwijziging afgedwongen. Zonder die licentie sla ik dit over en compenseer ik met de overige regels.
5. Toegang vanaf niet-beheerde apparaten beperken
Voor organisaties met Intune: volledige toegang tot bedrijfsgegevens alleen vanaf apparaten die aan het beleid voldoen. Vanaf andere apparaten alleen toegang via de browser, zonder downloaden. Zonder Intune is dit lastiger; dan begin ik met het beperken van downloads in SharePoint en OneDrive op onbekende apparaten.
6. Landen waar de organisatie niet werkt
Aanmeldingen vanuit landen waar niemand werkt of reist, worden geblokkeerd. Dit is een grove maar effectieve filter. De lijst moet wel beheerd worden: één collega op vakantie in een geblokkeerd land betekent een telefoontje. Daarom staat er een procedure naast voor tijdelijke uitzonderingen.
Wat ik niet doe
- Geen uitzondering op multifactor voor "vertrouwde" kantoorlocaties. Het scheelt gebruikers een handeling, maar het maakt het kantoornetwerk tot het zwakste punt. Een phishing-bestendige methode is vriendelijker én veiliger.
- Geen regels op individuele gebruikers. Altijd groepen. Anders is na een jaar niemand meer te vertellen waarom een regel bestaat.
- Geen tien regels tegelijk aanzetten. Eén regel per keer, met een week rapportmodus ertussen.
Beheer daarna
Conditional Access is geen eenmalige inrichting. Drie dingen hou ik periodiek bij:
- De rapportage van geblokkeerde aanmeldingen. Daarin zie je zowel echte aanvalspogingen als collega's die vastlopen. Beide zijn nuttig.
- De uitzonderingen. Elke uitzondering heeft een reden, een eigenaar en een einddatum. Wat geen einddatum heeft, wordt permanent en vergeten.
- Nieuwe apps en apparaten. Een nieuw kassasysteem of een nieuwe scanner is het moment om te controleren of regel twee nog past.
Voor wie dit leest en denkt: dat is veel
Het is minder dan het lijkt. De hele basisset is in een dag in te richten en in twee weken zorgvuldig uit te rollen, inclusief rapportmodus en communicatie naar medewerkers. De meeste tijd zit niet in de techniek maar in het uitzoeken van de uitzonderingen: de scanner op de administratie, de externe boekhouder, de directeur die vanaf zijn privélaptop werkt. Precies die uitzonderingen zijn waar het beveiligingsrisico zit, dus die tijd is goed besteed.
