Microsoft 365-beveiligingschecklist voor het MKB

Als uw bedrijf op Microsoft 365 draait, heeft u de meeste tools om het te beveiligen al in huis. Veel ervan staan standaard uit, omdat Microsoft 365 is ingesteld op gebruiksgemak en niet op maximale beveiliging.

Deze checklist zet de instellingen en gewoontes op een rij die er voor een klein bedrijf zonder eigen security-team het meest toe doen. Werk hem van boven naar beneden door en u heeft de meest voorkomende ingangen voor aanvallers gesloten.

1. Identity & Access

• Zet multi-factor authenticatie (MFA) aan voor elke gebruiker, zonder uitzondering. Deze ene stap blokkeert de overgrote meerderheid van account-overnames. Dwing dit af via Conditional Access of Security Defaults, zodat niemand het kan overslaan.
• Verwijder gedeelde/generieke accounts. Een "info@"- of "receptie"-login met een wachtwoord dat iedereen kent, is onmogelijk te beveiligen of te controleren.
• Controleer beheerdersaccounts elk kwartaal. Elke Global Admin is een potentieel single point of failure. Houd de lijst kort en gebruik aparte, niet-geprivilegieerde accounts voor dagelijkse e-mail en browsen.
• Schakel self-service wachtwoordherstel in zodat medewerkers niet in de verleiding komen wachtwoorden te hergebruiken of hun inloggegevens naar IT te mailen.
• Stel Conditional Access-beleid in om waar mogelijk inlogpogingen vanuit onverwachte landen of onbeheerde apparaten te blokkeren.

2. E-mailbeveiliging

• Configureer SPF, DKIM en DMARC voor uw domein. Zonder deze is het voor aanvallers eenvoudig om het e-mailadres van uw bedrijf te spoofen.
• Zet Safe Links en Safe Attachments aan (beschikbaar in Defender voor Microsoft 365 Plan 1) om kwaadaardige links en bestanden te onderscheppen voordat ze een postvak bereiken.
• Schakel impersonation protection in voor uw directie en financiële afdeling, een veelvoorkomend doelwit voor factuurfraude en CEO-fraude via e-mail.
• Zet een eenvoudige 'phishing melden'-knop klaar in Outlook zodat medewerkers verdachte e-mails met één klik kunnen markeren.

3. Apparaat- en gegevensbescherming

• Dwing apparaatversleuteling af (BitLocker voor Windows) op elke laptop die bedrijfsgegevens raakt.
• Richt Mobile Device Management (MDM/Intune) in voor telefoons en tablets die toegang hebben tot e-mail of bestanden, zeker bij privé-apparaten (BYOD).
• Configureer Data Loss Prevention (DLP)-beleid om te signaleren of te blokkeren dat gevoelige gegevens, zoals klantgegevens of financiële details, extern gemaild of publiek gedeeld worden.
• Beperk extern delen in SharePoint en OneDrive tot specifieke domeinen of vereis inloggen, in plaats van links open te laten staan voor 'iedereen'.

4. Back-up & herstel

Veel ondernemers gaan ervan uit dat Microsoft een back-up van hun gegevens maakt. Dat is niet zo, in elk geval niet volledig.

Microsoft beschermt de infrastructuur. Het beschermt u niet tegen per ongeluk verwijderen, interne fouten, of ransomware die versleutelde bestanden naar de cloud synchroniseert.

De ingebouwde retentie- en prullenbak-termijnen zijn kort en nooit bedoeld geweest als een echte back-upstrategie.

• Ga na wat het gedeelde-verantwoordelijkheidsmodel van Microsoft daadwerkelijk dekt, en waar de gaten zitten.
• Zet een dedicated back-upoplossing op voor Exchange-, SharePoint-, OneDrive- en Teams-gegevens, met een retentie die ruim verder gaat dan de standaardinstellingen van Microsoft.
• Test een herstel, niet alleen een back-up. Een back-up waar nog nooit uit hersteld is, is een gok, geen plan.

Heeft u nog geen back-uptools geëvalueerd? Onze gids over de beste Microsoft 365-back-upoplossingen zet de belangrijkste opties voor kleine bedrijven op een rij, inclusief waar u op moet letten en gangbare prijzen.

5. Monitoring & respons

• Zet audit logging aan zodat u een dossier heeft om op terug te vallen als er iets misgaat.
• Stel meldingen in voor risicovolle inlogpogingen, massale bestandsdownloads en nieuwe doorstuurregels op postvakken (een klassiek signaal van een gecompromitteerd account).
• Leg vast wie u moet bellen als u een inbreuk vermoedt, vóórdat u het nummer nodig heeft, niet tijdens het incident.

6. Mensen & proces

• Organiseer basale security-awareness training, ook informeel, zodat medewerkers phishing en social engineering herkennen.
• Hanteer een offboarding-checklist die toegang direct intrekt zodra iemand het bedrijf verlaat.
• Neem deze checklist minstens twee keer per jaar door. Microsoft brengt voortdurend nieuwe beveiligingsfuncties uit, en ook uw bedrijf verandert.

Kort samengevat: de meeste punten op deze lijst zitten al in de Microsoft 365-licenties die kleine bedrijven kopen. Begin deze week met MFA en e-mailauthenticatie en werk de rest af zodra u tijd heeft.