Microsoft 365-securitychecklist voor het mkb

Microsoft 365 is voor veel bedrijven het hart van de IT: mail, bestanden, Teams en accounts. De standaardinstellingen zijn niet altijd de veiligste. Met deze checklist loop je de belangrijkste punten zelf na, op volgorde van belang.

Accounts en inloggen

1. MFA voor iedereen. Zet tweestapsverificatie aan voor alle gebruikers, te beginnen bij beheerders en mailboxen met financiële taken. Gebruik bij voorkeur een authenticator-app in plaats van sms.
2. Aparte beheeraccounts. Wie beheerrechten heeft, gebruikt daarvoor een apart account zonder mailbox. Het dagelijkse account heeft geen beheerrechten.
3. Zo min mogelijk globale beheerders. Twee is meestal genoeg. Geef anderen alleen de rol die ze echt nodig hebben, zoals gebruikersbeheer of Exchange-beheer.
4. Oude protocollen uit. Verouderde inlogmethoden (legacy authentication) omzeilen MFA. Schakel ze uit; moderne apps hebben ze niet nodig.
5. Voorwaardelijke toegang. Met voorwaardelijke toegang (Conditional Access, onderdeel van Entra ID P1, bijvoorbeeld in Microsoft 365 Business Premium) dwing je MFA centraal af en blokkeer je inloggen vanuit onverwachte situaties.

Apparaten

6. Apparaten in beheer. Laat laptops en telefoons die bij bedrijfsgegevens kunnen, beheren via Intune. Dan kun je updates afdwingen en een verloren laptop op afstand wissen.
7. Versleutelde schijven. Zet BitLocker (Windows) of FileVault (macOS) aan, zodat een gestolen laptop geen open boek is.
8. Endpointsecurity met EDR. Gewone antivirus is niet genoeg. Kies endpointsecurity die verdacht gedrag herkent en een apparaat kan isoleren, zoals Microsoft Defender for Business of SentinelOne.

Mail

9. SPF, DKIM en DMARC. Stel ze alle drie in voor je domein, zodat anderen niet zomaar mail uit jouw naam kunnen sturen. Lees ook ons artikel SPF, DKIM en DMARC uitgelegd.
10. Geen automatisch doorsturen naar buiten. Aanvallers zetten na een overname vaak een regel die alle mail naar een extern adres stuurt. Blokkeer automatisch doorsturen naar externe adressen.
11. Waarschuwing bij externe afzenders. Laat Outlook een melding tonen bij mail van buiten de organisatie. Dat helpt bij het herkennen van nepmail die van een collega lijkt te komen.

Bestanden en delen

12. Deellinks met een einddatum. Stel in dat links naar bestanden voor externen na een bepaalde tijd verlopen, en kijk periodiek wat er nog openstaat.
13. Gastgebruikers opruimen. Controleer een paar keer per jaar welke gasten toegang hebben tot Teams en SharePoint, en verwijder wie het niet meer nodig heeft.

Herstellen en volhouden

14. Een eigen back-up van Microsoft 365. Microsoft houdt de dienst in de lucht, maar beschermt je niet tegen per ongeluk verwijderen of ransomware. Een eigen back-up van mail, OneDrive, SharePoint en Teams maakt herstel mogelijk.
15. Logboeken aan en bewaard. Zorg dat de auditlog aanstaat, zodat je na een incident kunt zien wat er is gebeurd.

Hoe nu verder?

Twijfel je bij een of meer punten, begin dan bij 1, 2 en 14: die maken het meeste verschil. Wil je weten hoe jouw omgeving ervoor staat? Doe de IT-check of plan een kennismaking.