Veel MKB-organisaties starten met basisbeveiliging in Microsoft 365, zoals wachtwoorden en MFA. Dat is een goede eerste stap, maar het beveiligingsniveau hangt uiteindelijk af van tientallen instellingen en processen: van identiteit en toegang tot e-mail, opslag, apparaten en monitoring. Met de Microsoft 365 security-checklist kun je snel beoordelen waar je sterk staat en waar verbetering nodig is—zonder dat je meteen een heel project hoeft te starten.

Deze checklist is bedoeld voor beheerders, IT-partners en organisaties die Microsoft 365-beheer willen stroomlijnen. Je kunt ermee werken in één sessie: je scant de belangrijkste onderdelen, markeert wat al goed is, en kiest vervolgens concrete acties met prioriteit.

Start met een korte nulmeting (wat wil je beschermen?)

Voordat je naar instellingen duikt, helpt een korte inventarisatie. Denk na over welke data je in Microsoft 365 hebt (e-mail, bestanden in Teams/SharePoint/OneDrive, gevoelige gegevens) en wie de belangrijkste risico’s vormen (phishing, gestolen accounts, verloren of misbruikte devices).

Leg vervolgens vast:

  • Wie beheert Microsoft 365 (rollen, taken, toegang tot administratie)?
  • Welke gebruikersgroepen zijn er (management, kantoor, mobiel, externe medewerkers/partners)?
  • Welke apparaten worden gebruikt (laptops, telefoons, thuiswerken, gedeelde devices)?

Zo voorkom je dat je alleen “technische vinkjes” zet. Je beoordeelt beveiliging gericht op je realiteit.

Identity & Access: de basis die vrijwel alles bepaalt

Een groot deel van Microsoft 365-incidenten begint bij identiteit. Een gebruiker met een misbruikte account kan e-mail lezen, bestanden synchroniseren of Teams-gesprekken raadplegen, afhankelijk van rechten. Daarom is de focus op Identity & Access essentieel.

1) MFA voor alle gebruikers (en niet “alleen voor sommigen”)

MFA is een noodzakelijke laag, maar niet voldoende op zichzelf. Toch moet het wel goed geregeld zijn:

  • Activeer MFA voor alle gebruikers, inclusief administrators.
  • Controleer of MFA ook geldt voor belangrijke scenario’s (zoals toegang vanaf externe netwerken of nieuwe apparaten).
  • Voorkom dat uitzonderingen blijven bestaan zonder reden en eigenaarschap.

Tip: MFA werkt beter wanneer je ook aanvullende toegangsregels (conditional access) inzet en sterke account-hygiëne afspreekt.

2) Administratoraccounts goed afschermen

Beperk het aantal mensen dat admin-rechten heeft en maak onderscheid tussen dagelijkse taken en beheer. Richt daarnaast admin-toegang in als een apart traject.

  • Gebruik waar mogelijk rollen met minimale rechten.
  • Controleer regelmatig wie Global Administrator of vergelijkbare rollen heeft.
  • Schakel extra beveiligingen in voor beheeraccounts (bijvoorbeeld strengere authenticatievoorwaarden).

3) Beveiligde accountlevenscyclus

Identity-beveiliging stopt niet bij het begin. Zorg dat je inrichting meebeweegt met je organisatie:

  • Wachtwoordbeleid en accountbeleid: houd het actueel en vermijd zwakke of verouderde regels.
  • Offboarding: verwijder of beperk toegang direct bij uitdiensttreding.
  • Externe samenwerking: stuur partners naar de juiste toegangsmethode en rechten.

Waarom MFA alleen niet genoeg is

Zelfs met MFA kan er misbruik plaatsvinden. Denk aan situaties zoals:

  • Een gebruiker klikt op phishing en meldt zich aan met een legitieme sessie.
  • Iemand gebruikt een vertrouwde device of bypass-technieken binnen de bestaande toegang.
  • Rechten zijn te ruim ingericht, waardoor een compromis snel impact heeft.

Daarom heeft Microsoft 365 security te maken met meerdere lagen: toegang (identity), inhoud (data en e-mail), apparaten (endpoint) en detectie/response (logging en alerting).

Als je breder wilt kijken dan de MFA-laag, kun je ook de algemene maatregelen voor het MKB gebruiken als leidraad: Cybersecurity: 12 basismaatregelen voor het MKB.

E-mailbeveiliging: voorkom dat phishing en malware binnenkomen

E-mail is vaak het startpunt. In Microsoft 365 kun je e-mailstromen en gebruikersgedrag harden door een combinatie van filtering, configuratie en training.

4) Spam, phishing en schadelijke bijlagen afhandelen

  • Controleer of anti-phishing en anti-malware instellingen actief en passend zijn.
  • Beoordeel of verdachte berichten correct worden geblokkeerd of in quarantaine worden geplaatst.
  • Stem af op je type organisatie: ontvang je veel externe communicatie, of juist vooral intern?

5) Beheers veilige verzend- en ontvangstcontext

Naast filtering is het belangrijk dat e-mailbeveiliging aansluit op hoe jullie samenwerken.

  • Voorkom dat gebruikers berichten kunnen doorsturen naar onbeheerde externe adressen zonder controle.
  • Houd rekening met shared mailboxes en serviceaccounts: deze moeten ook onder beveiligingsbeleid vallen.
  • Voorkom dat optionele instellingen onbedoeld risicovol worden (bijvoorbeeld overmatige uitzonderingen).

Opslag en data: beperk toegang en bescherm inhoud

Microsoft 365 bevat data op meerdere plekken: OneDrive, SharePoint en Teams (o.a. bestanden en berichten). Het risico is niet alleen “datalek door buitenstaanders”, maar ook het delen met te brede rechten of het ongecontroleerd verspreiden van gevoelige content.

6) Rechten en delen: werk met “need to know”

  • Gebruik groepen en rollen die passen bij functies, in plaats van losstaande machtigingen.
  • Beoordeel de instellingen voor externe deling: wat mag wel, wat niet, en onder welke voorwaarden?
  • Controleer of machtigingen regelmatig worden gereviewd (zeker na reorganisaties).

7) Data classification en beleid voor gevoelige informatie

Maak duidelijk wat “gevoelig” betekent in jullie context en koppel daar beleid aan. Zonder classificatie is het lastig om consequent te handelen bij risico’s.

  • Definieer categorieën (bijvoorbeeld financieel, persoonsgegevens, contracten) en koppel ze aan beleid.
  • Stel regels op voor hoe gevoelige content wordt verwerkt, gedeeld en beschermd.
  • Verifieer dat het beleid ook werkt voor apparaten en scenario’s die onderweg zijn.

Teams en samenwerking: voorkom dat gedeelde ruimtes te open worden

Teams is populair en dat is precies de uitdaging: samenwerking groeit vaak sneller dan controle. Zet daarom extra aandacht op team-inrichting, gastgebruik en bestandsrechten.

  • Beperk aanmaakrechten van teams waar dat nodig is.
  • Controleer gasttoegang: wie mag extern deelnemen en hoe wordt toegang beheerd?
  • Voorkom dat bestanden onnodig “openbaar deelbaar” worden.

Device security: beveilig je laptops en telefoons

De beveiliging van Microsoft 365 stopt niet in de cloud. Als een gebruiker vanaf een niet-beschermd device werkt, worden sessies en data kwetsbaarder. Dit geldt zeker bij thuiswerken, reizen en BYOD.

Gebruik deze onderdelen als leidraad voor zakelijke laptop beveiligen en mobiele toegang:

  • Stel duidelijke minimumvereisten voor apparaten (bijvoorbeeld toegangscode, versleuteling, updates).
  • Gebruik waar mogelijk conditional access op basis van device status.
  • Beperk waar nodig toegang op niet-compliant apparaten.
  • Voorkom dat verloren of gestolen devices direct toegang blijven geven.

Wil je dit breder benaderen, combineer de cloudinstellingen met endpointmaatregelen zoals patching, anti-malware en veilige werkprocessen. Je kunt daarbij ook terugvallen op algemene prioriteiten: Cybersecurity maatregelen MKB: top 12 in volgorde.

Microsoft 365 beheer MKB: rollen, processen en verantwoordelijkheden

Veel MKB-incidenten ontstaan niet door één “foute instelling”, maar door gebrek aan proces. Daarom is het zinvol om je Microsoft 365 beheer MKB op orde te brengen met heldere verantwoordelijkheden.

8) Beheerrollen en change management

  • Leg vast wie instellingen mag wijzigen en hoe wijzigingen worden getest.
  • Voorkom ad-hoc uitzonderingen zonder documentatie of einddatum.
  • Maak een plan voor periodieke reviews (bijvoorbeeld maandelijks voor rechten, per kwartaal voor grote configuraties).

9) Back-up en herstel (ook binnen Microsoft 365)

Verliesincidenten zijn anders dan “hackincidenten”. Denk aan verwijderde e-mail, beschadigde bestanden of ransomware die synchronisatie verstoort. Zorg dat je herstelopties en procedures getest zijn.

  • Controleer welke herstelmogelijkheden je hebt voor e-mail en bestanden.
  • Leg vast wie het herstel uitvoert en binnen welke tijdslijnen.
  • Test herstel minimaal één keer per jaar in een gecontroleerd scenario.

Logging, detectie en incidentrespons: weet wat er gebeurt

Zonder logging zie je problemen vaak te laat. Met goede monitoring kun je verdachte activiteiten sneller herkennen en gerichter reageren.

10) Logging en audit events op orde

  • Controleer dat audit logs beschikbaar zijn voor de onderdelen die je wilt onderzoeken.
  • Richt management van logs in: wie bekijkt ze en hoe vaak?
  • Gebruik een bewaartermijn die past bij je organisatiebehoeften.

11) Alerts en procedures voor snelle opvolging

Maak alerting niet afhankelijk van toeval. Zorg dat je weet wie reageert en wat de eerste stappen zijn.

  • Definieer een incidentprocedure: triage, scope, contain, herstel.
  • Maak afspraken voor de communicatie binnen je organisatie.
  • Oefen minimaal één keer per jaar een phishing- of accountincident.

Concrete checklist per onderdeel (direct afvinken)

Hier is de checklist in compacte vorm. Gebruik hem als werkdocument tijdens je “security-check” sessie.

  • Identity & Access: MFA overal, adminaccount hardenen minimale rechten.
  • Toegangsregels: conditional access op basis van user, risico en device status.
  • Accountlevenscyclus: onboarding/offboarding met direct toegangsbeheer.
  • E-mail: anti-phishing/anti-malware actief, uitzonderingen tot een minimum.
  • Data & delen: rechten via groepen, externe deling gecontroleerd.
  • Classificatie: definieer gevoelige categorieën en koppel beleid.
  • Teams: gasttoegang en teamaanmaak met duidelijke regels.
  • Devices: zakelijke laptop beveiligen en mobiele toegang met minimumvereisten.
  • Back-up & herstel: herstelopties kennen en procedures testen.
  • Logging: audit en monitoring, vaste routine voor beoordeling.
  • Incidentrespons: alerting gekoppeld aan een concrete opvolgprocedure.

Prioriteiten kiezen: zo pak je het slim aan

Niet alles hoeft tegelijk. Voor veel MKB-organisaties is het logisch om te starten met “impactrijke” gebieden:

  • Eerst: identity en device-toegang (MFA is de ondergrens; conditional access en device compliance maken het af).
  • Daarna: e-mailbeveiliging en delen/rechten op data.
  • Vervolgens: classificatie, monitoring en herstel testen.

Werk met een korte planning: kies per onderdeel één verbetering die je binnen een paar weken kunt realiseren, en plan daarna de volgende.

Conclusie: maak Microsoft 365 security herhaalbaar

De Microsoft 365 security-checklist helpt je om beveiliging niet als een eenmalige taak te zien, maar als een continu proces. Wanneer je identity, e-mail, data, devices en logging als samenhangend geheel benadert, verlaag je de kans op incidenten én verbeter je je responstijd.

Begin klein met deze checklist, zet de juiste prioriteiten en herhaal de sessie periodiek. Zo blijft Microsoft 365 beveiligd, ook wanneer je organisatie groeit of samenwerking verandert.