Microsoft 365 heeft twee manieren om inloggen te beveiligen. Security Defaults is één schakelaar die een vaste set regels aanzet. Conditional Access laat u zelf regels maken: wie mag vanaf welk apparaat, uit welk land, en wanneer is een tweede stap nodig. Ze sluiten elkaar uit: staat het ene aan, dan kan het andere niet. Dit artikel helpt u kiezen.
Wat Security Defaults doen
Security Defaults zijn gratis en werken met elke licentie. Met de schakelaar aan:
- moet iedereen zich registreren voor inloggen met een tweede stap;
- moeten beheerders die tweede stap bij elke aanmelding doen;
- worden oude inlogmethoden geblokkeerd die de tweede stap overslaan.
Dat is een goede basis, en veel beter dan niets. Nieuwe Microsoft 365-omgevingen krijgen het automatisch.
Waar Security Defaults ophouden
Het is alles of niets. U kunt geen uitzonderingen maken en niets verfijnen. Dat wordt een probleem zodra u een van deze dingen wilt:
- Alleen inloggen vanaf beheerde laptops. Een buitgemaakt wachtwoord plus een goedgekeurde tweede stap is dan nog steeds geen toegang, omdat de aanvaller niet op een van uw apparaten zit.
- Alleen inloggen vanuit bepaalde landen. Uw mensen werken in Nederland en gaan op vakantie in Europa? Dan hoeft inloggen vanuit de rest van de wereld niet te kunnen.
- Een noodaccount. Een account dat buiten alle regels valt, voor de dag dat niemand meer binnenkomt. Met Security Defaults bestaat die uitzondering niet.
- Een uitzondering voor één apparaat, zoals een scanner die tijdelijk nog op de oude manier mailt.
Herkenningspunt: hoge score, geen regels
In het beveiligingsoverzicht van Microsoft (Secure Score) ziet een omgeving met Security Defaults er vaak goed uit: MFA aan, oude inlogmethoden dicht. Kijkt u dan bij Conditional Access → Policies, dan is die lijst leeg. Dat is geen half werk van uw vorige beheerder, maar een andere manier van beveiligen. Alleen: de maatregelen die een aanvaller met een geldig wachtwoord tegenhouden, zijn op die manier niet mogelijk.
Wanneer stapt u over?
Heeft u Microsoft 365 Business Premium, dan betaalt u al voor Conditional Access. Dan is de overstap bijna altijd de moeite waard. Met Business Basic of Standard heeft u geen Conditional Access en zijn Security Defaults de juiste keuze. Welke licentie wat kan, staat in Business Standard of Premium.
Zo gaat de overstap
De twee kunnen niet tegelijk aanstaan. Er is dus altijd een kort moment waarop de oude regels uit zijn en de nieuwe nog niet aan. Dat moment houdt u zo kort mogelijk:
- Bouw alle nieuwe regels vooraf, in de stand alleen rapporteren. Ze doen dan nog niets, maar laten wel zien wie ze zouden raken.
- Laat ze een week meten. Zo ziet u welke apparaten of programma's geraakt zouden worden, voordat iemand ergens buiten staat.
- Maak een noodaccount aan en sluit dat uit van alle regels.
- Zet Security Defaults uit en meteen daarna de nieuwe regels aan. Wacht even tot Microsoft de wijziging heeft verwerkt; dat kan een halve minuut duren.
- Test of de tweede stap nog gevraagd wordt, en houd de eerste weken de inloglogboeken in de gaten.
Een week meten vangt geen maandpatroon. Een koppeling die eens per maand facturen verstuurt, of een medewerker die net niet op reis was, ziet u pas later. Terugdraaien is één klik, maar het helpt als u weet waar u op moet letten.
Wat wij doen
Bij klanten met Business Premium stappen we over naar Conditional Access, met vijf vaste regels: MFA voor iedereen, een strengere regel voor beheerders, oude inlogmethoden geblokkeerd, inloggen alleen vanuit goedgekeurde landen en toegang alleen vanaf beheerde apparaten. Hoe het inloggen voor uw medewerkers verandert, staat in MFA invoeren zonder gedoe. Wat we verder inrichten, leest u op Microsoft 365 beheer voor het MKB.