Microsoft 365 wordt vaak één keer ingericht en daarna nooit meer bekeken. Niet omdat iemand slordig is, maar omdat er altijd iets dringenders is. Ondertussen veranderen de instellingen, de mensen en de dreigingen. Dit zijn de tien punten die ik bij MKB-bedrijven het vaakst tegenkom.
Inloggen en accounts
1. Tweestapsverificatie voor iedereen
Een wachtwoord alleen is niet genoeg: wachtwoorden lekken uit, worden geraden of afgevangen met een nep-inlogpagina. Met tweestapsverificatie (MFA) heeft een aanvaller ook je telefoon nodig. Controleer of het voor alle gebruikers aanstaat, niet alleen voor beheerders.
2. Oude inlogmethoden geblokkeerd
Sommige oudere apps en protocollen ondersteunen geen tweestapsverificatie. Staan die nog open, dan kan een aanvaller je MFA gewoon omzeilen.
3. Weinig beheerders, goed afgeschermd
Elke beheerder is een extra risico. Twee tot vier beheerders is voor de meeste MKB-bedrijven genoeg, en die accounts gebruik je alleen voor beheer — niet om dagelijks mee te mailen.
4. Oude accounts opgeruimd
Accounts van vertrokken medewerkers, stagiairs of een oude leverancier die nog werken, worden makkelijk vergeten. Ze kosten licenties en vormen een open deur.
5. SPF, DKIM en DMARC ingesteld
Zonder deze drie kunnen anderen e-mail versturen die van jouw domein lijkt te komen. Dat wordt gebruikt voor phishing en nep-facturen aan je klanten. Lees ook: SPF, DKIM en DMARC uitgelegd.
6. Geen automatisch doorsturen naar buiten
Een regel die alle mail stilletjes doorstuurt naar een extern adres is een bekend teken van een overgenomen mailbox. Het automatisch doorsturen naar buiten kun je organisatiebreed blokkeren.
7. Bescherming tegen phishing en schadelijke bijlagen
Microsoft 365 heeft standaard bescherming, maar niet alle instellingen staan op het niveau dat je zou willen. Het loont om ze na te lopen.
Bestanden en delen
8. Delen buiten je bedrijf onder controle
Links in OneDrive en SharePoint die voor “iedereen met de link” werken, zijn handig — tot zo’n link wordt doorgestuurd. Kijk wie er buiten je organisatie bij je bestanden kan, en of gastgebruikers die toegang nog nodig hebben.
Toezicht
9. De auditlog staat aan
Als er iets misgaat, wil je kunnen nagaan wat er is gebeurd: wie heeft wanneer ingelogd, wat is er gedeeld of verwijderd. Zonder auditlog tast je in het duister.
10. Meldingen bij verdachte activiteit
Een inlog vanuit een vreemd land, ineens veel verwijderde bestanden: Microsoft 365 kan je waarschuwen. Dan moet iemand die meldingen wel ontvangen en lezen.
Zelf controleren of laten doen?
Met deze lijst kun je een eind komen. Wil je zeker weten hoe het ervoor staat, met een rapport in gewone taal en een technische bijlage voor je IT’er? Dat is precies wat de M365-audit doet.