Microsoft 365 veiliger maken in één middag

De meeste inbraken bij mkb-bedrijven zijn geen ingewikkelde hacks. Iemand klikt op een nepmail, vult zijn wachtwoord in op een nagemaakte inlogpagina, en de aanvaller logt gewoon in. Geen software gekraakt, maar een deur die openstond.

Hieronder vijf instellingen die dat grootste deel tegenhouden. Je hebt er beheerdersrechten voor nodig en een halve middag. Extra software niet.

1. Tweestapsverificatie voor iedereen

Dit is verreweg de belangrijkste. Met tweestapsverificatie heeft een aanvaller aan alleen je wachtwoord niets. Hij heeft ook de code uit je telefoon nodig.

De valkuil: het staat vaak alleen aan voor de directeur en de systeembeheerder. Juist de administratie en de inkoop zijn interessante doelwitten, want daar gaat het geld doorheen.

Waar: Microsoft Entra-beheercentrum → Beveiliging → Standaardinstellingen voor beveiliging. Zet dit aan als je nog niets hebt ingericht; het regelt tweestapsverificatie voor alle gebruikers in één keer.

2. Zorg dat er geen mail wordt doorgestuurd zonder dat je het weet

Een klassieke truc: een aanvaller komt binnen in een mailbox en stelt een regel in die alle binnenkomende mail doorstuurt naar zijn eigen adres. Hij leest maandenlang mee, wacht op een factuur, en stuurt dan een nette wijziging van het rekeningnummer.

Waar: Exchange-beheercentrum → controleer of automatisch doorsturen naar externe adressen geblokkeerd is. Loop daarna in elke mailbox de bestaande regels na, want die blijven anders gewoon staan.

3. Ruim oude accounts op

Elk account van een oud-medewerker dat nog kan inloggen is een openstaande deur, en het is een vraag die op vrijwel elke veiligheidsvragenlijst van een opdrachtgever staat.

Blokkeer het account bij vertrek, maar verwijder het niet meteen, want je hebt de mail vaak nog nodig. Zet de mailbox om naar een gedeeld postvak, dat is gratis en dan blijft de historie beschikbaar.

4. Kijk wie er bij welke mappen kan

In veel bedrijven groeit dit vanzelf scheef. Iemand deelt een map "even met iedereen", er wordt een link gemaakt die voor de hele wereld werkt, en niemand zet het ooit terug.

Waar: SharePoint-beheercentrum → Beleid → Delen. Zet standaard delen op "alleen mensen in je organisatie". Wie een link naar buiten nodig heeft, kan dat per keer nog steeds.

5. Zet aan dat je kunt terugkijken

Als er ooit iets gebeurt, wil je kunnen zien wat er precies is gebeurd: wie logde wanneer in, vanaf welke locatie, welke bestanden zijn geopend. Dat heet auditlogging.

Het kost niets en het staat bij een deel van de abonnementen standaard uit. Zet het nu aan. Achteraf aanzetten helpt niet, want dan is de informatie van vóór dat moment er simpelweg niet.

Kort samengevat

• Tweestapsverificatie voor iedereen, niet alleen de directie.
• Blokkeer automatisch doorsturen naar buiten en controleer bestaande regels.
• Blokkeer accounts van vertrokken medewerkers, zet de mailbox om naar gedeeld.
• Zet standaard delen op "alleen binnen de organisatie".
• Zet auditlogging aan, vandaag nog.

Alle vijf zijn ze gratis en zitten ze in je bestaande abonnement. Kom je er niet uit, of wil je zeker weten dat het goed staat: dat is precies wat we in de gratis IT-scan bekijken.