Microsoft 365 bevat veel mogelijkheden om een organisatie te beveiligen, maar een licentie alleen maakt een omgeving nog niet veilig. Voor theaters, musea en andere culturele instellingen is vooral de inrichting belangrijk. Vaste medewerkers, flexwerkers, verschillende afdelingen, gedeelde werkplekken en externe partijen gebruiken immers allemaal op een andere manier de ICT-omgeving.
Een praktische manier om Microsoft 365-beveiliging te benaderen is daarom vanuit vijf beveiligingslagen: identiteiten, toegang, endpoints, data en bedreigingsdetectie. Door voor iedere laag duidelijke standaarden vast te leggen, voorkom je dat beveiliging afhankelijk wordt van losse instellingen en uitzonderingen.
Waarom vraagt Microsoft 365 om meer dan alleen MFA?
Microsoft 365 is veel meer dan Outlook en Word. Voor veel organisaties vormt het inmiddels de centrale omgeving voor e-mail, documenten, samenwerking, apparaten en identiteiten.
Dat betekent ook dat één gebruikersaccount toegang kan geven tot veel verschillende onderdelen van de organisatie.
Multifactorauthenticatie (MFA) is daarom een belangrijke beveiligingsmaatregel, maar slechts één onderdeel van het geheel. Je moet ook bepalen vanaf welke apparaten iemand mag werken, welke informatie iemand kan benaderen, wat extern gedeeld mag worden en wat er gebeurt wanneer afwijkend of verdacht gedrag wordt gedetecteerd.
Voor culturele instellingen komt daar een extra uitdaging bij. Een vaste medewerker op kantoor werkt anders dan een flexwerker op een eigen laptop. Een baliemedewerker gebruikt mogelijk een gedeelde werkplek, terwijl een manager vanaf verschillende locaties werkt. Daarnaast hebben afdelingen als financiën, marketing, programmering en techniek ieder toegang tot andere informatie en applicaties nodig.
Daarom helpt het om Microsoft 365-security niet als één technische instelling te bekijken, maar als een model met vijf samenhangende beveiligingslagen.
De vijf beveiligingslagen van Microsoft 365
1. Identiteiten: weet wie toegang probeert te krijgen
De eerste beveiligingslaag is de identiteit van de gebruiker.
Iedere medewerker hoort een eigen account te hebben. Daarmee kan worden vastgesteld wie toegang krijgt tot Microsoft 365 en kunnen rechten, beveiligingsinstellingen en activiteiten aan een individuele identiteit worden gekoppeld.
Daarbij horen maatregelen zoals multifactorauthenticatie, veilige authenticatiemethoden en aparte beheeraccounts voor medewerkers die administratieve rechten nodig hebben.
Ook het proces rondom medewerkers is belangrijk. Wanneer iemand in dienst komt, van functie verandert of vertrekt, moeten accounts en rechten worden aangepast. Een technisch goed beveiligd account dat na uitdiensttreding actief blijft, is immers nog steeds een risico.
Daarom hoort identiteitsbeheer nauw aan te sluiten op een goed onboarding- en offboardingproces.
2. Toegang: bepaal niet alleen wie iemand is, maar ook waar iemand bij mag
Na het vaststellen van de identiteit volgt de vraag: waar mag deze persoon eigenlijk bij?
Niet iedere medewerker hoeft toegang te hebben tot dezelfde documenten, applicaties en omgevingen. Een medewerker van financiën heeft andere informatie nodig dan iemand van marketing, techniek of programmering.
Door rechten zoveel mogelijk aan rollen en groepen te koppelen, wordt voorkomen dat toegang bij iedere medewerker afzonderlijk moet worden ingericht.
Microsoft Entra en Conditional Access kunnen daarnaast worden gebruikt om voorwaarden te stellen aan toegang. Er kan bijvoorbeeld rekening worden gehouden met de gebruiker, het apparaat en andere signalen voordat toegang wordt verleend.
Dat is vooral relevant wanneer medewerkers niet alleen vanaf kantoor werken, maar ook thuis, onderweg of vanaf verschillende apparaten.
Het uitgangspunt is daarbij eenvoudig: geef iemand de toegang die nodig is om het werk te kunnen doen, maar niet automatisch meer dan dat.
3. Endpoints: beveilig vaste én flexibele werkplekken
De derde laag bestaat uit de apparaten waarmee Microsoft 365 wordt gebruikt.
Bij een culturele instelling kunnen dat verschillende soorten endpoints zijn:
- vaste laptops van medewerkers;
- desktops op kantoor;
- gedeelde balie- of receptiewerkplekken;
- smartphones en tablets;
- apparaten van flexwerkers;
- privéapparaten die voor werk worden gebruikt (BYOD).
Niet ieder apparaat hoeft op dezelfde manier te worden beheerd, maar de organisatie moet wel bepalen onder welke voorwaarden een apparaat toegang krijgt tot zakelijke informatie.
Microsoft 365 Business Premium bevat hiervoor onder andere Microsoft Intune voor apparaat- en applicatiebeheer en Microsoft Defender for Business voor endpointbeveiliging.
Daarmee kunnen bijvoorbeeld beveiligingsinstellingen centraal worden toegepast, apparaten worden beheerd en bedreigingen op endpoints worden gedetecteerd.
Voor BYOD kan een andere aanpak nodig zijn dan voor een volledig beheerde laptop. Een organisatie wil bijvoorbeeld voorkomen dat zakelijke informatie onbeheerd op een privéapparaat achterblijft, zonder noodzakelijkerwijs het volledige privéapparaat van een medewerker te beheren.
De juiste aanpak hangt daarom af van het type gebruiker en apparaat. Ook hier helpt standaardisatie van de ICT-omgeving: bepaal vooraf welke typen werkplekken worden ondersteund en welke beveiligingsregels daarbij horen.
4. Data: weet waar informatie staat en wie erbij kan
Microsoft 365 goed beveiligen betekent ook grip houden op de informatie zelf.
In de praktijk ontstaat gemakkelijk een combinatie van Teams, SharePoint-sites, OneDrive, gedeelde mailboxen en documenten die extern zijn gedeeld. Wanneer iedere afdeling daarin een eigen werkwijze ontwikkelt, wordt het steeds moeilijker om te bepalen waar informatie hoort te staan en wie toegang heeft.
Een duidelijke informatiestructuur helpt dat te voorkomen.
Denk bijvoorbeeld aan afspraken over:
- welke informatie in Teams en SharePoint wordt opgeslagen;
- welke SharePoint-sites bij welke afdelingen of processen horen;
- wie eigenaar is van een Team of SharePoint-site;
- welke informatie extern gedeeld mag worden;
- hoe toegang voor gasten wordt geregeld;
- hoe periodiek wordt gecontroleerd of rechten nog nodig zijn.
Technische beveiliging en informatiebeheer komen hier samen. Een document kan technisch uitstekend beveiligd zijn, maar wanneer tientallen mensen onnodig toegang hebben, blijft er een risico bestaan.
Daarom hoort het beheer van data en toegangsrechten structureel onderdeel te zijn van Microsoft 365-beheer.
5. Bedreigingsdetectie: detecteer en stop bedreigingen voordat ze een incident worden
De vijfde laag is XDR (uitgebreide detectie en respons): het herkennen, blokkeren en onderzoeken van digitale bedreigingen zoals phishing, malware, ransomware en verdachte activiteiten binnen de Microsoft 365-omgeving.
Preventieve maatregelen zoals MFA, Conditional Access en goed beheerde endpoints verkleinen de kans op een incident, maar kunnen niet iedere aanval voorkomen. Daarom is het ook belangrijk om afwijkend en verdacht gedrag zo vroeg mogelijk te detecteren.
Microsoft Defender bestaat uit verschillende beveiligingsdiensten die bescherming bieden voor onder andere e-mail, apparaten, identiteiten en cloudapplicaties. Afhankelijk van de gebruikte Microsoft 365-licenties kunnen bijvoorbeeld verdachte e-mails en links worden geblokkeerd, malware op endpoints worden gedetecteerd en afwijkende activiteiten van gebruikers of apparaten zichtbaar worden gemaakt.
Het doel is daarbij niet alleen om een melding te krijgen nadat er iets is gebeurd. Goede Threat Protection helpt om bedreigingen vroegtijdig te signaleren, automatisch te blokkeren waar dat mogelijk is en incidenten te onderzoeken voordat de impact groter wordt.
Dat is belangrijk omdat een aanval zich over meerdere onderdelen van de omgeving kan bewegen. Een phishingmail kan bijvoorbeeld leiden tot een gestolen account, waarna een aanvaller toegang probeert te krijgen tot documenten of vanuit het account andere medewerkers benadert.
Door signalen vanuit verschillende onderdelen van de omgeving bij elkaar te brengen, kan zo’n patroon eerder zichtbaar worden en kan sneller worden ingegrepen.
Ook hier geldt dat alleen het aanschaffen van beveiligingssoftware niet voldoende is. Meldingen moeten worden beoordeeld, beveiligingsinstellingen moeten worden onderhouden en bij een serieus incident moet duidelijk zijn wie verantwoordelijk is voor opvolging en welke stappen worden genomen.
Netwerkbeveiliging hoort niet bij Microsoft 365, maar wel bij het totaalplaatje
De vijf beveiligingslagen hierboven richten zich op de Microsoft 365-omgeving. Daarmee is echter niet de volledige ICT-omgeving van een culturele instelling beveiligd.
Gebruikers en apparaten maken via het netwerk verbinding met Microsoft 365 en andere systemen. Bij theaters, musea en podia wordt diezelfde netwerkinfrastructuur bovendien vaak gebruikt voor veel meer dan alleen kantoorautomatisering. Denk aan publiekswifi, ticketing, kassa’s, gebouwgebonden systemen en delen van de theatertechniek.
Daarom moet naast Microsoft 365 ook worden gekeken naar firewalls, netwerksegmentatie, wifi, monitoring, apparatuur en de scheiding tussen verschillende soorten netwerkverkeer.
Een bezoeker op de publiekswifi hoeft bijvoorbeeld geen toegang te hebben tot hetzelfde netwerksegment als een beheerde kantoorwerkplek. Ook theatertechniek, kassasystemen en apparatuur van externe leveranciers hoeven niet automatisch toegang te krijgen tot het netwerk waarop de kantooromgeving actief is.
Netwerkbeheer is daarmee geen onderdeel van Microsoft 365-beheer, maar vormt wel een belangrijk onderdeel van de totale beveiliging van de organisatie. Een goed beveiligde Microsoft 365-omgeving kan immers niet alle risico’s oplossen die ontstaan in de onderliggende infrastructuur.
Voor culturele instellingen is het daarom verstandig Microsoft 365-security en professioneel netwerkbeheer als twee afzonderlijke beheergebieden te behandelen die binnen de totale ICT-beveiliging wel op elkaar moeten aansluiten.
Microsoft 365 Business Premium en non-profitprijzen
Voor culturele instellingen met een non-profitstatus kan Microsoft 365 financieel extra interessant zijn. Organisaties die aan de voorwaarden van Microsoft voldoen, kunnen gebruikmaken van speciale non-profitaanbiedingen en kortingen.
Microsoft geeft aan dat in aanmerking komende non-profitorganisaties korting kunnen krijgen op verschillende Microsoft 365-abonnementen. Daardoor kan bijvoorbeeld Microsoft 365 Business Premium tegen een aanzienlijk lager tarief beschikbaar zijn dan de reguliere commerciële prijs.
Business Premium is voor organisaties tot 300 gebruikers interessant omdat productiviteit, apparaatbeheer en verschillende beveiligingsmogelijkheden in één licentie worden gecombineerd.
Microsoft 365 Business Premium bevat onder andere:
- Microsoft Entra ID P1 voor identiteits- en toegangsbeheer;
- Microsoft Intune Plan 1 voor apparaat- en applicatiebeheer;
- Microsoft Defender for Business voor endpointbeveiliging;
- Microsoft Defender for Office 365 Plan 1 voor bescherming van e-mail en samenwerking;
- mogelijkheden voor informatiebeveiliging en gegevensbescherming.
Daarmee is binnen één licentie al veel technologie beschikbaar om verschillende onderdelen van de Microsoft 365-omgeving te beveiligen.
Belangrijk is wel dat een culturele instelling niet automatisch in aanmerking komt voor non-profitprijzen. De organisatie moet voldoen aan de voorwaarden van Microsoft. Ook kunnen voorwaarden, kortingen en licentieprogramma’s veranderen. Controleer daarom altijd de actuele voorwaarden op de Microsoft 365-pagina voor non-profitorganisaties.
Wanneer is de Microsoft Defender Suite interessant?
Microsoft 365 Business Premium bevat al verschillende beveiligingsproducten. Organisaties die aanvullende beveiligingsmogelijkheden nodig hebben, kunnen Business Premium uitbreiden met de Microsoft Defender Suite for Business Premium.
Deze aanvullende licentie breidt de beveiligingsmogelijkheden onder andere uit met:
- Microsoft Entra ID P2;
- Microsoft Defender for Identity;
- Microsoft Defender for Endpoint Plan 2;
- Microsoft Defender for Office 365 Plan 2;
- Microsoft Defender for Cloud Apps.
Microsoft biedt deze Defender Suite ook als add-on voor de non-profitvariant van Microsoft 365 Business Premium.
Of deze aanvullende suite nodig is, hangt af van de risico’s, omvang en beveiligingsbehoefte van de organisatie. Meer technologie is niet automatisch betere beveiliging. De mogelijkheden moeten ook daadwerkelijk worden ingericht, beheerd en opgevolgd.
Daarom is het verstandig eerst te bepalen welke beveiligingsrisico’s de organisatie wil beheersen en vervolgens te bekijken welke Microsoft-licenties en functionaliteiten daarvoor nodig zijn.
Praktijkvoorbeeld: Microsoft 365 bij een regionaal theater
Stel een theater met ongeveer 100 medewerkers. De vaste medewerkers beschikken grotendeels over beheerde laptops, maar daarnaast zijn er flexwerkers, gedeelde baliewerkplekken en medewerkers die incidenteel een privéapparaat gebruiken.
Verschillende afdelingen werken in Teams en SharePoint. Marketing deelt regelmatig documenten met externe partijen, financiën werkt met vertrouwelijke informatie en medewerkers worden gedurende hun dienstverband aan verschillende Teams en groepen toegevoegd.
De organisatie gebruikt al MFA. Toch betekent dat niet automatisch dat de volledige Microsoft 365-omgeving goed is beveiligd.
Door de omgeving vanuit de vijf beveiligingslagen te bekijken, ontstaat een ander beeld. Identiteiten worden gekoppeld aan duidelijke rollen, toegang wordt via groepen ingericht, beheerde apparaten krijgen vaste beveiligingsstandaarden en voor BYOD worden aparte afspraken gemaakt. Teams en SharePoint worden volgens een duidelijke structuur ingericht en Microsoft Defender wordt gebruikt om bedreigingen over de verschillende onderdelen van de omgeving te detecteren en waar mogelijk te blokkeren.
Daarnaast wordt het onderliggende netwerk als afzonderlijk beveiligingsgebied ingericht, waarbij kantoor-, publieks- en technische netwerken logisch van elkaar worden gescheiden.
De belangrijkste verandering is daarmee niet één nieuw beveiligingsproduct. Het is dat identiteit, toegang, endpoints, data en bedreigingen als één samenhangend beveiligingsmodel worden behandeld, terwijl ook de rest van de ICT-infrastructuur onderdeel blijft van de totale beveiligingsstrategie.
Hoe begin je met het verbeteren van Microsoft 365-security?
Een organisatie hoeft niet alle beveiligingsmaatregelen tegelijkertijd te implementeren. Begin met overzicht en werk vervolgens per beveiligingslaag.
Een praktische volgorde is:
- Stap 1: breng gebruikers, accounts en beheerdersrechten in kaart;
- Stap 2: controleer MFA, Conditional Access en toegangsrechten;
- Stap 3: bepaal welke typen apparaten worden gebruikt en hoe deze worden beheerd;
- Stap 4: maak inzichtelijk waar informatie in Teams en SharePoint staat en wie toegang heeft;
- Stap 5: controleer hoe Threat Protection is ingericht en wie beveiligingsmeldingen opvolgt;
- Stap 6: beoordeel ook de onderliggende netwerkinfrastructuur en de scheiding tussen kantoor-, gast- en technische netwerken;
- Stap 7: bepaal welke risico’s overblijven en welke aanvullende beveiligingsmaatregelen of licenties daarvoor nodig zijn.
Deze volgorde voorkomt dat de discussie meteen begint bij het aanschaffen van extra securityproducten. Eerst moet duidelijk zijn hoe de huidige omgeving is ingericht, welke beveiligingsmogelijkheden al beschikbaar zijn en waar de grootste risico’s zitten.
Conclusie
Microsoft 365 biedt culturele instellingen veel mogelijkheden om veilig digitaal te werken, zeker wanneer een organisatie in aanmerking komt voor de speciale non-profitvoorwaarden van Microsoft.
Maar een goede licentie is slechts het gereedschap. De daadwerkelijke beveiliging ontstaat door identiteiten, toegang, endpoints, data en Threat Protection volgens duidelijke standaarden in te richten en structureel te beheren.
Voor theaters, musea en andere culturele instellingen is dat extra relevant vanwege de combinatie van vaste medewerkers, flexwerkers, verschillende afdelingen, gedeelde apparaten en externe partijen.
Daarnaast moet Microsoft 365 altijd worden bekeken als onderdeel van de bredere ICT-omgeving. Netwerkbeveiliging valt buiten Microsoft 365, maar blijft essentieel voor de totale beveiliging van de organisatie.
Wie deze onderdelen in samenhang benadert, maakt security niet alleen technisch sterker, maar ook beter beheersbaar.
Over Yitte
Yitte ondersteunt theaters, musea en andere culturele organisaties bij het structureren, beheren en beveiligen van hun ICT-omgeving. Daarbij kijken we naar de samenhang tussen Microsoft 365, identiteiten, werkplekken, data, beveiligingsdreigingen en de onderliggende ICT-infrastructuur. Zo wordt beveiliging onderdeel van de dagelijkse ICT-omgeving in plaats van een verzameling losse maatregelen.