MFA en Conditional Access voor het mkb

Een wachtwoord alleen beschermt een zakelijk account niet meer. Phishingmails zien er tegenwoordig overtuigend uit, wachtwoorden worden hergebruikt en inlogpogingen zijn geautomatiseerd: een aanvaller hoeft niet in te breken, maar alleen één medewerker op het verkeerde moment te overtuigen.

De basisbeveiliging voor het mkb bestaat daarom uit twee lagen. Meervoudige verificatie (MFA) vraagt naast het wachtwoord een tweede bewijs, zoals een bevestiging in een app. Conditional Access voegt daar beleid aan toe: wie mag inloggen, waarvandaan, met welk apparaat en onder welke voorwaarden. MFA is het extra slot, Conditional Access de portier die per situatie beslist.

Beide horen bij Microsoft 365. Hieronder lees je wat een goede basisinrichting inhoudt, welke drempels je bij de invoering tegenkomt en wat het kost.

Waarom een wachtwoord alleen niet volstaat

Wachtwoorden lekken — en niet per se bij jou. Medewerkers gebruiken hetzelfde wachtwoord vaak ook privé, en na een datalek elders ligt het op straat. Daarnaast is phishing laagdrempelig geworden: een nagemaakte inlogpagina is genoeg om een wachtwoord af te vangen. Microsoft geeft al jaren aan dat meervoudige verificatie verreweg de meeste geautomatiseerde aanvallen op accounts tegenhoudt.

Het gevolg van een overgenomen mailbox blijft zelden beperkt tot die ene mailbox. Vanuit een echt account worden facturen omgeleid, collega’s en klanten gephisht en bestanden buitgemaakt. Voorkomen is hier aanzienlijk goedkoper dan opruimen.

Wat is MFA

MFA (multi-factor authenticatie) combineert iets dat je weet — het wachtwoord — met iets dat je hebt, zoals je telefoon of een hardwaresleutel. Bij Microsoft 365 betekent dat in de praktijk meestal een melding in de Microsoft Authenticator-app, waarin je een getal bevestigt dat op het inlogscherm staat. Een gestolen wachtwoord alleen is daarmee niet meer genoeg.

MFA is beschikbaar in elk Microsoft 365-abonnement en vraagt geen extra licentie. Dat maakt het de eerste maatregel die elk bedrijf vandaag kan nemen.

Wat voegt Conditional Access toe

MFA beantwoordt de vraag “ben jij het echt?”. Conditional Access beantwoordt de vervolgvraag: “mag dit, in deze situatie?”. Je legt beleid vast dat bij elke inlogpoging automatisch wordt toegepast. Voorbeelden:

• verouderde inlogmethoden die MFA omzeilen (legacy authentication) worden geblokkeerd;
• gevoelige gegevens zijn alleen bereikbaar vanaf beheerde, versleutelde apparaten;
• beheerdersaccounts krijgen strengere eisen dan gewone gebruikers;
• inlogpogingen uit landen waar je niet werkt worden geblokkeerd of extra gecontroleerd.

Conditional Access vereist Microsoft Entra ID P1, dat onder meer in Microsoft 365 Business Premium zit. Voor het herkennen van beheerde apparaten werkt het samen met Microsoft Intune.

Hoe een goede baseline eruitziet

Een degelijke basisinrichting voor het mkb bevat in elk geval:

1. MFA voor álle gebruikers — juist ook beheerders — zonder permanente uitzonderingen;
2. een blokkade van legacy authentication;
3. strengere regels voor beheerdersrollen dan voor gewone accounts;
4. toegang tot gevoelige gegevens gekoppeld aan beheerde apparaten;
5. een apart, goed beveiligd noodaccount (break-glass), zodat je jezelf nooit buitensluit;
6. een gefaseerde invoering: beleid draait eerst mee in rapportagemodus, zodat je ziet wat het zou blokkeren voordat het echt afdwingt.

De laatste twee punten worden vaak overgeslagen — en veroorzaken dan precies de problemen waar bedrijven vooraf bang voor waren.

Drempels bij invoering en hoe je die wegneemt

“Medewerkers vinden het gedoe.” De eerste week went het, daarna kost een bevestiging enkele seconden. Vertrouwde apparaten kun je bovendien minder vaak om verificatie laten vragen, zodat de vraag vooral komt wanneer er iets afwijkt.

“Ik wil geen zakelijke app op mijn privételefoon.” De Authenticator-app leest niets van de telefoon en werkt zonder dat het toestel beheerd wordt. Wil iemand het echt niet, dan is een hardwaresleutel een goed alternatief.

“Straks sluiten we onszelf buiten.” Daarvoor bestaan de rapportagemodus en het noodaccount uit de baseline: je ziet vooraf wat het beleid zou doen en houdt altijd een gecontroleerde toegang voor noodgevallen.

“Eén van onze systemen kan geen MFA aan.” Dat is een reden voor een tijdelijke, gedocumenteerde uitzondering met einddatum — niet om de hele invoering uit te stellen. Uitzonderingen zijn precies de plekken waar aanvallers naar zoeken.

Wat kost dit

De inrichting van een Conditional Access-baseline is eenmalig projectwerk. Daarvoor inventariseren we je situatie, stellen we de beleidsset op, laten we die eerst in rapportagemodus meedraaien en zetten we hem daarna gecontroleerd aan, inclusief noodaccount en documentatie.

Het doorlopende beheer — beleid actueel houden, afwijkingen beoordelen, nieuwe medewerkers en apparaten meenemen — valt binnen ons pakket Workplace Secure, dat per gebruiker per maand loopt. Voor Conditional Access heb je een licentie met Microsoft Entra ID P1 nodig, zoals Microsoft 365 Business Premium; die licentiekosten lopen via Microsoft.

Hoe SEBA Connect hierbij helpt

Wij richten MFA en Conditional Access in als vast onderdeel van Microsoft 365-beheer en de moderne werkplek, inclusief gefaseerde uitrol en uitleg voor je team. De status van je beveiliging zie je terug in het SEBA Connect-klantportal. Wil je weten waar jouw omgeving nu staat, neem dan contact op voor een vrijblijvende eerste check.