Ontzorgde ICT van A tot Z
Een sterk wachtwoord en tweestapsverificatie zijn belangrijke maatregelen om uw bedrijfsgegevens te beschermen. Toch is dat niet altijd voldoende. Wat als een medewerker vanaf een onbekende computer probeert in te loggen op Microsoft 365? Of als iemand vanuit het buitenland toegang probeert te krijgen tot uw zakelijke e-mail?
Met Microsoft Entra Conditional Access kunt u bepalen onder welke voorwaarden medewerkers toegang krijgen tot bedrijfsgegevens en applicaties. U kunt bijvoorbeeld eisen dat iemand extra moet bevestigen dat hij of zij het echt is, of dat een computer voldoende beveiligd is. In bepaalde situaties kunt u de toegang zelfs volledig blokkeren.
Maar hoe werkt Conditional Access precies? En wat kunt u ermee? Ook als u een klein bedrijf heeft?
Wat is Microsoft Entra Conditional Access?
Microsoft Entra Conditional Access is een beveiligingsfunctie van Microsoft waarmee u regels instelt voor het aanmelden bij zakelijke applicaties en bedrijfsgegevens.
Microsoft Entra ID is de identiteitsdienst die controleert wie iemand is wanneer diegene bijvoorbeeld inlogt op Microsoft 365. Conditional Access voegt daar nog een extra controlelaag aan toe. Conditional Access kijkt niet alleen naar de identiteit van de gebruiker, maar ook naar de omstandigheden waaronder iemand probeert in te loggen.
Te vergelijken met een toegangspasje
U kunt het vergelijken met een toegangscontrole bij een bedrijfspand. Een medewerker heeft een toegangspas, maar dat betekent niet automatisch dat diegene overal naar binnen mag. Voor bepaalde ruimtes kan een aanvullende controle nodig zijn.
Met Conditional Access werkt dat op een vergelijkbare manier voor digitale toegang.
U bepaalt zelf welke regels gelden. Zo kunt u instellen dat medewerkers altijd tweestapsverificatie moeten gebruiken, dat toegang vanaf bepaalde locaties wordt geweigerd of dat gevoelige bedrijfsgegevens alleen toegankelijk zijn vanaf een beheerde computer.
Conditional Access wordt vooral gebruikt in combinatie met Microsoft 365, maar kan ook de toegang tot andere applicaties beveiligen die met Microsoft Entra ID samenwerken zoals CRM-systemen voor klantbeheer, boekhoudprogramma’s, HR-software en projectmanagementtools. Bekende voorbeelden zijn Salesforce, ServiceNow en SAP.
Hoe werkt Conditional Access?
Conditional Access werkt met zogenaamde beleidsregels, in het Engels policies genoemd. Iedere beleidsregel bepaalt wat er moet gebeuren wanneer iemand probeert toegang te krijgen tot een bepaalde applicatie of dienst.
De basis is eenvoudig: als een bepaalde situatie zich voordoet, dan moet aan een bepaalde beveiligingsvoorwaarde worden voldaan.
Stel dat een medewerker vanuit huis wil inloggen op Outlook om zakelijke e-mail te lezen. Microsoft Entra controleert eerst de identiteit van de medewerker. Vervolgens beoordeelt Conditional Access of er aanvullende beveiligingsmaatregelen nodig zijn.
Afhankelijk van de ingestelde regels kan de medewerker bijvoorbeeld direct toegang krijgen, eerst een extra verificatie moeten uitvoeren of helemaal geen toegang krijgen.
Bij deze beoordeling kan Conditional Access rekening houden met verschillende omstandigheden:
- De gebruiker die probeert in te loggen en de gebruikersgroep waartoe deze behoort.
- De applicatie die iemand wil gebruiken, zoals Outlook, Teams of SharePoint.
- De locatie of het IP-adres vanwaar iemand verbinding maakt.
- Het apparaat waarmee wordt ingelogd, bijvoorbeeld een bedrijfscomputer of een privételefoon.
- Het beveiligingsniveau van het apparaat, voor zover die informatie beschikbaar is.
- Risicosignalen rond de aanmelding, als de daarvoor benodigde licenties en beveiligingsfuncties aanwezig zijn.
Niet iedere organisatie heeft al deze mogelijkheden nodig. Voor veel kleinere bedrijven is het verstandig om te beginnen met een beperkt aantal duidelijke regels die de belangrijkste risico’s afdekken.
Wat kunt u met Conditional Access beveiligen?
Conditional Access is vooral interessant voor bedrijven die Microsoft 365 gebruiken. Zakelijke e-mail, documenten, agenda’s en andere bedrijfsgegevens zijn immers vaak vanaf verschillende locaties en apparaten bereikbaar.
Met de juiste instellingen kunt u beter bepalen wie toegang krijgt tot deze gegevens en onder welke voorwaarden.
1. Verplicht tweestapsverificatie
Een van de belangrijkste toepassingen is het verplicht stellen van multifactorauthenticatie (MFA).
Bij MFA is een wachtwoord alleen niet voldoende. De gebruiker moet ook een tweede controle uitvoeren, bijvoorbeeld via een authenticator-app.
Dat is belangrijk omdat wachtwoorden kunnen uitlekken door phishing, hergebruik van wachtwoorden of een datalek bij een andere dienst.
Met Conditional Access kunt u bijvoorbeeld instellen dat medewerkers bij het openen van Microsoft 365 aan MFA moeten voldoen. U kunt de regels ook afstemmen op specifieke gebruikersgroepen of applicaties.
Let op: Conditional Access is niet hetzelfde als MFA. MFA is een beveiligingsmaatregel die u kunt afdwingen met Conditional Access. Ook andere mechanismen kunnen aan de toegangsvoorwaarden worden gekoppeld.
2. Toegang vanaf onbeveiligde computers beperken
Niet iedere computer is even geschikt om zakelijke gegevens op te bekijken.
Een bedrijfscomputer die centraal wordt beheerd en regelmatig beveiligingsupdates krijgt, biedt doorgaans meer mogelijkheden voor controle dan een onbekende privécomputer.
Met Conditional Access kunt u instellen dat bepaalde applicaties alleen toegankelijk zijn vanaf apparaten die aan de beveiligingsvoorwaarden van uw organisatie voldoen.
Daarbij kan bijvoorbeeld worden gecontroleerd of een apparaat als compatibel is aangemerkt binnen Microsoft Intune.
Dit is vooral nuttig voor bedrijven die met gevoelige klantgegevens, financiële informatie of vertrouwelijke documenten werken.
Een belangrijke kanttekening: het feit dat een apparaat bekend is bij Microsoft Entra, betekent niet automatisch dat het ook veilig is. Voor een goede controle van de beveiligingsstatus zijn de juiste apparaatregistratie, beheerinstellingen en licenties nodig.
3. Inloggen vanuit bepaalde landen beperken
Werken uw medewerkers uitsluitend in Nederland? Dan kan het zinvol zijn om na te denken over aanmeldingen vanuit andere landen.
Conditional Access kan regels toepassen op basis van de locatie die bij een aanmelding wordt vastgesteld. Zo kunt u bijvoorbeeld toegang vanuit bepaalde landen blokkeren of aanvullende verificatie eisen wanneer iemand vanuit een afwijkende locatie probeert in te loggen.
Dit kan helpen om ongewenste toegang te beperken.
Toch is een geografische blokkade geen volledige beveiligingsoplossing. Cybercriminelen kunnen bijvoorbeeld gebruikmaken van verbindingen via andere landen. Bovendien kan een medewerker die op vakantie is juist wel vanuit het buitenland moeten kunnen werken.
Gebruik locatie daarom als onderdeel van een bredere beveiligingsstrategie en niet als enige controle.
4. Verdachte aanmeldingen extra controleren
Soms zijn er aanwijzingen dat een aanmelding mogelijk niet betrouwbaar is. Denk bijvoorbeeld aan een poging om in te loggen met gegevens die bij een verdachte activiteit betrokken zijn.
Afhankelijk van de beschikbare beveiligingsfuncties en licenties kan Conditional Access risicosignalen gebruiken om te bepalen of extra maatregelen nodig zijn.
Een risicovolle aanmelding kan bijvoorbeeld aanleiding zijn om aanvullende verificatie te eisen of de toegang te blokkeren.
Voor geavanceerde regels op basis van gebruikersrisico en aanmeldrisico is Microsoft Entra ID Protection nodig. Deze risicogestuurde mogelijkheden vallen onder Microsoft Entra ID P2.
Zonder deze aanvullende mogelijkheden kunt u nog steeds nuttige Conditional Access-regels instellen, bijvoorbeeld voor MFA, apparaten en locaties.
Wat is het verschil tussen Conditional Access en MFA?
Deze begrippen worden regelmatig door elkaar gehaald, maar ze betekenen niet hetzelfde.
MFA staat voor multifactorauthenticatie. Hierbij moet iemand op meerdere manieren aantonen dat hij of zij de juiste persoon is. Een wachtwoord in combinatie met een bevestiging via een authenticator-app is daar een voorbeeld van.
Conditional Access bepaalt onder welke omstandigheden bepaalde beveiligingsmaatregelen nodig zijn.
U kunt het verschil als volgt zien:
MFA controleert of iemand zijn identiteit voldoende kan bevestigen. Conditional Access bepaalt wanneer die controle nodig is en welke andere voorwaarden daarnaast gelden.
U kunt bijvoorbeeld een beleidsregel instellen waarbij medewerkers altijd MFA moeten gebruiken voor toegang tot Microsoft 365. Een andere regel kan bepalen dat toegang tot bepaalde bedrijfsgegevens alleen is toegestaan vanaf een beheerde computer.
Beide regels kunnen tegelijkertijd van toepassing zijn. In dat geval moet de gebruiker aan alle verplichte voorwaarden voldoen voordat toegang wordt verleend.
Dat maakt Conditional Access een belangrijk hulpmiddel om verschillende beveiligingsmaatregelen op elkaar af te stemmen.
Heeft Conditional Access zin voor een klein bedrijf?
Jazeker. Ook een bedrijf met twee of drie computers kan belangrijke bedrijfsgegevens in Microsoft 365 hebben staan.
Denk aan klantgegevens, offertes, facturen, personeelsinformatie en vertrouwelijke e-mail. Als een onbevoegde toegang krijgt tot een account, kunnen de gevolgen aanzienlijk zijn.
Een klein bedrijf heeft bovendien niet altijd een eigen ICT-medewerker die dagelijks de beveiliging controleert. Juist dan is het nuttig om beveiligingsregels zo in te richten dat ze automatisch worden toegepast.
Conditional Access kan bijvoorbeeld helpen om:
- MFA voor toegang tot zakelijke applicaties af te dwingen.
- Toegang vanaf niet-toegestane locaties te beperken.
- Bepaalde gegevens alleen toegankelijk te maken vanaf beheerde apparaten.
- De toegang tot bedrijfsapplicaties beter af te stemmen op de functie van een medewerker.
Dat betekent niet dat ieder klein bedrijf direct uitgebreide regels nodig heeft. Het gaat erom dat de beveiliging past bij de manier waarop uw organisatie werkt en bij de gegevens die u wilt beschermen.
Een praktische basis is meestal waardevoller dan een ingewikkelde verzameling regels die niemand goed beheert.
Welke Microsoft 365-licentie heeft u nodig?
Niet iedere Microsoft 365-licentie biedt dezelfde mogelijkheden voor Conditional Access. Het is daarom verstandig om eerst te controleren welke licenties uw organisatie gebruikt.
Voor de reguliere Conditional Access-functionaliteit is Microsoft Entra ID P1 vereist. Deze functionaliteit is ook beschikbaar met Microsoft 365 Business Premium.
Gebruikt u Microsoft 365 Business Basic of Business Standard? Dan kunt u niet zonder meer aannemen dat u daarmee over de volledige Conditional Access-functionaliteit beschikt. Controleer welke Entra-licentie bij uw abonnement hoort en welke beveiligingsfuncties daadwerkelijk beschikbaar zijn.
Voor risicogestuurde beleidsregels op basis van aanmeldrisico en gebruikersrisico is Microsoft Entra ID P2 nodig, met de bijbehorende Microsoft Entra ID Protection-functionaliteit.
Ook voor aanvullende mogelijkheden, zoals het controleren van de apparaatstatus met Microsoft Intune, kunnen specifieke licenties en een correcte inrichting noodzakelijk zijn.
Het verschil tussen de abonnementen is dus niet alleen hoeveel programma’s u krijgt. Het bepaalt mede welke mogelijkheden u heeft om de toegang tot uw bedrijfsgegevens gericht te beveiligen.
Hoe stelt u Conditional Access goed in?
Conditional Access biedt veel mogelijkheden, maar een verkeerde instelling kan ervoor zorgen dat medewerkers niet meer kunnen inloggen. Daarom is het verstandig om vooraf goed na te denken over de gewenste beveiliging.
Nomad IT kan u hiermee helpen. Neem gerust contact op als u hier meer over wilt weten.
Begin met de belangrijkste risico’s
Breng eerst in kaart welke applicaties uw medewerkers gebruiken, vanaf welke apparaten zij werken en welke gegevens extra bescherming nodig hebben.
Voor een klein bedrijf kan het bijvoorbeeld voldoende zijn om te beginnen met de beveiliging van Microsoft 365-accounts en de computers waarop bedrijfsgegevens worden verwerkt.
Maak duidelijke beleidsregels
Bepaal vervolgens welke voorwaarden u wilt stellen. Denk aan verplichte MFA, het beperken van toegang vanaf bepaalde locaties of het alleen toestaan van toegang vanaf beheerde apparaten.
Zorg dat iedere regel een duidelijk doel heeft. Te veel overlappende regels maken het beheer onnodig ingewikkeld.
Test voordat u de regels activeert
Een belangrijke functie van Conditional Access is de mogelijkheid om beleidsregels eerst in de rapportagemodus, ook wel report-only genoemd, te testen.
In deze modus kunt u bekijken welk effect een regel zou hebben zonder dat deze direct de toegang blokkeert of aanvullende voorwaarden afdwingt.
Dat helpt om onverwachte problemen te ontdekken voordat medewerkers ermee te maken krijgen.
Gebruik daarnaast de functie What If om te onderzoeken hoe bepaalde beleidsregels op een specifieke aanmeldsituatie zouden reageren. Houd er rekening mee dat zo’n simulatie niet iedere mogelijke praktijksituatie volledig kan nabootsen.
Voorkom dat beheerders zichzelf buitensluiten
Bij het instellen van Conditional Access moet u extra voorzichtig zijn met accounts die verantwoordelijk zijn voor het beheer van Microsoft 365.
Een verkeerd ingestelde regel kan er bijvoorbeeld voor zorgen dat beheerders geen toegang meer krijgen tot het beheerportaal.
Zorg daarom voor een goed getest herstelplan, passende uitzonderingen waar nodig en zorgvuldig beveiligde noodaccounts. Deze noodaccounts moeten zelf ook goed worden beschermd en regelmatig worden gecontroleerd.
Activeer nieuwe regels bij voorkeur stapsgewijs en controleer na iedere wijziging of medewerkers nog op de bedoelde manier kunnen werken.
Conditional Access is geen complete beveiligingsoplossing
Conditional Access kan de kans op ongewenste toegang verkleinen, maar beschermt uw bedrijf niet tegen alle vormen van cybercriminaliteit.
Het voorkomt bijvoorbeeld niet automatisch dat een medewerker op een schadelijke bijlage klikt of dat belangrijke gegevens verloren gaan door een defecte computer.
Ook kunnen gestolen aanmeldsessies en andere geavanceerde aanvallen aanvullende beveiligingsmaatregelen noodzakelijk maken.
Voor een goede bescherming van uw bedrijfsgegevens is daarom een combinatie van maatregelen nodig. Denk aan multifactorauthenticatie, goed beheerde computers, beveiliging van e-mail, actuele software, monitoring en betrouwbare back-ups.
Daarnaast is het belangrijk om regelmatig te controleren of de beveiligingsinstellingen nog aansluiten bij de manier waarop uw bedrijf werkt. Nieuwe medewerkers, gewijzigde functies en nieuwe applicaties kunnen aanleiding zijn om de toegangsregels aan te passen.
Laat Microsoft Entra Conditional Access professioneel inrichten
Conditional Access is een krachtige manier om de toegang tot Microsoft 365 en andere zakelijke applicaties beter te beveiligen. U bepaalt niet alleen wie mag inloggen, maar ook aan welke voorwaarden een gebruiker moet voldoen voordat toegang wordt verleend.
Voor het MKB is vooral de combinatie van goede beveiliging en praktisch werken belangrijk. Medewerkers moeten hun werk kunnen doen, zonder dat bedrijfsgegevens onnodig risico lopen.
Nomad IT helpt bedrijven bij het beveiligen en beheren van hun Microsoft 365-omgeving. Daarbij kijken we niet alleen naar Conditional Access, maar ook naar MFA, apparaatbeheer, gebruikersaccounts en de overige beveiligingsinstellingen.
Zo zorgen we ervoor dat de maatregelen aansluiten bij uw organisatie en dat uw medewerkers veilig kunnen blijven werken. Ook als u geen eigen ICT-afdeling heeft, kunt u beschikken over een goed ingerichte en beheerde ICT-omgeving.