Conditional Access in Microsoft 365: zo richt je het veilig in

Met Conditional Access (in het Nederlandse beheercentrum heet het Voorwaardelijke toegang) bepaal je in Microsoft 365 wie onder welke omstandigheden mag inloggen. Elke beleidsregel werkt als een als-dan-regel: komt iemand van buiten het kantoor, dan moet hij MFA doen. Is het een beheerder, dan altijd. Gebruikt hij een verouderd mailprotocol, dan wordt de toegang geblokkeerd. Je hebt er een licentie met Microsoft Entra ID P1 of P2 voor nodig, zoals Microsoft 365 Business Premium. Begin met een paar basisregels en zet elke nieuwe regel eerst in de stand Alleen rapporteren. Zo voorkom je dat je op maandagochtend het hele kantoor buitensluit. Hieronder lees je hoe het werkt, welke regels je als eerste instelt en hoe je een blokkade uitzoekt als die toch optreedt.

Kort samengevat

• Conditional Access is de beleidsengine van Microsoft Entra ID. Bij elke aanmelding kijkt die naar signalen zoals de gebruiker, het apparaat, de locatie en het risico, en beslist dan: toestaan, extra eisen stellen of blokkeren.
• Je hebt Microsoft Entra ID P1 of P2 nodig, bijvoorbeeld via Business Premium, E3 of E5. Zonder die licentie blijven de gratis standaardinstellingen voor beveiliging over.
• De basis voor elk mkb: MFA voor alle gebruikers, strengere MFA voor beheerders, verouderde verificatie blokkeren en Azure-beheer extra beveiligen.
• Test elke regel eerst in Alleen rapporteren en met het What If-hulpmiddel. Zet hem pas aan als de aanmeldingslogboeken geen verrassingen meer laten zien.
• Houd altijd een noodaccount buiten je beleidsregels, zodat je zelf nooit buitengesloten raakt.

Inhoudsopgave

• Wat Conditional Access in Microsoft 365 precies doet
• Zo is een beleidsregel opgebouwd
• Welke licentie heb je nodig?
• De eerste beleidsregels voor een mkb-omgeving
• Stap voor stap: een beleid veilig uitrollen
• Best practices die onbedoelde blokkades voorkomen
• Waarom wordt een aanmelding geblokkeerd?
• Hoe wij naar Conditional Access kijken
• Conditional Access laten inrichten zonder gedoe
• Veelgestelde vragen
• Bronnen

Wat Conditional Access in Microsoft 365 precies doet

Vroeger was beveiliging vooral een kwestie van het netwerk: wie binnen de firewall zat, werd vertrouwd. Bij Microsoft 365 werkt dat niet meer. Je medewerkers lezen hun mail op een telefoon in de trein, openen SharePoint thuis op een laptop en loggen in vanaf hotelwifi. De toegangspoort is daarmee niet meer het kantoornetwerk maar de identiteit van de gebruiker.

Daar komt Conditional Access in beeld. Volgens Microsoft Learn is voorwaardelijke toegang de Zero Trust-beleidsengine die signalen uit verschillende bronnen samenbrengt en op basis daarvan beslist. Een beleidsregel is in de kern een als-dan-instructie: als een gebruiker toegang wil tot een bepaalde resource, dan moet hij eerst een actie voltooien, bijvoorbeeld meervoudige verificatie.

Belangrijk om te weten: het beleid wordt toegepast nadat de eerste factor, meestal het wachtwoord, is gecontroleerd. Conditional Access is dus geen verdediging tegen bijvoorbeeld DoS-aanvallen, maar een slimme beslislaag bovenop de aanmelding. Wel kan het signalen van zulke gebeurtenissen gebruiken om toegang te bepalen. Dat staat in hetzelfde overzicht van Microsoft.

Werk je al met een Zero Trust-aanpak, dan is Conditional Access het onderdeel dat die aanpak in Microsoft 365 echt afdwingt. In ons Zero Trust-stappenplan voor het mkb lees je hoe dit past in het grotere geheel.

Zo is een beleidsregel opgebouwd

Elke beleidsregel bestaat uit twee delen: toewijzingen (op wie en wat is de regel van toepassing, en onder welke voorwaarden) en toegangscontroles (wat moet er gebeuren). Volgens de documentatie over het opbouwen van beleidsregels worden de toewijzingen met een logische EN gecombineerd. Een regel geldt dus alleen als aan alle ingestelde voorwaarden is voldaan. Vallen er meerdere regels op één aanmelding van toepassing, dan moet aan allemaal worden voldaan.

Voorwaarden: de signalen die je kunt gebruiken

Toegangscontroles: wat de gebruiker moet doen

Aan de dan-kant kies je tussen blokkeren en toegang verlenen onder voorwaarden. De Grant Controls-pagina van Microsoft noemt deze mogelijkheden:

• meervoudige verificatie vereisen;
• een bepaalde authenticatiesterkte vereisen, bijvoorbeeld phishingbestendige MFA;
• een apparaat vereisen dat in Intune als compatibel is gemarkeerd;
• een hybride gekoppeld apparaat vereisen;
• een goedgekeurde client-app vereisen;
• een app-beveiligingsbeleid vereisen;
• een wachtwoordwijziging vereisen.

Standaard moeten alle geselecteerde controles worden voldaan. Je kunt ook instellen dat één ervan volstaat.

Twee fasen bij elke aanmelding

Microsoft beschrijft twee evaluatiefasen. In fase 1 worden de sessiegegevens verzameld, zoals netwerklocatie en apparaatidentiteit. Dat gebeurt voor ingeschakelde regels en voor regels in Alleen rapporteren. In fase 2 worden de ingeschakelde regels gehandhaafd en vraagt Entra in een vaste volgorde om de vereiste controles. Daarom kun je een regel in de rapportagestand volledig laten meedraaien zonder dat een gebruiker er iets van merkt.

Microsoft geeft in de implementatieplanning een paar herkenbare voorbeelden. Als iemand van Financiën de salarisadministratie opent, dan zijn MFA en een compatibel apparaat vereist. Als iemand geen lid is van Financiën, dan wordt de toegang geblokkeerd. Als het gebruikersrisico hoog is, dan zijn MFA en een veilige wachtwoordwijziging nodig.

Welke licentie heb je nodig?

Conditional Access zit niet in elk Microsoft 365-abonnement. Volgens Microsoft Learn over MFA instellen is het beschikbaar voor organisaties met Microsoft Entra ID P1 of P2:

Heb je geen P1-licentie, dan gebruik je de standaardinstellingen voor beveiliging. Die zetten MFA voor iedereen aan, maar laten geen uitzonderingen of fijnmazige regels toe. Stap je over naar Conditional Access, dan moet je de standaardinstellingen eerst uitschakelen. Beide tegelijk aan kan niet. Microsoft beschrijft de overstap in vier stappen: standaardinstellingen uit, basisbeleid aanmaken, MFA-uitsluitingen aanpassen en daarna nieuwe regels toevoegen.

Twijfel je welk Microsoft 365-abonnement bij je bedrijf past, dan helpt ons overzicht Microsoft 365 slim kiezen je op weg.

De eerste beleidsregels voor een mkb-omgeving

Je hoeft niet met twintig regels te beginnen. Microsoft biedt vier sjablonen die samen het grootste deel van de bekende aanvallen op Microsoft 365-accounts afvangen. Ze staan in de handleiding voor het instellen van MFA:

1. MFA vereisen voor alle gebruikers. Dit is de basis. Een gestolen wachtwoord alleen is dan niet genoeg. Wil je weten hoe je dit organisatiebreed invoert zonder weerstand, lees dan multi-factor verplichten.
2. MFA vereisen voor beheerders. Beheerdersaccounts zijn het eerste doelwit. Kies hier bij voorkeur een sterke authenticatiemethode.
3. Verouderde verificatie blokkeren. De CIS Microsoft 365 Foundations Benchmark raadt dit aan, omdat oude protocollen geen MFA ondersteunen en vaak door aanvallers worden misbruikt. Houd er rekening mee dat oudere Office-versies en apps die via IMAP, POP, SMTP of oude ActiveSync verbinden daarna niet meer werken. Zet mail op telefoons dus eerst over naar de Outlook-app of een moderne mailapp, zoals in onze uitleg over Microsoft 365-mail op iPhone en Android.
4. MFA vereisen voor Azure-beheer. De Ierse NCSC wijst er in haar Office 365 Secure Configuration Framework op dat een aanvaller met een gecompromitteerd Azure-beheeraccount grote schade kan aanrichten. Een aparte regel voor de beheerportals verkleint dat risico flink. Hoe je MFA voor de Azure-aanmelding afdwingt, lees je ook in deze uitleg over MFA verplichten voor Azure-beheer.

Staat die basis, dan voeg je regels toe die bij jouw bedrijf passen. Hetzelfde NCSC-document noemt een paar vervolgstappen: zorg dat elke app onder minstens één beleidsregel valt, blokkeer landen waarvandaan je geen aanmeldingen verwacht en eis MFA of een verbinding vanaf het werknetwerk. Werk je met beheerde apparaten via Intune, dan is een regel die voor gevoelige apps een compatibel apparaat vereist een logische volgende stap.

Microsoft deelt aanbevolen regels voor identiteit en apparaattoegang in drie niveaus in: Beginpunt, Enterprise (de aanbevolen standaard) en Gespecialiseerd. Daarbij komen aparte aanbevelingen voor SharePoint, Teams en gastgebruikers. Dat staat in het Zero Trust-implementatieplan met Microsoft 365. Voor de meeste mkb-bedrijven is Beginpunt de start en Enterprise het doel.

Stap voor stap: een beleid veilig uitrollen

De techniek is niet het moeilijke deel van Conditional Access. Het moeilijke deel is het uitrollen zonder dat je bedrijf stilvalt. Zo pak je dat aan:

1. Maak eerst een noodaccount. Zorg voor minstens twee cloud-only beheerdersaccounts met een lang, veilig bewaard wachtwoord, en sluit die uit van al je regels. Gaat er iets mis, dan kun je er altijd nog bij.
2. Open het beheercentrum. Log in op het Microsoft Entra-beheercentrum en ga naar Beveiliging > Voorwaardelijke toegang > Nieuw beleid.
3. Geef de regel een herkenbare naam. Bijvoorbeeld CA01 – MFA – Alle gebruikers. Met een vaste nummering houd je overzicht als het aantal regels groeit.
4. Stel de toewijzingen in. Kies gebruikers of groepen, de cloud-apps en eventuele voorwaarden zoals locatie of apparaatplatform. Sluit je noodaccounts expliciet uit.
5. Kies de toegangscontrole. Blokkeren of toegang verlenen onder voorwaarden, zoals MFA.
6. Zet de regel op Alleen rapporteren. Microsoft adviseert in de uitleg over de rapportagemodus om nieuwe regels zo naast je bestaande regels te testen en de resultaten te vergelijken in de Insights-werkmap. Wil je een bestaande regel wijzigen, maak dan eerst een kopie met de wijziging en zet die in de rapportagestand.
7. Laat de regel een tijd meedraaien. Een volle werkweek is een goede maat, zodat ook de wekelijkse back-up, het maandagse rapport en de collega die alleen op vrijdag werkt erin voorkomen.
8. Controleer de logboeken. Filter de aanmeldingslogboeken op het resultaat Report-only: Failure. Daar zie je wie geblokkeerd zou worden.
9. Los de bevindingen op. Denk aan een scanner die mail verstuurt via SMTP, een gedeelde mailbox met een eigen wachtwoord of een oud koppelingsaccount.
10. Zet de regel aan. Begin bij voorkeur met een pilotgroep en breid daarna uit naar iedereen.

Voordat je mensen om MFA vraagt, moeten ze die natuurlijk wel kunnen gebruiken. Onze handleiding Microsoft Authenticator instellen voor je bedrijf kun je zo doorsturen naar je medewerkers.

NLXS

Bekijk ICT-oplossingen van dichtbij

Bezoek NLXS om meer te horen over hosting en ICT-oplossingen die zijn afgestemd op de behoeften van organisaties.

NLXS

Lage Mosten 51, 4822 NK Breda

Bekijk de route

© OpenStreetMap contributors

Best practices die onbedoelde blokkades voorkomen

Volgens de Grant Controls-documentatie zijn goede tests met Alleen rapporteren en het What If-hulpmiddel essentieel voordat je een blokkeerregel op grote schaal aanzet. Met What If simuleer je een aanmelding: je kiest een gebruiker, app, locatie en platform en ziet welke regels van toepassing zouden zijn.

Microsoft noemt in de handleiding voor probleemoplossing een paar instellingen die je organisatie in één klap kunnen buitensluiten:

• Blokkeer toegang voor alle gebruikers en alle resources. Daarmee sluit je letterlijk iedereen buiten.
• Compatibel apparaat vereisen voor alle gebruikers. Apparaten die nog niet geregistreerd zijn, kunnen dan ook de Intune-portal niet meer bereiken om zich aan te melden.
• App-beveiligingsbeleid vereisen zonder dat er een Intune-beleid bestaat. Dan blokkeer je de toegang tot de portals.

Verder werkt het in de praktijk goed om:

• met groepen te werken in plaats van losse gebruikers. Een nieuwe medewerker valt dan automatisch onder de juiste regels.
• één doel per regel te hanteren. Een regel die MFA, locatie en apparaat tegelijk regelt, is lastig te testen en nog lastiger te debuggen.
• uitzonderingen te documenteren. Leg bij elke uitsluiting vast wie die heeft aangevraagd, waarom en tot wanneer.
• de bijzondere accounts in kaart te brengen. Serviceaccounts, koppelingen met boekhoudpakketten en gedeelde mailboxen breken vaak als eerste. Voor gedeelde postvakken is dit overzicht over de beveiliging van gedeelde mailboxen een goede aanvulling op je inventarisatie.
• gastgebruikers apart te behandelen. Externe partners in Teams of SharePoint hebben vaak andere apparaten en andere MFA-methoden. Geef ze een eigen regel.
• je regels regelmatig te herzien. Medewerkers vertrekken, apps verdwijnen en Microsoft voegt functies toe. Een halfjaarlijkse controle voorkomt dat er gaten ontstaan of overbodige uitzonderingen blijven staan.

Hoe dit in het dagelijkse beheer van een tenant past, lees je in onze praktische gids voor M365-beheer.

Waarom wordt een aanmelding geblokkeerd?

Belt een collega dat hij niet meer kan inloggen, dan wil je snel weten welke regel daarachter zit. Microsoft beschrijft hoe je dat uitzoekt:

1. Log in op het Microsoft Entra-beheercentrum.
2. Ga naar Entra ID > Monitoring en status > Aanmeldingslogboeken.
3. Filter op gebruikersnaam, datum, resource of correlatie-ID. Die ID ziet de gebruiker in de foutmelding.
4. Open de aanmelding en kijk op het tabblad Voorwaardelijke toegang welke regels zijn toegepast en waarom de aanmelding is onderbroken.

De resultaten die je daar ziet, zijn onder meer Success, Failure en Not applied, plus de rapportagevarianten zoals Report-only: Failure en Report-only: User action required. Dat staat in de uitleg over de rapportagemodus. De foutcode in de melding vertelt meestal al veel:

Hoe wij naar Conditional Access kijken

Wij zien bij veel mkb-bedrijven hetzelfde beeld. Microsoft 365 draait al jaren, iedereen werkt er prettig mee, maar de beveiliging staat nog grotendeels op de instellingen van de eerste dag. Er is een wachtwoord, soms MFA, en verder vooral vertrouwen dat het goed gaat.

Conditional Access verandert dat. Het is volgens ons de belangrijkste stap die je in Microsoft 365 kunt zetten, omdat je beveiliging dan afhangt van de situatie in plaats van alleen van een wachtwoord. Maar het is ook een instrument waarmee je jezelf flink kunt hinderen als je het overhaast aanzet. Eén verkeerd vinkje en de boekhouder kan niet meer bij de administratie.

Daarom kiezen wij altijd voor een rustige, voorspelbare aanpak: eerst in kaart brengen welke accounts, apparaten en koppelingen er zijn, dan regels in de rapportagestand en pas daarna live. Zo merken jouw medewerkers vooral dat het veilig is, niet dat het lastig is.

En gaat er onverhoopt toch iets mis, dan wil je iemand aan de lijn die je omgeving kent. Dat is precies waarom we persoonlijk en telefonisch bereikbaar zijn en problemen binnen één dag willen oplossen.

Ken

Conditional Access laten inrichten zonder gedoe

Wil je Conditional Access goed geregeld hebben, maar liever niet zelf door de aanmeldingslogboeken spitten? NLXS neemt het ICT-beheer van mkb-bedrijven volledig uit handen, met een vast maandbedrag zonder verrassingen. Met een ICT-scan brengen we je huidige omgeving in kaart. Daarna adviseren we over wat er beter kan en regelen we het voor je. Bekijk onze ICT-diensten voor werkplek- en serverbeheer of lees meer over Microsoft 365-beheer voor het mkb.

Neem contact met ons op voor een vrijblijvend gesprek. We zijn direct telefonisch bereikbaar en denken graag met je mee.

Veelgestelde vragen

Wat is het verschil tussen standaardinstellingen voor beveiliging en Conditional Access?

De standaardinstellingen voor beveiliging zijn gratis en zetten voor iedereen dezelfde basisbeveiliging aan, waaronder MFA. Conditional Access vraagt om Entra ID P1 of P2 en laat je zelf bepalen wanneer MFA nodig is, welke apps of landen je blokkeert en welke apparaten toegang krijgen. De twee kunnen niet tegelijk aan staan.

Zit Conditional Access in Microsoft 365 Business Standard?

Nee. Business Standard bevat Microsoft Entra ID Gratis en daarmee alleen de standaardinstellingen voor beveiliging. Voor Conditional Access heb je Business Premium, E3, E5 of een los Entra ID P1- of P2-abonnement nodig.

Hoelang laat ik een nieuwe regel in Alleen rapporteren staan?

Minstens een paar werkdagen, en liefst een volle werkweek. Zo komen ook taken in beeld die maar af en toe draaien, zoals back-ups, scanners of maandelijkse koppelingen. Zet de regel pas aan als de logboeken geen onverwachte blokkades meer laten zien.

Waarom vraagt Microsoft 365 ineens niet meer om MFA op kantoor?

Waarschijnlijk is je kantoornetwerk als vertrouwde locatie ingesteld en is die locatie uitgesloten van de MFA-regel. Dat is een bewuste keuze voor gebruiksgemak. Voor beheerdersaccounts raden we wel aan om altijd MFA te eisen, ook op kantoor.

Kan ik mezelf buitensluiten met Conditional Access?

Ja, bijvoorbeeld met een blokkeerregel voor alle gebruikers. Daarom maak je vooraf noodaccounts aan die buiten alle regels vallen, en test je elke regel eerst in de rapportagestand en met het What If-hulpmiddel.

Bronnen

Microsoft Learn: Wat is voorwaardelijke toegang? Microsoft Learn: Build Conditional Access policies Microsoft Learn: Grant Controls configureren Microsoft Learn: Implementatie van voorwaardelijke toegang plannen Microsoft Learn: Meervoudige verificatie instellen voor gebruikers Microsoft Learn: Zero Trust-implementatieplan met Microsoft 365 Microsoft Learn: Conditional Access report-only mode en Insights Microsoft Learn: Troubleshooting sign-in problems with Conditional Access NCSC Ierland: Office 365 Secure Configuration Framework CIS Microsoft 365 Foundations Benchmark v1.4.0

Aanbevelingen

• DANE Microsoft365 optimale beveiliging voor uw bedrijf
• Microsoft 365 beheer voor mkb zonder gedoe
• M365 beheer: praktische gids voor IT-beheerders