Hoe veilig is jouw Microsoft 365 omgeving? 5 veelgemaakte fouten

Microsoft 365 is de standaard geworden voor veel Belgische bedrijven. Mail, agenda, Teams, bestanden delen — het werkt goed en het is betaalbaar. Maar wat veel KMO's niet beseffen: de standaardinstellingen van Microsoft 365 zijn niet voldoende om je bedrijf te beschermen.

De beveiliging van je Microsoft 365 omgeving is een beetje zoals het slot op je voordeur. Het zit er wel op, maar als je het nooit op slot draait, heb je er weinig aan.

In de praktijk kom ik regelmatig bij KMO's in Hasselt en omgeving waar de Microsoft 365 beveiliging nooit echt is nagekeken. Niet uit onwil, maar gewoon omdat niemand eraan gedacht heeft. Hieronder de vijf fouten die ik het vaakst tegenkom — en hoe je ze eenvoudig oplost.

Fout 1: Geen multi-factor authenticatie (MFA) ingeschakeld

Dit is veruit de grootste en meest voorkomende fout. Bij meer dan de helft van de KMO's die ik voor het eerst bezoek, staat MFA niet aan — of slechts voor één persoon.

MFA betekent dat je naast je wachtwoord nog een tweede bevestiging nodig hebt om in te loggen. Meestal via een app op je telefoon. Klinkt misschien vervelend, maar het blokkeert meer dan 99% van de accountovernames.

Zonder MFA is het voor een hacker voldoende om je wachtwoord te raden of te stelen (via een phishingmail, een datalek, of gewoon omdat het wachtwoord te simpel was). Met MFA lukt dat niet.

Wat je moet doen: schakel MFA in voor álle gebruikers. Niet alleen voor de zaakvoerder, maar ook voor de boekhouder, het secretariaat, en de stagiair. Eén zwakke schakel is voldoende.

Fout 2: Iedereen is beheerder

In een klein bedrijf is het verleidelijk om iedereen beheerdersrechten te geven. "Dan kan iedereen altijd overal bij." Maar dat is precies het probleem.

Als een account met beheerdersrechten gehackt wordt, heeft de aanvaller volledige controle over je hele omgeving: mails lezen, bestanden verwijderen, andere accounts aanmaken, instellingen wijzigen. Bij een gewoon gebruikersaccount is de schade veel beperkter.

Wat je moet doen: beperk beheerdersrechten tot maximaal twee personen. Alle andere medewerkers krijgen een standaard gebruikersrol. Dat is in vijf minuten geregeld en kost niets.

Fout 3: Geen controle op wie er inlogt (en vanwaar)

Wist je dat je in Microsoft 365 kunt zien wie er inlogt, vanwaar, en met welk toestel? De meeste KMO's kijken hier nooit naar. En dat is jammer, want dit is vaak de eerste plek waar je verdachte activiteit opmerkt.

Stel: een medewerker logt om 3 uur 's nachts in vanuit Nigeria. Dat is waarschijnlijk geen zakenreis. Met de juiste instellingen kun je dit soort aanmeldingen automatisch blokkeren.

Wat je moet doen: schakel de aanmeldlogs in en bekijk ze regelmatig (of laat je IT-partner dit doen). Overweeg ook een beleid in te stellen dat alleen logins vanuit België of bekende toestellen toelaat. Microsoft noemt dit "Conditional Access" — het zit in de meeste zakelijke licenties inbegrepen.

Fout 4: Geen e-mailbeveiliging ingesteld

De standaard spamfilter van Microsoft 365 vangt wel het meeste op, maar gerichte phishing mails glippen er regelmatig doorheen. Zeker de goed gemaakte exemplaren — met het logo van je bank, een factuur van een leverancier, of een zogezegd bericht van de boekhouder.

Er zijn een paar instellingen die je zelf kunt activeren en die een groot verschil maken:

• Anti-phishing beleid: herkent pogingen om je domeinnaam na te bootsen
• Safe Links: controleert links in e-mails voordat je erop klikt
• Safe Attachments: scant bijlagen in een beveiligde omgeving voordat ze geopend worden

Deze functies zitten in Microsoft 365 Business Premium — een licentie die voor de meeste KMO's sowieso interessant is vanwege de extra beveiligingslagen.

Wat je moet doen: controleer welke licentie je hebt en of deze beveiligingsfuncties actief zijn. In de praktijk staan ze vaak uit, zelfs als je ervoor betaalt.

Fout 5: Geen duidelijk beleid voor wachtwoorden en apparaten

"Welkom123" of de naam van de hond met een uitroepteken — we zien het nog dagelijks. En op privétoestellen waar geen enkele beveiliging op zit, wordt vrolijk met bedrijfsdata gewerkt.

Dat hoeft niet per se een probleem te zijn, maar alleen als er spelregels zijn:

• Gebruik sterke, unieke wachtwoorden (of nog beter: een password manager)
• Stel in dat bedrijfsdata op privétoestellen gewist kan worden als een medewerker vertrekt of een toestel verliest
• Zorg dat toestellen automatisch vergrendelen na een paar minuten inactiviteit

Dit gaat niet over wantrouwen. Het gaat over het beschermen van je bedrijf en je klanten.

Wat je moet doen: stel een eenvoudig beleid op — het hoeft geen 20 pagina's te zijn. Enkele afspraken volstaan. En communiceer ze duidelijk naar je team.

Waarom dit ertoe doet voor KMO's

Grote bedrijven hebben IT-afdelingen die dit soort zaken dagelijks opvolgen. Als KMO heb je die luxe niet. Maar dat betekent niet dat je kwetsbaarder hoeft te zijn.

De vijf punten hierboven vragen geen groot budget en geen technische achtergrond. Het zijn basismaatregelen die je bedrijf direct veiliger maken. Het enige wat je nodig hebt, is iemand die even met je meezijkt en de juiste knoppen indrukt.

Veel Belgische bedrijven denken dat Microsoft 365 beveiliging "automatisch geregeld" is zodra ze een licentie kopen. Maar dat is niet het geval. Microsoft geeft je de gereedschappen — jij moet ze zelf inzetten.

Conclusie

Microsoft 365 is een krachtig platform, maar alleen als de beveiliging goed ingesteld is. De vijf fouten hierboven zijn stuk voor stuk makkelijk op te lossen — vaak in minder dan een uur.

Wil je weten hoe jouw Microsoft 365 omgeving ervoor staat? Ik bekijk het graag samen met je. Ik help KMO's in Hasselt en omgeving met het veilig inrichten en beheren van hun IT — praktisch, persoonlijk en zonder gedoe.