Bij de meeste organisaties komt security compliance pas bovenaan de agenda als er al iets misgaat. In 2024 zagen we dat bij een klant die, onder meer om budgetredenen, niet mee wilde in een verbetertraject. Later werd die klant daadwerkelijk getroffen en liepen we achter de feiten aan om de schade te beperken. Achteraf hadden we die klant graag eerder overtuigd.
Herken je dit? Je organisatie heeft tussen de 20 en 150 medewerkers. IT is geregeld, in de zin dat mensen kunnen inloggen en de mail werkt. Maar wie precies bij welke data kan, welke applicaties je bedrijf stilleggen als ze uitvallen en wat je doet als er morgen een incident is, staat nergens zwart op wit. IT is het ondergeschoven kindje, omdat iedereen vooral zijn eigen klanten wil bedienen.
Dat ging lang goed. Alleen is het dreigingsbeeld de afgelopen jaren flink veranderd. Microsoft verwerkt in zijn Security Center elke dag biljoenen signalen uit omgevingen wereldwijd, met zo’n 34.000 mensen. De nep-prins die je een miljoen belooft, is verleden tijd. Nu gaat het om statelijke actoren die stil in een omgeving gaan zitten en wachten tot hun moment daar is. Begin 2025 werden juist gemeentes aangevallen door een vreemde mogendheid. Denk niet dat je te klein bent om interessant te zijn: kleinere organisaties zijn juist vaak de makkelijke ingang naar hun grotere klanten en partners.
En dan komt er wetgeving bij. De Cyberbeveiligingswet, de Nederlandse vertaling van NIS2, vervangt regels uit 2016. Valt je organisatie onder die wet (dat hangt af van omvang, omzet en sector), dan moet je incidenten binnen 24 uur melden, een risicoanalyse hebben en kunnen aantonen dat je back-ups op orde zijn. Bestuurders moeten dan zelf awareness-training volgen en zijn persoonlijk verantwoordelijk als het misgaat. De reflex is dan: een document laten opstellen en afvinken. Precies daar gaat het mis.
Eerst inzicht, daarna kleine stappen
Wat werkt, is saaier dan een compliance-pakket kopen. Je begint met weten hoe je omgeving er vandaag uitziet. Welke applicaties zijn kritiek? Wat gebeurt er als die een dag wegvallen? Dat kan je ERP zijn, maar net zo goed je stroomvoorziening. Zonder dat overzicht is elke maatregel een gok, en elk beleidsdocument een papieren tijger waar je bij het eerste incident niets aan hebt.
Daarna verbeter je in stappen, volgens Plan, Do, Check, Act. Geen big bang in één kwartaal, maar elk jaar een helder doel dat je samen met je IT-dienstverlener vaststelt. Wat staat er nu, waar willen we eind dit jaar staan, en hoe controleren we of dat gelukt is? Dat ritme is ook precies wat de Cyberbeveiligingswet van je vraagt: aantonen dat je je risico’s kent en er structureel aan werkt.
Het derde onderdeel wordt het vaakst onderschat: de mensen. In onze projecten spreken we eerst met de IT-contactpersoon, maar draagvlak ontstaat pas als de collega’s aan tafel zitten. Daarvoor organiseren we bij klanten lunchtafelsessies: interactief, met iedereen erbij. Dat er vooraf weerstand is, is normaal. Na afloop snappen mensen waarom ze twee keer controleren voordat ze op een link in een mail klikken.
Dat lukt alleen als het management meedoet. Een directeur die zegt dat hij geen zin heeft in die training, geeft daarmee een signaal af aan het hele bedrijf. Compliance die het management niet zelf uitdraagt, bestaat alleen op papier. De nieuwe wet dwingt dat nu ook af, en eerlijk gezegd vinden we dat een goede ontwikkeling.
Van 1500 instellingen naar 20 beleidsvragen
Hoe vertaal je dit naar techniek zonder dat de klant erin verdrinkt? De basis voor al onze klanten is Microsoft 365. Daarop draait een baseline van ruim 1500 technische instellingen, die we elk kwartaal bijwerken zodat we bijblijven met best practices en nieuwe dreigingen. Een deel daarvan is verplicht voor elke omgeving, simpelweg om de drempel voor aanvallers zo hoog mogelijk te maken. Over die verplichte basis gaan we niet eens in gesprek: die regelen we gewoon.
Met de klant hebben we het over ongeveer twintig beleidsvragen. Mag bedrijfsdata op privételefoons staan? Mogen mensen op een thuiscomputer werken, en onder welke voorwaarden? Wie krijgt toegang tot welke data, en wanneer maak je een uitzondering? Dat zijn keuzes die bij het bedrijf horen en niet bij de beheerder. Wij vertalen de antwoorden naar die 1500 instellingen. Zo blijft het gesprek over beleid gaan in plaats van over techniek, en kan de directie keuzes maken zonder te weten wat een conditional access policy is.
Waarom de autorisatiematrix nu ineens telt
Door AI is die toegangsvraag scherper geworden. Steeds meer organisaties vragen naar Microsoft Copilot, juist omdat die binnen de eigen 365-omgeving blijft. Gegevens die je in een gewoon ChatGPT-account plakt, kunnen daarentegen in Amerika terechtkomen. Maar Copilot ziet alles wat de medewerker mag zien. Is je autorisatie slordig geregeld, dan beantwoordt Copilot zonder aarzelen de vraag wat al je collega’s verdienen. Dus: eerst de matrix op orde, pas dan AI uitrollen.
Vier zwakke plekken om eerst na te lopen
Wie met inzicht begint, kan het beste eerst deze vier zwakke plekken nalopen. Eén: geen overzicht van kritieke applicaties, waardoor niemand weet wat de continuïteit bedreigt. Twee: toegangsrechten die in de loop der jaren zijn gegroeid en nooit zijn opgeschoond. Denk aan oud-medewerkers met een actief account of stagiairs met toegang tot de financiële map. Drie: awareness die maar bij een paar medewerkers ligt, terwijl het management en de werkvloer dezelfde IT gebruiken. Vier: geen afspraken met leveranciers, terwijl de keten net zo kwetsbaar is als je eigen omgeving. Weet jij of je boekhoudpakket of je CRM-leverancier incidenten bij jou meldt?
Daar komt nog een technische verandering bij. Microsoft wil het wachtwoord uitfaseren en vervangen door aanmelden via de authenticator-app, met een code of biometrie. Toen we begin 2025 vooruitkeken, was nog onzeker hoe snel dat zou gaan, maar het raakt elke medewerker. Organisaties die hun basis al op orde hebben, voeren zo’n wijziging rustig door. Organisaties zonder overzicht hebben er weer een los project bij, bovenop de meldplicht en de risicoanalyse.
Wil je vandaag al beginnen, zonder dat het meteen een groot traject wordt? Maak dan een lijst van je vijf belangrijkste applicaties en schrijf per applicatie op wat er gebeurt als die een dag niet werkt. Kijk wie er beheerrechten heeft in je Microsoft 365-omgeving. Test één keer of je echt een back-up kunt terugzetten. En spreek af wie er binnen 24 uur een incident meldt, en bij wie. Dat is overzichtelijk werk, en je hebt meteen een begin van een risicoanalyse.
Security compliance IT is geen document dat je één keer laat maken. Het gaat erom dat je weet waar je staat en elk jaar aantoonbaar een stap zet. Je hoeft niet de best beveiligde organisatie in je sector te zijn. Je achterdeur moet wel op slot zitten, zodat aanvallers naar de buren gaan in plaats van naar jou. Daarom begint Constant IT met inzicht in je huidige Microsoft 365-omgeving, en werken we van daaruit samen met jou naar een concreet doel voor het komende jaar.
Plan gratis een adviesgesprek in.
