“We hebben toch Defender?” Van losse securitytools naar een aanpak die je kunt aantonen

“We hebben toch Defender?” Die vraag krijgen we in bijna elk eerste gesprek. En het antwoord is meestal: ja. De licenties zijn er, MFA staat aan, de laptops zijn beveiligd. Op papier ziet het er goed uit.

Dan stellen we drie vervolgvragen. Wie kijkt naar de meldingen die Defender maakt? Wanneer is de back-up voor het laatst echt teruggezet? En wie beslist er als er om 02:00 iets misgaat? Daar wordt het vaak stil.

Dat is geen verwijt. Security is in veel organisaties stap voor stap gegroeid. Een tool na een incident, een maatregel na een klantvraag. Het resultaat is een verzameling goede onderdelen zonder samenhang. En samenhang is precies wat je nodig hebt als iemand vraagt: laat maar zien.

Security is een bedrijfsrisico geworden

Tot een paar jaar geleden was security vooral een zaak van de IT-afdeling. Dat is voorbij. Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Het bestuur is eindverantwoordelijk voor cyberrisico’s en moet maatregelen goedkeuren. Een significant incident meld je in de meeste gevallen binnen 24 uur.

Ook als je niet direct onder de wet valt, merk je het. Klanten die wél onder de wet vallen, stellen eisen aan hun leveranciers. Wij zien steeds vaker vragenlijsten over toegangsbeheer, patchbeleid en incidentmelding in aanbestedingen en contractverlengingen. Security wordt zo een voorwaarde om zaken te blijven doen.

De vraag verschuift daarmee van “zijn we beveiligd?” naar “kunnen we aantonen dát we beveiligd zijn?”.

Drie lagen: voorkomen, zien en herstellen

Wat in de praktijk werkt is security bekijken in drie lagen. De meeste organisaties investeren fors in de eerste, en vergeten de andere twee.

Voorkomen. Hier zitten de bekende maatregelen: MFA, updates, Defender, Conditional Access. In Microsoft 365 betekent dit vooral een consistente baseline. Instellingen die bij elke medewerker en elk apparaat hetzelfde zijn, en die niet langzaam wegdrijven als er iets wordt aangepast.

Zien. Geen enkele maatregel houdt alles tegen. Aanvallers stelen tegenwoordig steeds vaker een actieve sessie in plaats van een wachtwoord, waardoor MFA alleen niet genoeg is. Dan wil je snel weten dat er iets mis is. Dat vraagt om monitoring die doorloopt in de avond en het weekend, en om mensen die de meldingen opvolgen.

Herstellen. Als het toch misgaat, bepaalt deze laag of je een vervelende dag hebt of een week stilstand. Een back-up die nooit is teruggezet is een aanname, geen zekerheid. Een continuïteitsplan dat niemand kent werkt niet om 02:00.

Waar het in de praktijk misgaat

Bij de organisaties waar wij binnenkomen, zien we steeds dezelfde gaten terugkomen:

• Meldingen zonder eigenaar. Defender signaleert, maar de meldingen komen in een mailbox die niemand dagelijks leest.
• Beheerdersaccounts zonder extra bescherming. Juist de accounts met de meeste rechten gebruiken dezelfde MFA als iedereen, of worden ook voor dagelijkse mail gebruikt.
• Back-ups die nooit zijn getest. Microsoft 365 bewaart je data, maar is geen back-up in de zin van herstel na ransomware of per ongeluk verwijderen.
• Een baseline die wegloopt. Instellingen worden aangepast voor één uitzondering en nooit teruggezet. Na een jaar wijkt de helft van de omgeving af.
• Medewerkers die niet weten wat ze moeten doen. Iemand klikt op een link en twijfelt of hij het moet melden. Hij doet het niet.

Geen van deze punten vraagt om een nieuwe dure tool. Ze vragen om afspraken, eigenaarschap en een vast ritme.

Van losse tools naar een aanpak in vijf stappen

1. Start met een security scan. Breng in kaart wat er al staat, waar de gaten zitten en welke risico’s het grootst zijn. Zonder nulmeting weet je niet waar je naartoe werkt.
2. Leg een managed baseline vast. Bepaal de standaardinstellingen voor identiteiten, apparaten en Microsoft 365, en laat afwijkingen automatisch signaleren.
3. Regel monitoring en opvolging. Zorg dat meldingen 24/7 worden beoordeeld, eventueel via SOC as a Service, en leg vast wie mag ingrijpen.
4. Test je herstel. Zet periodiek een back-up terug en oefen een continuïteitsscenario. Pas dan weet je hoe lang herstel echt duurt.
5. Train je mensen. Phishingsimulaties en korte trainingen maken medewerkers van zwakste schakel tot eerste verdedigingslinie. Vooral: maak melden makkelijk en veilig.

Rapporteer daarna elk kwartaal aan het bestuur. Niet in technische termen, maar in risico’s, incidenten en voortgang. Zo wordt security iets wat je aantoont, in plaats van iets wat je hoopt.

Security gaat niet om óf je geraakt wordt, maar wanneer en hoe goed je daarop bent voorbereid. Met een aanpak die alle drie de lagen dekt, ben je altijd in control.

Wil je weten hoe jouw organisatie ervoor staat? Plan een adviesgesprek.

Veelgestelde vragen over security in Microsoft 365

Is Microsoft Defender genoeg om mijn organisatie te beveiligen?

Defender is een sterke basis voor het voorkomen en signaleren van dreigingen. Maar zonder iemand die de meldingen opvolgt, zonder geteste back-ups en zonder getrainde medewerkers blijven er belangrijke gaten. Security is een combinatie van techniek, processen en mensen.

Is MFA nog voldoende tegen phishing?

MFA blijft essentieel, maar aanvallers omzeilen het steeds vaker door een actieve sessie te stelen. Phishingbestendige methoden zoals passkeys, Conditional Access op beheerde apparaten en monitoring op afwijkende inlogs maken het verschil.

Hoe toon ik aan dat mijn organisatie goed beveiligd is?

Met een vastgelegde baseline, rapportages over meldingen en incidenten, aantoonbare hersteltesten en een overzicht van getrainde medewerkers. Rapporteer dit periodiek aan het bestuur, zodat je bij vragen van klanten of toezichthouders direct kunt laten zien wat je doet.