Kennisbank

Wat is Conditional Access in Microsoft 365 en wanneer gebruik je het?

Je wilt dat medewerkers altijd en overal kunnen werken. Maar je wilt ook voorkomen dat onbevoegden toegang krijgen tot bedrijfsgegevens.
Conditional Access (voorwaardelijke toegang) in Microsoft 365 helpt je om die balans te vinden. Je bepaalt onder welke voorwaarden iemand mag inloggen.

In dit artikel lees je wat Conditional Access is, waarom het belangrijk is en hoe je het praktisch toepast.

Wat is het?

Conditional Access is een beveiligingsfunctie binnen Microsoft Entra ID (voorheen Azure AD).

Het principe is eenvoudig:
Toegang wordt alleen toegestaan als aan bepaalde voorwaarden wordt voldaan.

Die voorwaarden kunnen bijvoorbeeld zijn:

  • De gebruiker bevindt zich in Nederland

  • Het apparaat is bedrijfsbeheerd

  • Multi-Factor Authenticatie (MFA) is actief

  • Het inlogrisico is laag

  • Er wordt niet ingelogd vanaf een onbekend of verdacht land

Je stelt dus regels in zoals:

“Als iemand buiten Europa inlogt, dan moet MFA verplicht worden gebruikt.” of “Toegang tot SharePoint is alleen toegestaan vanaf beheerde apparaten.”

Conditional Access is daarmee geen losse beveiligingsinstelling, maar een slimme toegangscontrole.

Waarom is dit belangrijk?

Een wachtwoord alleen is niet meer voldoende beveiliging.
Aanvallen gebeuren dagelijks.

Denk aan:

  • Gelekte wachtwoorden

  • Phishing

  • Inlogpogingen vanuit het buitenland

  • Bots die automatisch accounts proberen te kraken

Zonder Conditional Access kan iemand met een correct wachtwoord vaak direct inloggen.

Met Conditional Access kun je:

  • Risicovolle inlogpogingen blokkeren

  • MFA afdwingen waar nodig

  • Toegang beperken tot veilige apparaten

  • Inloggen vanuit bepaalde landen blokkeren

Dit verkleint de kans op datalekken en accountmisbruik aanzienlijk.
Voor bedrijven is dit vaak het verschil tussen een kleine beveiligingsmaatregel en een volwassen beveiligingsniveau.

Hoe pas je dit toe in de praktijk?

Stap 1: Zorg dat MFA verplicht is voor iedereen

De basisregel:
Geen toegang zonder Multi-Factor Authenticatie.

Stel een Conditional Access-beleid in dat:

  • Voor alle gebruikers geldt

  • MFA verplicht stelt bij elke inlog

Dit is de minimale beveiligingsbasis.

Stap 2: Blokkeer risicolanden

Veel aanvallen komen uit landen waar jouw organisatie geen zaken doet.
Je kunt een beleid maken dat:

  • Inloggen buiten Europa blokkeert

  • Of alleen toestaat vanuit Nederland

Praktisch voorbeeld:
Een medewerker probeert in te loggen vanuit Rusland terwijl hij gewoon op kantoor zit in Nederland.
Conditional Access blokkeert deze poging automatisch.

Stap 3: Sta alleen beheerde apparaten toe

Wil je extra beveiliging? Dan kun je instellen dat toegang tot:

  • SharePoint

  • Teams

  • OneDrive

Alleen mogelijk is vanaf apparaten die:

  • Beheerd worden via Intune

  • Versleuteld zijn

  • Een actuele beveiligingsstatus hebben

Zo voorkom je dat iemand met een privécomputer zonder beveiliging bij bedrijfsdata kan.

Onze experts staan voor je klaar

Telefonisch contact

Neem telefonisch contact op en krijg meteen een expert aan de lijn die je verder helpt.

Neem contact op

Stuur een berichtje en we reageren zo spoedig mogelijk.

Stap 4: Test altijd eerst met een kleine groep

Een veelgemaakte fout is dat een beleid direct op alle gebruikers wordt toegepast.

Begin met:

  • Een testgroep

  • Een beperkt beleid

  • Controle van impact

Pas daarna rol je het breder uit.

Waar moet je op letten?

Veelgemaakte fouten

  • Alleen MFA inschakelen zonder verdere toegangsregels

  • Geen noodaccount instellen (break-glass account)

  • Beleidsregels stapelen zonder overzicht

  • Geen testfase uitvoeren

Belangrijk aandachtspunt

Zorg altijd voor minimaal één apart beheerdersaccount zonder Conditional Access-beperkingen, maar wel sterk beveiligd en niet voor dagelijks gebruik.
Dit voorkomt dat je jezelf buitensluit bij een fout in het beleid.

Tot slot

Conditional Access is geen extra luxe, maar een noodzakelijke beveiligingslaag binnen Microsoft 365.
Het zorgt ervoor dat:

  • De juiste persoon inlogt

  • Op het juiste moment

  • Vanaf het juiste apparaat

  • Onder de juiste omstandigheden

Zo houd je je online werkplek veilig en werkbaar.
Beveiliging is niet alleen een wachtwoord. Het is controle over toegang.

Lees ook:

Trage laptop of pc? 5 dingen die je zelf meteen kunt doen

Een laptop of pc die langzaam reageert is frustrerend. Programma’s openen traag, het opstarten duurt lang en soms lijkt alles even vast te lopen.

In veel gevallen ligt dat niet direct aan een defect apparaat. Vaak zijn het simpele oorzaken: te veel programma’s die automatisch starten, een volle schijf of software die op de achtergrond blijft draaien.

Het goede nieuws: een aantal dingen kun je zelf snel controleren en oplossen. Hieronder staan vijf praktische stappen die je meteen kunt uitvoeren.

1. Controleer welke programma’s automatisch opstarten

Veel software installeert zichzelf in de opstartlijst van Windows. Dat betekent dat het programma automatisch start zodra je de computer aanzet.

Denk bijvoorbeeld aan:

  • Teams

  • Spotify

  • Adobe software

  • Printersoftware

  • Updateprogramma’s

Op zichzelf is dat niet erg. Maar als er tien of vijftien programma’s tegelijk starten, wordt je pc daar merkbaar trager van.

Zo controleer je dit in Windows:

  1. Druk op Ctrl + Shift + Esc

  2. Open Taakbeheer

  3. Ga naar het tabblad Opstarten

  4. Bekijk welke programma’s ingeschakeld staan

  5. Schakel programma’s uit die je niet direct nodig hebt

Let op: schakel alleen software uit die je herkent. Beveiligingssoftware of systeemprocessen laat je beter staan.

Het verschil in opstarttijd kan behoorlijk groot zijn.

2. Herstart je computer (niet alleen slaapstand)

Veel mensen sluiten hun laptop simpelweg door het scherm dicht te klappen. De computer gaat dan in slaapstand, maar blijft technisch gezien gewoon aan staan.

Gevolg: processen stapelen zich op.

Na dagen of weken kan dat zorgen voor:

  • trage reacties

  • vastlopende programma’s

  • hoge geheugendruk

Een echte herstart ruimt tijdelijk geheugen op en sluit processen netjes af.

Doe dit dus regelmatig:

Start → Aan/uit → Opnieuw opstarten

Het klinkt simpel, maar het lost verrassend vaak prestatieproblemen op.

Hoe herken je een phishing mail en wat moet je direct doen?

Een phishing mail is vaak het begin van een groter beveiligingsincident. Een klik kan leiden tot gestolen inloggegevens, ransomware of een frauduleuze betaling. Zeker binnen het MKB zien we dat phishing nog steeds een van de meest gebruikte aanvalstechnieken is.

De vraag is dus niet of je ermee te maken krijgt, maar hoe je het herkent en wat je vervolgens doet.

Wat is een phishing mail?

Een phishing mail is een e-mail waarmee een aanvaller probeert om gegevens of geld buit te maken. De afzender doet zich voor als een betrouwbare partij, zoals Microsoft, een bank, een leverancier of zelfs een collega.

Het doel is simpel: jou laten klikken op een link of bijlage.

Vaak kom je terecht op een nagemaakte inlogpagina. Vul je daar je gegevens in, dan gaan ze direct naar de aanvaller. In andere gevallen wordt via een bijlage malware geïnstalleerd of wordt gevraagd om een spoedbetaling.

Hoe herken je een phishing mail?

Phishingmails worden steeds beter. Toch zijn er vrijwel altijd signalen.
Er zijn veel mogelijkheden om medewerkers te trainen om phishing sneller te herkennen. Wij vertellen je hier graag meer over.

Onverwachte urgentie

De mail zet je onder druk:

  • “Je account wordt vandaag geblokkeerd”

  • “Er staat een betaling open”

  • “Bevestig direct je gegevens”

Tijdsdruk is een bewuste techniek. Het moet snel. Zonder nadenken.

Afwijkend afzenderadres

De naam lijkt te kloppen, maar het e-mailadres wijkt subtiel af. Bijvoorbeeld een extra letter in de domeinnaam of een onbekend webadres.

Controleer altijd de volledige afzenderadres.

Verdachte links

Beweeg met je muis over een link zonder te klikken. Onderaan zie je de echte URL. Komt die niet overeen met de officiële website? Dan is het vrijwel zeker phishing.

Vage aanhef of ongebruikelijke toon

“Geachte klant” terwijl je normaal persoonlijk wordt aangesproken. Of een interne mail met een ongebruikelijk dringende toon.

Dat zijn signalen om alert te zijn.

Onverwachte bijlagen

Ontvang je een bijlage die je niet verwacht? Open deze dan niet direct. Zeker .zip-, .html- of macrobestanden vormen een risico.

Wat doe je als een medewerker op een phishinglink heeft geklikt?

Een medewerker meldt dat hij op een link in een e-mail heeft geklikt. Misschien is er zelfs ingelogd op een nepwebsite.
Op dat moment telt vooral een ding: snel en gestructureerd handelen.

In dit artikel lees je welke stappen je direct moet nemen en hoe je de impact beperkt binnen een Microsoft 365-omgeving.

Wat is het?

Phishing is een vorm van digitale oplichting waarbij een aanvaller zich voordoet als een betrouwbare partij.
De e-mail lijkt bijvoorbeeld afkomstig van:

  • Microsoft

  • Een bank

  • Een leverancier

  • Een collega

De link verwijst naar een nagemaakte website waar inloggegevens worden buitgemaakt.

Belangrijk:
Zelfs als iemand “alleen maar heeft geklikt”, kan er al risico zijn. Denk aan:

  • Malware-download

  • Doorsturen naar een nep-inlogpagina

  • Automatische sessiecookies die worden onderschept

Ga dus altijd uit van een mogelijk beveiligingsincident.

Waarom is dit belangrijk?

De impact kan groot zijn:

  • Accountovername

  • Datalek

  • Factuurfraude

  • Interne verspreiding via e-mail

Aanvallers handelen vaak binnen minuten. Hoe sneller je reageert, hoe kleiner de schade.
Voor bedrijven is phishing nog steeds de meest voorkomende oorzaak van beveiligingsincidenten.

Hoe pas je dit toe in de praktijk?

Werk onderstaande stappen direct af.

Stap 1: Wijzig onmiddellijk het wachtwoord

Reset het wachtwoord van de medewerker.

Let op:

  • Gebruik een sterk, nieuw wachtwoord

  • Laat alle actieve sessies afmelden (in Microsoft Entra ID: “Sign-in sessions intrekken”)

Is MFA nog niet actief?
Schakel dit direct in.

Stap 2: Controleer of er is ingelogd op de nepwebsite

Vraag de medewerker:

  • Heeft hij alleen geklikt?

  • Of ook daadwerkelijk gegevens ingevuld?

Zijn inloggegevens ingevoerd?
Ga er dan vanuit dat het account gecompromitteerd is en voer ook extra controles uit (zie stap 3 en 4).

Stap 3: Controleer aanmeldingsactiviteit

Ga in Microsoft Entra ID naar de aanmeldingslogboeken.

Let op:

  • Onbekende landen

  • Ongebruikelijke tijdstippen

  • Meerdere mislukte inlogpogingen

  • Nieuwe apparaten

Zie je verdachte activiteiten?
Onderzoek of er ook acties zijn uitgevoerd binnen het account.