Wat app-toestemming wel en niet is
OAuth-app-toestemming is geen antivirus en geen vervanging van MFA. Het is het toestemmingskader in Microsoft Entra ID: een app vraagt rechten (scopes), een gebruiker of admin keurt die goed, en daarna mag die app namens de tenant of gebruiker werken — tot u de toestemming intrekt. Voorbeelden: een projecttool die agenda leest; een archiveringstool met toegang tot mail; een “handige” browser-extensie die om mailboxrechten vraagt.
Het is ook geen SharePoint-delingslink. Externe deling gaat over bestanden die u deelt; app-consent gaat over toegang tot de API van Microsoft 365. Zie ook externe deling en Secure Score: scorepunten en hardenings volgen vaak nadat u eerst bewuste consent-regels heeft.
Waarom willekeurige gebruikersconsent riskant is
Drie situaties komen in het MKB terug. Phishing of lookalike-apps: iemand klikt “Toestaan” op een app die om Mail.Read of Files.Read.All vraagt — de login lijkt echt, de schade zit in de grant. Te ruime rechten: een onschuldige tool vraagt directory- of mailbox-rechten die veel breder zijn dan nodig. Stapeling: over jaren blijven oude grants staan terwijl niemand meer weet waarom — zie ook inactieve accounts en gastaccounts voor vergelijkbare “stil groeiende” toegang.
MFA en Conditional Access helpen bij wie inlogt; ze stoppen niet automatisch een goedgekeurde app die daarna via tokens werkt. Daarom hoort consent-beleid naast identity-hardening — niet als bijzaak.
Wat u schriftelijk vastlegt
Houd het kort genoeg om dit kwartaal echt te besluiten:
- of gebruikers zelf apps mogen goedkeuren, of alleen beheerders (admin consent);
- welke typen apps wél mogen (eigen integraties, goedgekeurde leveranciers) en welke niet (onbekende consumentenapps);
- welke rechten (scopes) standaard te breed zijn — bijvoorbeeld volledige mailbox of directory — en altijd review vragen;
- wie een admin-consent-verzoek mag beoordelen en hoe snel;
- reviewcadans voor bestaande OAuth-grants: minstens elk kwartaal of bij een incident;
- koppeling met in- en uitdienst: bij uitdienst ook app-toegang en gedeelde mailboxen nalopen.
Schrijf die punten op één pagina. Dat is uw app-toestemmingsafspraak; de tenant volgt die tekst.
Wat Floor ICT configureert — en wat u beslist
In de Microsoft 365-tenant zetten wij doorgaans: gebruikerconsent beperken of uitzetten volgens uw keuze; admin consent-workflow of een duidelijk goedkeuringspad; blokkades of beperkingen op risicovolle of consumentenapps waar licentie en beleid dat toelaten; een inventarisatie van bestaande enterprise-app-grants met voorstel tot intrekken; en een korte test “welke bekende tools blijven werken”. We koppelen dit aan MFA, beheerdersrollen, Conditional Access en Secure Score-acties die al in scope zitten.
U beslist nog steeds: welke leveranciers en scopes acceptabel zijn; of een tool “must have” is ondanks ruime rechten; en wie een uitzondering mag goedkeuren. Technische knoppen zonder die keuzes geven een schijnveiligheid; beleid zonder werkende consent-regels ook niet.
Meer diepte
Checklist voor directeuren in het MKB
1) Bevestig dat MFA voor named users staat. 2) Zet gebruikersconsent uit of sterk beperkt — admin consent als standaard. 3) Laat Floor ICT bestaande OAuth-/enterprise-app-grants inventariseren. 4) Trek onbekende of te ruime grants in; documenteer uitzonderingen. 5) Spreek af wie nieuwe app-verzoeken mag goedkeuren. 6) Plan een kwartaalreview van grants — niet “ooit een keer in de admin portal kijken”.
Admin consent-workflow
Microsoft Entra ID kan verzoeken van gebruikers omleiden naar beheerders in plaats van direct goedkeuren. Dat voorkomt dat één klik van een medewerker een tenant-brede of mailbox-brede grant oplevert. Floor ICT zet de workflow of het beperkingsbeleid aan volgens uw schriftelijke keuze; u wijst aan wie de verzoeken beoordeelt — vaak dezelfde kring als voor beheerdersrollen.
Bestaande grants reviewen
Begin met apps met hoge privileges (mail, files, directory) en apps die niemand herkent. Intrekken is meestal veiliger dan “laten staan tot er iets misgaat”. Test kritieke integraties (boekhouding, archivering, backup) vóór u massaal intrekt. Secure Score en Entra-rapportages helpen prioriteren; de beslissing “deze app blijft” is van u.