Waarom één Global Admin voor alles riskant is
In veel MKB-tenants is de eerste gebruiker — vaak de directeur of de IT-contactpersoon — ook Global Administrator. Handig bij de start: één login voor Outlook, Teams, licenties en beheercentrum. Het nadeel is eenvoudig: dat account ziet alle mail, alle bestandenmetagegevens waar de rol toegang toe geeft, en kan gebruikers, domeinen en beveiliging wijzigen. Als die sessie of dat wachtwoord weglekt, is het geen “alleen de mailbox” meer — het is de tenant.
Het probleem is zelden “we hebben een beheerder nodig”. Het is “we gebruiken die beheerder voor de middagmail en een Teams-chat”.
Wat u wél moet vastleggen
Houd het kort genoeg om dit kwartaal echt te besluiten:
- ieder persoon heeft een gewoon named-user-account voor mail, Teams en Office — zonder Global Administrator;
- beheer gebeurt met een apart bevoorrecht account (andere gebruikersnaam), alleen wanneer nodig;
- wie mag Global Administrator houden — bij voorkeur twee of drie mensen, niet de hele directie “voor het geval dat”;
- minste privilege: liever Exchange-beheerder, Gebruikersbeheerder of Helpdesk-rollen dan standaard Global Administrator;
- break-glass: één of twee noodaccounts, sterk bewaard, niet voor dagelijks werk, met logging — en wie ze mag openen.
Schrijf die vijf punten op één pagina. Dat is uw beheerdersbeleid; de tenant volgt die tekst.
Wat Floor ICT configureert — en wat u beslist
In de Microsoft 365-tenant zetten wij doorgaans: overzicht van wie welke directoryrol heeft, opruimen van overbodige Global Administrator-toewijzingen, MFA-eisen op beheerrollen (waar uw licenties en Conditional Access dat toelaten), en verwachtingen voor audit- en aanmeldingslogging. Bij in- en uitdienst trekken wij beheerrollen mee — niet alleen het mailboxaccount.
U beslist nog steeds: wie in uw bedrijf een bevoorrecht account mag hebben, of de MSP (Floor ICT) namens u beheert met gedelegeerde toegang, en hoe streng de break-glass-procedure is. Technische rolopschoning zonder beleid lost “iedereen is admin” niet op; beleid zonder configuratie ook niet.
Break-glass, MFA en least privilege
Een break-glass-account is geen tweede dagelijkse login. Het is de sleutel als Conditional Access, MFA of uw MSP-toegang faalt. Bewaar de gegevens buiten de gewone wachtwoordmanager-workflow van medewerkers, test zelden of het account nog werkt, en log elke aanmelding.
MFA op gewone gebruikers blijft staan; voor beheerders is het nog belangrijker. Zie ook onze stukken over MFA in Microsoft 365 en de in- en uitdienstchecklist.
Meer diepte
Checklist voor directeuren in het MKB
1) Lijst wie vandaag Global Administrator is. 2) Splits mail en beheer per persoon. 3) Verwijder overbodige Global Admin. 4) Zet MFA afdwinging op beheer. 5) Documenteer break-glass en wie mag openen. 6) Plan elk halfjaar een rolreview.
MSP-toegang versus uw eigen admin
Floor ICT beheert vaak via partner- of gasttoegang met beperkte rollen — niet via uw persoonlijke Global Admin-mailbox. Zo blijft uw dagelijkse account schoon en is beheer auditeerbaar.
Koppeling met phishing en awareness
Aparte admin-accounts verkleinen de blast radius; ze vervangen geen training. Medewerkers die phishing herkennen, blijven nodig — zie security awareness.