Waarom een “handige” extensie risico’s meebrengt
Extensies draaien in de browser met rechten die u aan een los programma waarschijnlijk niet zou geven. Ze kunnen pagina-inhoud lezen, formulieren meelezen en soms bestanden of downloads zien. Een kwaadaardige of gehackte extensie is een populaire manier om inloggegevens of sessies te stelen, juist omdat medewerkers de installatie zelf doen en IT er vaak pas achterkomt als er iets misgaat. Ook “goede” extensies kunnen privacy schenden of plotseling van eigenaar wisselen. Daarom hoort een extensie op dezelfde lijst als andere software: goedgekeurd, bijgewerkt of niet toegestaan.
Wat u eerst in kaart brengt
Vraag of laat via beheer zien welke extensies er op de werklaptops staan. Groepeer ze grof:
- Noodzakelijk voor het werk: bijvoorbeeld een goedgekeurde wachtwoordmanager of een branche-tool die echt in de browser hoort.
- Handig maar vervangbaar: schermopname, PDF-editors of notitietools die ook als desktop-app of in Microsoft 365 bestaan.
- Onbekend of te machtig: extensies met vage namen, weinig reviews, of rechten om alles op elke site te lezen zonder duidelijke reden.
Spreek met een paar power users af wat ze écht nodig hebben. Vaak blijkt dat drie of vier extensies voldoende zijn en de rest “ooit eens geprobeerd” is.
Beleid: toestaan, blokkeren of alleen-store
In Microsoft Edge en Google Chrome kunt u via Intune of groepsbeleid vastleggen wat mag. Gangbare aanpak voor het MKB:
- Alleen goedgekeurde extensies toestaan (allowlist): het duidelijkst. Alles wat niet op de lijst staat, wordt geblokkeerd of verwijderd.
- Blokkeerlijst voor bekende risico’s: sneller te starten, maar u blijft achter de feiten aanlopen.
- Installatie alleen uit de officiële store, zonder sideloading: basisregel, niet genoeg als enige maatregel.
Koppel dit aan hetzelfde idee als bij lokale beheerdersrechten op laptops: wie zelf overal mag installeren, omzeilt het beleid makkelijk. En net als bij USB-opslag blokkeren via Intune geldt: leg uitzonderingen vast, niet “iedereen mag alles behalve…”.
Rechten en updates: waar u op let
Kijk bij elke kandidaat-extensie naar de gevraagde rechten. “Lees en wijzig gegevens op alle websites” is zwaar; vraag of de tool met minder toe kan, of of er een Microsoft 365-alternatief is. Kies extensies van bekende uitgevers, met recente updates. Zet in het beleid dat verouderde of uitgeschakelde extensies worden opgeruimd. Documenteer wie een uitzondering heeft aangevraagd en tot wanneer die geldt, zodat de allowlist niet stilzwijgend groeit.
Uitrol zonder gedoe op maandagochtend
Kondig het beleid kort aan: welke extensies blijven, welke verdwijnen, en waar collega’s een verzoek kunnen indienen. Rol via Intune eerst uit op een testgroep, daarna op de rest. Controleer na een week of er klachten zijn over kapotte workflows en of er stiekem nieuwe add-ons bij zijn gekomen. Combineer dit met gewoon patchbeheer; zie ook Windows-updates en patchbeheer, want een bijgewerkte browser zonder grip op extensies lost maar de helft op.
Hoe Floor ICT dit aanpakt
Floor ICT inventariseert welke extensies er nu staan, stelt met u een korte allowlist op en zet het beleid in Edge en Chrome via Intune. We testen met een kleine groep, ruimen ongewenste add-ons op en regelen een eenvoudig aanvraagpad voor uitzonderingen. Periodiek controleren we of de lijst nog klopt, zodat browser-extensies geen blinde vlek blijven naast MFA, BitLocker en de rest van uw werkplekbeheer.