Noodaccounts in Microsoft 365: wanneer het MKB break-glass accounts nodig heeft

Wat een break-glass account wel en niet is

Een noodaccount is geen dagelijks beheeraccount en geen “extra admin voor de directeur”. Het is een dedicated account met Global Administrator-rechten, bedoeld voor het zeldzame moment dat de gewone route naar de tenant vastloopt: een Conditional Access-fout, een gestoorde MFA-methode, een storing bij de identity provider, of een misconfiguratie die alle normale admins buitensluit. Microsoft noemt dit vaak emergency access of break-glass accounts.

Het is ook geen vrijbrief om MFA “uit” te zetten voor iedereen. De uitzondering is smal: alleen deze noodaccounts, met compenserende maatregelen (offline opslag, logging, alarmering). Zie ook Microsoft 365 Secure Score — noodtoegang hoort bij een volwassen identity-basis, niet bij “score omhoog” zonder procedure.

Waarom het MKB dit wél nodig heeft

Drie praktische redenen. Lock-out-risico: hoe strakker u MFA en Conditional Access zet, hoe groter de schade als die regels of methoden zelf falen — zonder noodroute zit u buiten uw eigen tenant. Continuïteit: facturatie, mail en SharePoint draaien door; ergens moet iemand nog kunnen ingrijpen. Bestuurbaarheid: de directeur wil weten “wie mag de noodkluis openen?” — niet “we hopen dat het nooit gebeurt”. Break-glass is bruikbaar als u er een korte procedure aan koppelt.

Zonder MFA en nette beheerdersrollen is een noodaccount vroeg. Eerst basis op orde (MFA, beperkte admins, verouderde authenticatie uit), dan break-glass. Floor ICT toetst per tenant of de uitzondering technisch past vóór we knoppen zetten.

Hoe u noodaccounts meestal inricht

In veel middelgrote en kleine bedrijven (MKB) is deze aanpak verstandig — pas aan op uw situatie:

• twee aparte cloud-only Global Admin-accounts (geen synchrone on-premises accounts), met lange, unieke wachtwoorden;
• geen mailbox voor dagelijks gebruik, geen licentie die u niet nodig heeft, geen persoonlijke naam van één medewerker als enige sleutel;
• uitsluiting van de normale Conditional Access-beleid dat MFA afdwingt — alleen voor deze accounts, zo smal mogelijk, met andere compensaties (monitoring, fysieke opslag);
• wachtwoorden offline: verzegelde envelop in een kluis, of een hardwarematige kluis — niet in dezelfde wachtwoordmanager als dagelijkse admins;
• waarschuwing bij elke succesvolle login (bijvoorbeeld via Microsoft Entra ID-sign-in logs of een alert naar Floor ICT en één interne eigenaar);
• koppeling met in- en uitdienst: bij vertrek van iemand die de procedure kent, herijken wie de kluis mag openen.

Gebruik de accounts niet voor routinebeheer. Elke login is een incident totdat het tegendeel blijkt.

Wat u schriftelijk vastlegt

Houd het kort genoeg om in een echte storing te volgen:

• hoeveel noodaccounts er zijn en onder welke namen (zonder het wachtwoord in het document);
• waar de verzegelde gegevens liggen en wie fysiek of procedureel toegang heeft;
• wanneer openen mag: alleen bij aantoonbare lock-out of kritieke storing, niet bij “handig even snel”;
• wie u onmiddellijk informeert (interne eigenaar, Floor ICT, eventueel directie);
• wat u na gebruik doet: wachtwoord roteren, incident kort vastleggen, uitzondering herbevestigen;
• reviewcadans: minstens elk kwartaal of halfjaar controleren dat de accounts nog bestaan, dat logging werkt, en dat de kluis nog klopt.

Schrijf die punten op één pagina. Dat is uw break-glass-afspraak; de tenant volgt die tekst.

Wat Floor ICT configureert — en wat u beslist

In de Microsoft 365-tenant zetten wij doorgaans: noodaccounts aanmaken of opschonen; Conditional Access-uitsluitingen zo smal mogelijk; monitoring of alerts op login; en een korte terugkoppeling “hoe u de procedure test zonder paniek”. We koppelen dit aan MFA, beheerdersrollen en Secure Score-acties die al in scope zitten.

U beslist nog steeds: wie de verzegelde gegevens mag kennen; wanneer openen is toegestaan; of u één of twee accounts wilt; en of u een oefening plant. Technische knoppen zonder die keuzes geven een schijnveiligheid; een procedure zonder werkende accounts ook niet.