Waarom een oude partner vaak nog toegang heeft
Een IT-partner die uw Microsoft 365 beheert, krijgt daarvoor rechten in uw omgeving. Vaak gaat dat via een partnerrelatie: de partner logt in met zijn eigen account en beheert van daaruit al zijn klanten. Daarnaast maken veel partners een eigen beheerdersaccount aan in uw omgeving, koppelen ze hun beheer- en backuptools en zetten ze hun eigen telefoon als tweede stap voor MFA.
Bij een overstap wordt meestal alleen de nieuwe partner toegevoegd. De oude rechten blijven staan. Dat lijkt onschuldig, want de vorige partij doet er niets meer mee. Maar het risico zit ergens anders. Een partner beheert tientallen of honderden klanten. Wordt die partner gehackt, dan kan de aanvaller via die rechten ook bij u binnenkomen. En een medewerker die bij de vorige partner is vertrokken, heeft misschien nog het wachtwoord van een beheerdersaccount in uw omgeving.
Stap 1: kijk wie er als partner in uw omgeving staat
Log in op het Microsoft 365-beheercentrum met een account met beheerrechten en ga naar Instellingen > Partnerrelaties (in het Engels: Settings > Partner relationships). U ziet daar per partner wat voor relatie het is:
- Wederverkoper (reseller): de partner levert en factureert uw licenties. Dat geeft op zich geen beheerrechten.
- Gedelegeerde beheerrechten (GDAP): de partner mag met zijn eigen accounts uw omgeving beheren, met de rollen die u heeft goedgekeurd. Een GDAP-relatie heeft een einddatum, maximaal twee jaar, maar kan automatisch verlengd worden.
Oudere relaties gaven een partner vaak volledige beheerrechten zonder einddatum. Microsoft is daarom overgestapt op GDAP, met losse rollen en een looptijd. Ziet u een partner die u niet (meer) kent, of een partner met meer rechten dan nodig, noteer dat dan.
Stap 2: haal rechten weg die niet meer nodig zijn
Selecteer de partner die u niet meer gebruikt, kies Rollen verwijderen en bevestig. Vanaf dat moment kunnen de mensen van die partner uw omgeving niet meer beheren. U en de partner krijgen daar een bevestiging van per e-mail.
Let op twee dingen. Rollen verwijderen stopt de beheertoegang, maar niet de wederverkopersrelatie. Loopt uw licentie nog via die oude partner, dan blijft die gewoon werken. De wederverkopersrelatie kunt u niet zelf beëindigen; dat doet de partner, nadat de licenties zijn overgezet of opgezegd. Regel dat bij een overstap dus apart. En haal nooit de rechten weg van de partner die nu uw beheer doet, zonder dat met hem af te stemmen.
Stap 3: kijk verder dan de partnerpagina
De partnerpagina laat alleen de partnerrelaties zien. Een oude partner kan op meer manieren binnenkomen. Loop daarom ook deze punten na:
- Beheerdersaccounts: kijk onder Rollen welke accounts beheerder zijn. Accounts als admin@ of een account met de naam van de vorige partner horen daar niet meer bij. Zet ze uit, of wijzig het wachtwoord als u het account zelf blijft gebruiken. Lees ook waarom u aparte beheerdersaccounts wilt.
- MFA op het beheerdersaccount: staat de tweede stap op de telefoon van iemand die bij de vorige partner werkte, dan heeft u het account eigenlijk niet zelf in handen. Registreer MFA op een apparaat dat bij u hoort.
- Apps van beheertools: backup-, monitoring- en beheertools krijgen via een app toegang tot uw omgeving. Bekijk onder Bedrijfstoepassingen welke apps rechten hebben en verwijder die van tools die niet meer worden gebruikt. Zie ook app-toestemming in Microsoft 365.
- Gastaccounts: medewerkers van de vorige partner zijn soms als gast toegevoegd aan Teams of SharePoint. Ruim die op, zoals beschreven bij gastaccounts.
- Buiten Microsoft 365: denk ook aan programma’s voor remote toegang op uw pc’s en aan de inlog bij uw domeinnaam en DNS.
Sluit uzelf niet buiten
Bij kleine bedrijven is het soms alleen de vorige partner die het wachtwoord van de hoofdbeheerder weet. Ruim dan niet alles in één keer op. Zorg eerst dat u zelf een werkend beheerdersaccount heeft en een noodaccount dat u veilig bewaart. Wijzig daarna de wachtwoorden en haal pas dan de oude toegang weg. Twijfelt u of er iets met de oude toegang is gedaan, kijk dan in het auditlogboek wie wanneer heeft ingelogd en wat er is veranderd.
Maak het een vaste controle
Dit is geen klus voor één keer. Kijk minstens één keer per jaar naar de partnerrelaties en de beheerders, en altijd bij een wissel van IT-partner of van de medewerker die bij u de IT regelt. Neem het mee in uw in- en uitdienstproces. Vraag uw huidige partner ook welke rollen hij heeft, waarom hij die nodig heeft en wanneer de relatie afloopt.
Wat Floor ICT doet
Floor ICT maakt een overzicht van iedereen die beheertoegang heeft tot uw Microsoft 365: partners, beheerdersaccounts, apps en gasten. U krijgt een voorstel van wat kan blijven en wat weg kan. Na uw akkoord ruimen wij op, in de goede volgorde, zodat u nooit zonder beheertoegang zit. Bij een overstap regelen we ook de overdracht van de licenties met de vorige partner. Als uw MSP vragen we alleen de rollen die we voor het afgesproken beheer nodig hebben. Wie er beheerder is van uw omgeving, blijft uw beslissing.