Voorwaardelijke toegang in Microsoft 365: wanneer het MKB meer nodig heeft dan alleen MFA

Wat Conditional Access wel en niet is

Conditional Access is geen losse “extra MFA-schakelaar” en geen antivirus. Het is een set if-then-regels in Microsoft Entra ID: als deze gebruiker of app, dan deze voorwaarde of dit effect. Veelgebruikte bouwstenen: vereisen van MFA; blokkeren van legacy of risicovolle clients; eisen van een managed of compliant apparaat; beperken tot goedgekeurde landen of netwerken; of session controls voor gevoelige apps. Microsoft noemt dit Conditional Access; in het Nederlands spreken we van voorwaardelijke toegang.

Het is ook geen vervanging van MFA. Zonder meervoudige authenticatie mist u de meest voorkomende eerste eis. Conditional Access bepaalt wanneer en onder welke voorwaarden die eis (of een blokkade) geldt. Zie ook Microsoft 365 Secure Score: scorepunten volgen vaak nadat u eerst bewuste regels en uitzonderingen heeft.

Wanneer MFA alleen niet meer genoeg is

Drie situaties komen in het MKB terug. Beheerders: Global Admin of Exchange-admin vanaf een privé-laptop in een ander land is riskanter dan dezelfde rol vanaf het kantoornetwerk — MFA alleen zegt niets over apparaat of locatie. Gast- of partnertoegang: u wilt gasten MFA laten doen, maar niet dezelfde vrijheid geven als medewerkers — zie gastaccounts. Verouderde clients: apps die geen moderne authenticatie spreken omzeilen MFA; Conditional Access (samen met het uitzetten van verouderde authenticatie) sluit die deur. Als iedereen overal mag inloggen zolang MFA lukt, heeft u MFA — nog geen toegangsbeleid.

Begin niet met twintig regels. Eén of twee scherpe beleidsregels voor admins en een nette MFA-basis voor iedereen lossen meer op dan een wirwar die niemand durft te wijzigen.

Wat u schriftelijk vastlegt

Houd het kort genoeg om dit kwartaal echt te besluiten:

• welke groepen of rollen onder Conditional Access vallen (iedereen, alleen admins, alleen externe toegang);
• welke voorwaarden u eist: MFA, compliant/managed apparaat, goedgekeurde landen of IP-ranges — en wat u bewust niet eist;
• uitzonderingen: noodaccounts, service-accounts of noodprocedures — smal en gemonitord, zie noodaccounts;
• wat er gebeurt bij weigering: wie krijgt de melding, wie mag de uitzondering tijdelijk verruimen;
• reviewcadans: minstens elk kwartaal of bij grote wijzigingen (nieuwe vestiging, remote-first, nieuwe leverancier);
• koppeling met in- en uitdienst: nieuwe admins vallen automatisch onder de admin-regel.

Schrijf die punten op één pagina. Dat is uw Conditional Access-afspraak; de tenant volgt die tekst.

Wat Floor ICT configureert — en wat u beslist

In de Microsoft 365-tenant zetten wij doorgaans: Conditional Access-regels volgens uw schriftelijke keuzes; MFA-eisen op named users; smalle uitzonderingen voor goedgekeurde noodaccounts; blokkades of rapportages op riskante of verouderde clients waar dat past; en een korte test “wie komt nog binnen na de wijziging”. We koppelen dit aan MFA, beheerdersrollen, Secure Score-acties en break-glass die al in scope zitten.

U beslist nog steeds: hoe streng apparaat-eisen zijn; of thuiswerken uit bepaalde landen mag; welke apps als gevoelig gelden; en wie een uitzondering mag goedkeuren. Technische knoppen zonder die keuzes geven een schijnveiligheid; beleid zonder werkende regels ook niet.