MFA en Conditional Access uitgelegd: veilig inloggen voor zorg en non-profit

Uw medewerkers willen bij hun documenten kunnen, op kantoor en onderweg. Tegelijk wilt u voorkomen dat een gestolen wachtwoord toegang geeft tot vertrouwelijke informatie. Zoekt u een heldere Conditional Access uitleg, dan helpt het om eerst het verschil met multifactorauthenticatie te begrijpen. Hieronder leest u hoe beide samenwerken en hoe u veilig inloggen in Microsoft 365 zorgvuldig organiseert.

Wat is MFA?

MFA staat voor multifactorauthenticatie: uw identiteit aantonen met verschillende soorten bewijs. Denk aan iets wat u weet, zoals een wachtwoord, gecombineerd met iets wat u heeft, zoals een geregistreerde telefoon of beveiligingssleutel. Ook een persoonlijk kenmerk, zoals een vingerafdruk, kan een factor zijn.

Niet iedere tweede stap is een tweede factor. Een wachtwoord en een geheime vraag vallen allebei onder iets wat u weet. Het gaat om verschillende categorieën, niet om het aantal schermen dat u doorloopt. Microsoft licht dit toe in de uitleg over MFA.

MFA maakt misbruik van alleen een wachtwoord moeilijker, maar voorkomt niet alle phishing. Codes kunnen bijvoorbeeld via een nagemaakte inlogpagina worden onderschept. Phishingbestendige methoden, zoals FIDO2-beveiligingssleutels en Windows Hello for Business, bieden daartegen extra bescherming. Welke methode past, hangt ook af van uw apparaten en dagelijkse werkzaamheden.

Wat is Conditional Access? (als dit, dan dat)

Conditional Access betekent voorwaardelijke toegang. Het is een onderdeel van Microsoft Entra ID, de dienst die binnen Microsoft onder meer gebruikersaccounts en toegang beheert. U legt regels vast: als deze situatie zich voordoet, dan gelden deze toegangsvoorwaarden.

Entra ID Conditional Access kan bijvoorbeeld kijken naar de gebruiker, de toepassing, de netwerklocatie en de status van het apparaat. Vervolgens kan het toegang toestaan, aanvullende eisen stellen of toegang blokkeren. Een apparaatstatus kan aangeven of een laptop voldoet aan de beveiligingseisen van uw organisatie.

Dat is geen garantie dat iedere toegestane aanmelding veilig is. De kwaliteit hangt af van uw inrichting en beheer. Microsoft beschrijft de signalen en toegangsbeslissingen in zijn productdocumentatie.

Het verschil tussen MFA en Conditional Access, en waarom samen

MFA beantwoordt de vraag: hoe toont iemand aan dat diegene de juiste gebruiker is? Conditional Access bepaalt onder welke voorwaarden die gebruiker toegang krijgt. MFA kan dus een eis zijn binnen een Conditional Access-regel.

U kunt daarnaast eisen stellen aan het apparaat of aan de gebruikte aanmeldmethode. Niet iedere medewerker hoeft daarbij steeds dezelfde extra handelingen te krijgen. Een zorgvuldig beleid houdt rekening met het werk, zonder een vertrouwd netwerk automatisch als voldoende bescherming te behandelen.

Wilt u weten hoe dit in uw omgeving past? Op onze pagina over identiteitsbeheer en Conditional Access leest u meer over de samenhang tussen accounts, rechten en veilig inloggen.

Waarom extra belangrijk in zorg en non-profit

Binnen zorg en non-profit werken medewerkers en vrijwilligers vaak op verschillende locaties. Zij delen documenten, krijgen tijdelijk toegang of gebruiken verschillende apparaten. Zonder duidelijke afspraken kan onduidelijk worden wie nog toegang heeft en onder welke voorwaarden.

Voor MFA in de zorg telt daarom niet alleen de techniek. Een medewerker moet weten wat te doen bij een verloren telefoon of een onverwacht aanmeldverzoek. Bij vrijwilligers en tijdelijke krachten verdienen registratie, ondersteuning en het beëindigen van toegang eveneens aandacht.

De AVG vraagt om passende bescherming van persoonsgegevens. NIS2 brengt voor organisaties die binnen de toepasselijke reikwijdte vallen aanvullende verplichtingen mee. MFA en Conditional Access kunnen onderdeel zijn van uw maatregelen, maar bewijzen op zichzelf geen naleving. Dit artikel bepaalt niet of uw organisatie onder NIS2 valt.

Lees ook onze informatie voor zorgorganisaties, non-profitorganisaties en over NIS2 en zorg. De juiste aanpak begint bij uw gegevens, processen en verantwoordelijkheden.

Voorbeelden van veelgebruikte regels

Deze voorbeelden laten zien wat mogelijk is. Het zijn geen instellingen die u zonder onderzoek kunt overnemen.

• MFA voor medewerkers. Voor toegang tot zakelijke toepassingen moet een medewerker zich met meerdere factoren aanmelden. Een bestaande, geldige aanmelding kan al aan die eis voldoen; een extra melding is niet altijd nodig.
• Sterkere aanmelding voor beheerders. Accounts waarmee instellingen en rechten worden aangepast, kunnen een phishingbestendige aanmeldmethode vereisen. Microsoft beschrijft hiervoor authenticatiesterktes: afspraken over welke methoden voldoende zijn.
• Een geschikt apparaat voor gevoelige toepassingen. Toegang kan afhangen van een apparaat dat aan vastgelegde beveiligingseisen voldoet. Daarvoor moeten apparaatbeheer en controle op die eisen ook werkelijk zijn ingericht.
• Oude aanmeldprotocollen blokkeren. Verouderde manieren van aanmelden ondersteunen moderne beveiliging niet altijd. Controleer vooraf welke toepassingen daarvan afhankelijk zijn, zodat een noodzakelijke koppeling niet onverwacht stopt.
• Locatie meewegen. Een regel kan rekening houden met landen of bekende netwerken. Locatiegegevens zijn niet onfeilbaar. Bespreek ook reizen en thuiswerken voordat u toegang op basis hiervan beperkt.

Wat heeft u nodig?

Voor Conditional Access is Microsoft Entra ID P1 nodig voor de gebruikers die eronder vallen. P1 is bijvoorbeeld opgenomen in Microsoft 365 Business Premium. Controleer uw eigen licenties: niet ieder Microsoft 365-pakket bevat dezelfde mogelijkheden. Voor beleid op basis van gebruikersrisico of aanmeldrisico is Entra ID P2 nodig. Zie de Microsoft-licentievoorwaarden voor deze functies.

Daarnaast zijn betrouwbare gebruikersgroepen, geregistreerde aanmeldmethoden en afspraken over beheer nodig. Een eis voor een beveiligd apparaat werkt alleen als u die apparaatstatus ook kunt vaststellen, met passende inrichting en licenties.

Heeft u geen eigen Conditional Access-beleid, dan bieden security defaults een minimale basis voor accountbeveiliging, waaronder MFA. Deze standaardinstellingen zijn niet bedoeld om naast Conditional Access te draaien. Overstappen vraagt een geplande vervanging van de bestaande bescherming. Schakel security defaults dus niet alvast uit terwijl het nieuwe beleid nog niet klaarstaat.

Zo begint u

1. Stel eerst een testgroep samen. Kies medewerkers met verschillende werkzaamheden en apparaten. Betrek bijvoorbeeld kantoorwerk, werken op locatie en de ondersteuning. Leg vast welke toegang nodig is en wat er nu al is ingesteld, voordat u regels gaat wijzigen.
2. Regel aanmeldmethoden en noodtoegang. Laat deelnemers geschikte methoden registreren. Richt beveiligde noodtoegangsaccounts in, zodat bevoegde beheerders toegang kunnen herstellen bij een fout. Bescherm, bewaak en test die accounts. Microsoft adviseert ze uit te zonderen van Conditional Access-beleid dat toegang blokkeert of beperkt; noodtoegang betekent niet onbeveiligde toegang. Zie Microsofts noodtoegangsadvies.
3. Beoordeel regels eerst zonder ze af te dwingen. Met report-only, een rapportagemodus, ziet u voor veel beleidsregels wat het effect op aanmeldingen zou zijn. Controleer de registraties voordat u iets activeert. Deze modus vervangt geen praktijktest en geldt niet voor elk beleidstype. Raadpleeg de uitleg over report-only.
4. Activeer gecontroleerd voor de testgroep. Test dagelijkse werkzaamheden, herstel bij een verloren apparaat en toegang voor beheerders. Spreek af wie helpt en hoe u een wijziging terugdraait. Een rapport zonder blokkades bewijst nog niet dat iedere werksituatie goed gaat.
5. Breid stapsgewijs uit en blijf controleren. Informeer medewerkers vooraf en zorg voor bereikbare ondersteuning. Controleer daarna regelmatig aanmeldingen, uitzonderingen en vertrokken gebruikers. Stem een eventuele overgang vanaf security defaults af op deze uitrol, zonder onbeschermde tussenperiode.

Veelgestelde vragen

Moet ik bij iedere aanmelding opnieuw MFA gebruiken?

Niet noodzakelijk. Dat hangt af van uw beleid en de bestaande aanmeldsessie. Veiligheid gaat niet om zoveel mogelijk meldingen, maar om passende controle. Keur een onverwacht aanmeldverzoek nooit zomaar goed en meld het volgens uw interne afspraken.

Kan ik zelf MFA instellen in Microsoft 365?

U kunt als gebruiker uw beschikbare aanmeldmethoden registreren. De organisatiebrede eisen worden door een bevoegde beheerder ingesteld. Stem dit samen af: een geregistreerde methode is niet hetzelfde als beleid dat MFA daadwerkelijk vereist.

Is MFA voldoende tegen phishing?

Nee. De gebruikte methode maakt verschil en ook andere vormen van misleiding blijven mogelijk. Combineer veilig aanmelden met toegangsbeheer, updates en uitleg aan medewerkers. Phishing-simulaties kunnen helpen om herkenning en melden te oefenen, maar vervangen technische maatregelen niet.

Wat levert de NIS2/AVG-check op?

De check geeft een indicatief beeld van aandachtspunten. Het is geen juridische beoordeling of garantie op naleving. Na het invullen neemt Spectrum IT contact met u op om de uitkomst te bespreken en toe te lichten welke vervolgstappen passend kunnen zijn.

Bespreek veilig inloggen voor uw organisatie

Spectrum IT is Microsoft-gespecialiseerd en kijkt met u naar de samenhang tussen mensen, apparaten en toegangsregels. Het uitgangspunt is een team dat uw organisatie kent en begrijpt wat medewerkers nodig hebben om hun werk te doen.

Lees eventueel verder over Microsoft 365 in de zorg of Microsoft 365 voor non-profit en ANBI. Zoekt u een IT-partner in Eindhoven, dan bespreken we graag uw situatie. De IT partner die de missie begrijpt.

Plan een gesprek over veilig inloggen.

Wilt u eerst breder naar uw aandachtspunten kijken? Doe de gratis NIS2/AVG-check. Na het invullen neemt Spectrum IT contact met u op om de uitkomst te bespreken.