Office 365 voor bedrijven: veilig inrichten en beveiligen

Veel bedrijven zetten Office 365 aan en gaan direct aan de slag met e-mail en Teams. Dat werkt, maar de standaardinstellingen zijn niet altijd de veiligste. Wie de eerste 2 tot 3 weken gebruikt om de inrichting bewust op te bouwen, voorkomt dat er later gaten dichtgetimmerd moeten worden. In dit stuk volgen we de logische volgorde: eerst begrijpen wat je hebt, dan inrichten, daarna beveiligen en tot slot beheersbaar houden. Meer verdieping over het bredere platform vind je op onze pagina over Microsoft 365.

Wat Office 365 voor bedrijven omvat en hoe het verschilt van consumentenversies

Office 365 voor bedrijven is een abonnementsvorm waarbij je per gebruiker per maand betaalt voor toegang tot de Office-apps, online opslag en samenwerkdiensten. Het grote verschil met een consumentenversie zoals Microsoft 365 Personal zit niet in Word of Excel zelf, maar in het beheer eromheen. Een zakelijk abonnement geeft je een centrale beheeromgeving waarmee je alle gebruikers, hun rechten en hun apparaten vanuit een dashboard aanstuurt.

De prijzen lopen uiteen. Een instappakket zonder de desktop-apps begint rond de 6 euro per gebruiker per maand, terwijl een pakket met de volledige Office-apps en meer beveiligingsfuncties richting de 22 euro per gebruiker per maand gaat. Voor een bedrijf met 40 medewerkers betekent dat een spreiding tussen ongeveer 240 euro en 880 euro per maand, oftewel een verschil van meer dan 7.000 euro op jaarbasis. Die keuze verdient dus aandacht.

De consumentenvariant deelt opslag en licenties binnen een huishouden en mist het beheercentrum. Voor een organisatie met meer dan 10 werkplekken is dat geen werkbare basis. Een uitgebreidere vergelijking van de zakelijke pakketten staat in ons artikel over Microsoft 365 voor bedrijven, dat past binnen de categorie technologie en digitalisering.

De eerste inrichtingsstappen na aanschaf: gebruikers, domein en apps

Zodra de licenties zijn aangeschaft, begint het echte werk. De eerste stap is het koppelen van je eigen domeinnaam, zodat medewerkers e-mailen vanaf een adres als naam@jouwbedrijf.nl in plaats van een standaardadres. Dit koppelen duurt technisch enkele minuten, maar de verandering in de naamserverinstellingen kan tot 48 uur nodig hebben om overal door te dringen. Plan die stap dus niet op een drukke maandag.

Daarna maak je de gebruikersaccounts aan. Voor een bedrijf met 25 medewerkers is dat handmatig nog te doen in ongeveer 2 uur, maar vanaf 50 accounts loont het om een importbestand te gebruiken. Geef elke gebruiker meteen de juiste licentie, want een account zonder licentie kan niet e-mailen of inloggen op de apps.

De volgorde van inrichten helpt om overzicht te houden:

Voor de app-installatie hoef je niet elk toestel apart aan te raken. Via het beheercentrum stel je in dat gebruikers de apps zelf installeren, wat een gemiddelde installatie op een moderne laptop in ongeveer 20 minuten afrondt. Reserveer voor de hele beginfase ruwweg 3 tot 4 weken voordat alles stabiel draait, afhankelijk van de hoeveelheid oude e-mail die je meeneemt.

Data en documenten van tevoren ordenen

Voordat je bestanden naar SharePoint of OneDrive verplaatst, loont het om je mappenstructuur op te schonen. Bedrijven ontdekken vaak dat 30 procent tot 40 procent van de oude bestanden dubbel of verouderd is. Die opschoning bespaart opslagruimte en maakt het later makkelijker om rechten toe te wijzen. Zeker als je met persoonsgegevens werkt, is een doordachte structuur belangrijk; onze uitleg over beveiliging van persoonsgegevens gaat daar dieper op in.

Beveiligingsinstellingen die je meteen aanzet

Hier zit de kern van een veilige inrichting. De standaardomgeving beschermt tegen een deel van de aanvallen, maar een aantal instellingen moet je bewust inschakelen. De belangrijkste is meervoudige verificatie, ook wel MFA genoemd. Zonder MFA is een gestolen wachtwoord genoeg om binnen te komen; Microsoft geeft aan dat MFA meer dan 99 procent van de accountaanvallen tegenhoudt.

Zet MFA aan voor alle gebruikers, niet alleen voor beheerders. Reken op ongeveer 5 minuten per medewerker om de app op de telefoon te koppelen. Voor een team van 60 medewerkers is dat een gezamenlijke inspanning van zo'n 5 uur, wat in verhouding tot het risico verwaarloosbaar is.

Naast MFA horen een paar andere basisinstellingen tot de eerste ronde:

Het auditlogboek staat in nieuwere omgevingen standaard aan, maar controleer dat, want zonder logboek is een incident achteraf lastig te reconstrueren. De bewaartermijn van verwijderde items ligt standaard vaak op 14 dagen; je kunt die verlengen naar 30 dagen voor meer speelruimte bij herstel.

Beheerdersaccounts apart houden

Een fout die veel kleinere organisaties maken, is dagelijks werken met een beheerdersaccount. Als dat account gecompromitteerd raakt, ligt de hele omgeving open. Geef beheerders daarom twee accounts: een gewoon werkaccount voor e-mail en documenten, en een apart beheerdersaccount dat je alleen gebruikt voor beheertaken. Beperk het aantal accounts met volledige beheerrechten tot 2 of 3 personen, zodat er altijd een reserve is maar de aanvalsoppervlakte klein blijft.

Toegang en apparaten onder controle houden

Beveiliging stopt niet bij het wachtwoord. De volgende laag gaat over de vraag wie onder welke omstandigheden toegang krijgt. Dat regel je met voorwaardelijke toegang, waarbij je regels instelt op basis van locatie, apparaat of risico. Je kunt bijvoorbeeld bepalen dat inloggen vanuit een onbekend land een extra controle vraagt, of dat toegang tot gevoelige documenten alleen lukt vanaf een beheerd apparaat.

Deze functie zit niet in elk pakket. Vaak heb je een uitgebreider abonnement of een aparte beveiligingslicentie nodig, die tussen de 5 euro en 10 euro per gebruiker per maand kost. Voor bedrijven die met vertrouwelijke gegevens werken, weegt dat bedrag doorgaans op tegen het risico van een datalek, waarvan de gemiddelde afhandeling in het MKB al snel enkele duizenden euro's aan tijd en herstel kost. In ons artikel over voorwaardelijke toegang voor het MKB staan concrete voorbeeldregels.

Verouderde inlogmethoden verdienen aparte aandacht. Oude protocollen omzeilen MFA volledig en zijn een populair doelwit. Schakel ze uit zodra je zeker weet dat geen enkele toepassing ze nog nodig heeft. Test dit op een kleine groep van 3 tot 5 gebruikers voordat je het breed uitrolt.

Mobiele apparaten en thuiswerkplekken

Steeds meer werk gebeurt op telefoons en tablets. Met mobiel apparaatbeheer bepaal je dat zakelijke gegevens op een privételefoon gescheiden blijven van persoonlijke apps. Raakt een medewerker zijn toestel kwijt, dan wis je op afstand alleen de zakelijke gegevens. Bij een organisatie waar 70 procent van de medewerkers regelmatig buiten kantoor werkt, is dit geen luxe maar een basisvoorziening.

Beheer op de lange termijn: updates, kosten en groei

Een goede inrichting is geen eenmalige klus. Office 365 verandert doorlopend: Microsoft brengt maandelijks updates uit en past instellingen aan. Reserveer daarom periodiek tijd voor beheer, bijvoorbeeld 4 uur per maand voor een bedrijf tot 50 werkplekken en meer naarmate je groeit. In die tijd controleer je nieuwe beveiligingsaanbevelingen, verwijder je accounts van vertrokken medewerkers en kijk je of de licenties nog passen.

Het opzeggen van licenties van vertrokken medewerkers wordt vaak vergeten. Elk vergeten account kost niet alleen geld, maar vormt ook een risico. Een omgeving die groeit van 30 naar 45 medewerkers in 12 maanden heeft al snel 3 of 4 slapende accounts als niemand daar op let. Een halfjaarlijkse controle voorkomt dat.

Let bij de kosten op de verlengingsvoorwaarden. Veel abonnementen lopen per jaar en verlengen automatisch. Bedrijven die maandelijks flexibel willen blijven betalen soms 20 procent meer dan bij een jaarcontract. Weeg af of die flexibiliteit het bedrag waard is; bij een stabiel team van 40 medewerkers levert een jaarcontract al gauw een besparing van enkele honderden euro's op.

Back-up is niet vanzelfsprekend

Een misverstand dat hardnekkig terugkeert: Office 365 zou automatisch een volledige back-up maken. Dat klopt niet. Microsoft zorgt voor de beschikbaarheid van de dienst, maar verwijderde gegevens zijn na de bewaartermijn van 30 dagen definitief weg. Wie langer wil kunnen terugkijken, heeft een aparte back-upoplossing nodig. Die kost doorgaans tussen de 3 euro en 5 euro per gebruiker per maand en is de moeite waard zodra je bedrijf bij verlies van gegevens meer dan een paar uur werk zou missen.

Reken uit wat een dag zonder toegang je zou kosten. Voor een team van 50 medewerkers met een gemiddeld uurtarief loopt dat al snel op tot enkele duizenden euro's per dag. Tegen die achtergrond is een maandelijkse back-uppost van rond de 200 euro voor dat team een beperkte uitgave.

Veelgestelde vragen

Kan ik Office 365 zelf inrichten of heb ik een specialist nodig?

Voor een klein bedrijf tot ongeveer 15 werkplekken is de basisinrichting met wat leestijd zelf te doen in 1 tot 2 weken. Zodra je met migratie van bestaande e-mail, voorwaardelijke toegang en apparaatbeheer werkt, loont het om iemand met ervaring in te schakelen, al is het maar voor een controle van enkele uren.

Wat is het verschil tussen Office 365 en Microsoft 365?

De naam Office 365 is de oudere benaming voor de abonnementen met de Office-apps en clouddiensten. Microsoft 365 is de bredere naam die daar onder meer beveiligings- en beheerfuncties aan toevoegt. In de praktijk gebruiken veel mensen beide termen door elkaar voor dezelfde zakelijke omgeving.

Is meervoudige verificatie echt nodig voor een klein team?

Ja. Aanvallen op zwakke wachtwoorden zijn geautomatiseerd en maken geen onderscheid tussen een team van 5 of 500 medewerkers. Meervoudige verificatie is een van de weinige maatregelen die met een kleine inspanning van enkele minuten per persoon een groot deel van de risico's wegneemt.

Hoe lang bewaart Office 365 verwijderde bestanden en e-mail?

Standaard blijven verwijderde items ongeveer 14 tot 30 dagen herstelbaar, afhankelijk van je instellingen. Daarna zijn ze in principe weg. Voor langere bewaring of bescherming tegen fouten die je pas na maanden ontdekt, heb je een aparte back-upoplossing nodig.

Wat kost Office 365 voor een gemiddeld MKB-bedrijf?

Dat hangt af van het gekozen pakket. Reken op ergens tussen de 6 euro en 22 euro per gebruiker per maand. Voor een bedrijf met 40 medewerkers komt dat neer op een bedrag tussen ongeveer 240 euro en 880 euro per maand, exclusief eventuele extra beveiligings- of back-uplicenties.

Dit artikel is informatief bedoeld en geeft een algemeen beeld van het inrichten en beveiligen van Office 365 voor bedrijven. Het vervangt geen advies dat is afgestemd op jouw specifieke situatie. Overleg voor concrete keuzes met een IT-partner of adviseur die je omgeving kent.