Business Premium: de beveiliging die u al betaalt maar niet gebruikt

In bijna elke cloud security audit die we uitvoeren komt dezelfde vaststelling terug. Het bedrijf betaalt voor Microsoft 365 Business Premium, ongeveer het dubbele van Business Standard, en gebruikt daarvan een fractie.

Dat is geen nalatigheid. Een licentie kopen en een beveiliging aanzetten zijn in Microsoft 365 twee gescheiden handelingen. Microsoft rekent het eerste aan en laat het tweede aan u over.

Wat er in die licentie zit

Business Premium bevat vijf beveiligingsproducten bovenop de gewone Office-apps:

• Microsoft Defender for Business voor de toestellen, inclusief detectie en respons
• Defender for Office 365 Plan 1 voor mail en bijlagen
• Microsoft Entra ID P1 voor identiteit en toegang, met Conditional Access
• Microsoft Intune Plan 1 voor het beheer van laptops en telefoons
• Microsoft Purview voor het classificeren en beschermen van gegevens

Los aangekocht kost dat pakket een veelvoud. Hieronder staat wat er in de praktijk van aan staat.

1. Conditional Access ligt klaar, maar draait zelden

Entra ID P1 is de reden dat Business Premium duurder is dan Standard, en Conditional Access is het belangrijkste dat u ervoor terugkrijgt. Daarmee stelt u regels in per situatie: een aanmelding vanaf een beheerd toestel op kantoor verloopt stil, een aanmelding vanuit een ander land vraagt om een tweede factor of wordt geweigerd.

Wat we meestal aantreffen is iets anders: Security Defaults. Dat is de gratis basisvariant die iedereen dwingt om MFA te registreren en erom vraagt wanneer Microsoft het nodig acht. Dat is beter dan niets, en het volstaat voor Microsofts eigen verplichte MFA-uitrol. Maar het kent geen nuance. U kan er geen landen mee blokkeren, geen onderscheid maken tussen beheerde en onbeheerde toestellen, en geen strengere regels opleggen aan wie toegang heeft tot de boekhouding.

Zolang Security Defaults aanstaat, kan u trouwens geen Conditional Access-beleid activeren. Het is het een of het ander.

Dat MFA op zich niet meer volstaat, schreven we eerder al: aanvallers omzeilen het vandaag met tussenliggende phishingpagina’s. Net daar maakt Conditional Access het verschil, want een gestolen sessie vanaf een onbekend toestel valt dan alsnog buiten de regels.

2. De sterke mailfilters staan op niemand

Hier wordt vaak te snel geroepen dat er niets beschermd is, en dat klopt niet. Defender for Office 365 draait standaard een beleid dat Microsoft “Built-in protection” noemt, en dat geldt automatisch voor al uw gebruikers. Safe Links en Safe Attachments werken dus, ook als u nooit iets hebt ingesteld.

Wat er níét staat, zijn de twee sterkere profielen: Standard en Strict. Die zijn aan niemand toegewezen tot een beheerder ze aanzet en er gebruikers aan hangt. Het verschil zit in de strengheid van de drempels, in de bescherming tegen imitatie van uw eigen domein en directie, en in wat er met verdachte berichten gebeurt.

Voor een bedrijf dat facturen per mail ontvangt, is dat onderscheid niet theoretisch. Imitatie van een zaakvoerder of leverancier is precies het scenario dat Standard afdekt en Built-in protection niet.

3. Defender beschermt geen enkel toestel tot u ze aanmeldt

Dit is de stille. Defender for Business zit in de licentie, maar beschermt pas een laptop wanneer die laptop is aangemeld bij uw tenant. Gebeurt dat niet, dan draait er op die machine gewoon de standaard Windows-virusscanner, zonder centrale detectie, zonder respons, en zonder dat iemand een melding ziet.

Het gevolg is een bedrijf dat in de veronderstelling leeft beschermd te zijn omdat het ervoor betaalt, terwijl er niemand meekijkt. Bij een audit is dit doorgaans het punt waar het stil wordt in de vergaderzaal.

Dezelfde logica geldt voor Intune: zonder ingeschreven toestellen kan u geen schijfversleuteling afdwingen, geen updates opleggen en een verloren telefoon niet op afstand wissen.

4. Purview staat er, maar zonder regels doet het niets

Data Loss Prevention kan tegenhouden dat een rijksregisternummer of een bestand met klantgegevens naar buiten gaat. Dat werkt alleen met beleidsregels die u zelf opstelt, want Microsoft weet niet wat in uw bedrijf gevoelig is.

Dit is de minst dringende van de vier, maar wel de eerste waar een auditor naar vraagt zodra u onder NIS2 valt. Wat die verplichting concreet inhoudt, zetten we eerder op een rij.

Hoe u dit in een halfuur nakijkt

U hebt hiervoor geen consultant nodig om te beginnen. Vier vragen brengen u ver:

1. Staat Security Defaults aan of draait er Conditional Access? Te zien in Entra onder Properties.
2. Zijn de presets Standard of Strict toegewezen aan gebruikers, of aan niemand?
3. Hoeveel toestellen staan er in Defender, en klopt dat met het aantal laptops dat u uitdeelde?
4. Bestaat er één DLP-beleid?

Vier keer nee betekent dat u een beveiligingspakket betaalt dat grotendeels stilstaat.

Wilt u het systematischer aanpakken, dan geeft onze security assessment u in twaalf vragen een beeld van de grootste risico’s. En als u wil weten wat een aanvaller vandaag werkelijk kan in uw omgeving, brengt de cloud security audit dat in kaart: Entra ID, Conditional Access, Defender en de instellingen die er in de praktijk toe doen.

Want de duurdere licentie kopen is de makkelijke helft. Vraag gerust een gesprek aan als u de andere helft wil afwerken.