- De Amerikaanse Cyber Safety Review Board noemde de Storm-0558-inbraak "vermijdbaar". Microsoft meldt dat de vervalste tokens werden gebruikt tegen Outlook Web Access in Exchange Online en Outlook.com, waardoor 22 organisaties en meer dan 500 personen werden getroffen.
- De Amerikaanse wetgeving, waaronder de CLOUD Act, kan een Amerikaanse aanbieder verplichten om gegevens openbaar te maken die zich in zijn bezit, beheer of onder zijn controle bevinden, ongeacht waar deze zijn opgeslagen. Voor openbaarmaking is een geldige juridische procedure vereist, en aanbieders kunnen bepaalde verzoeken aanvechten. Het betreft een risico dat moet worden beoordeeld, en geen automatische schending van de AVG (GDPR).
- Het federatief inloggen bij een andere identiteitsprovider haalt Microsoft niet uit de Microsoft 365-vertrouwensketen. Entra ID valideert nog steeds het federatieve token en verleent toegang tot Microsoft-diensten.
- De meeste organisaties hoeven Microsoft niet te verlaten. Breng in kaart welke bedrijfsfuncties hiervan afhankelijk zijn, test wat er gebeurt wanneer elk onderdeel uitvalt, en beslis vervolgens of u de beveiliging moet versterken, onafhankelijke uitwijkoplossingen moet toevoegen of geselecteerde workloads moet diversifiëren.
De beveiligingsincidenten
Twee incidenten bepalen grotendeels de discussies over de risico's van Microsoft. Ze verliepen op verschillende manieren, en de lessen die hieruit kunnen worden getrokken, verschillen.
Storm-0558, een groep die Microsoft aan China toeschrijft, kwam in het bezit van een ondertekeningssleutel voor een Microsoft-consumentenaccount (MSA). In combinatie met een fout in de tokenvalidatie stelde de sleutel de groep in staat om tokens te vervalsen die door Exchange Online voor bedrijven werden geaccepteerd. Uit het onderzoek van Microsoft blijkt dat de enige diensten waarbij werd waargenomen dat de dader vervalste tokens gebruikte, Outlook Web Access in Exchange Online en Outlook.com waren. Tot de slachtoffers behoorden Amerikaanse regeringsfunctionarissen, waaronder de minister van Handel. De inbreuk werd voor het eerst ontdekt door een klant, het Amerikaanse ministerie van Buitenlandse Zaken, via zijn eigen auditlogboek.
De Amerikaanse Cyber Safety Review Board concludeerde dat de inbreuk "te voorkomen was en nooit had mogen plaatsvinden". De commissie telde 22 getroffen organisaties en meer dan 500 personen, uitte kritiek op de beveiligingscultuur van Microsoft en stelde vast dat Microsoft traag had gereageerd bij het corrigeren van onjuiste publieke verklaringen over de wijze waarop de sleutel was verkregen. De commissie merkte tevens op dat de sleutel, met de validatiefout, in principe toegang had kunnen verschaffen tot Exchange Online-mailboxen op een veel grotere schaal dan waarvoor deze daadwerkelijk werd gebruikt.
Dat onderscheid is van belang. Uit het bewijsmateriaal blijkt dat er een breed potentieel voor toegang tot Exchange Online bestond, maar er werd misbruik bevestigd bij een beperkt aantal mailboxen. Er zijn geen aanwijzingen dat met dezelfde techniek toegang is verkregen tot SharePoint, Teams of Azure. De les voor architecten is niettemin ernstig: wanneer de identiteits- of ondertekeningsinfrastructuur van een provider wordt gecompromitteerd, hangt de impact af van welke diensten hierop vertrouwen, en kunnen beveiligingsmaatregelen binnen uw eigen tenant dit mogelijk niet voorkomen.
Midnight Blizzard (ook bekend als NOBELIUM of APT29) is een afzonderlijk geval. In januari 2024 maakte Microsoft bekend dat de groep een verouderd, niet voor productie bestemd testtenant-account zonder MFA had onderworpen aan een 'password-spray'-aanval, en dit vervolgens had gebruikt om toegang te krijgen tot bedrijfs-e-mail, waaronder die van het senior management. Microsoft meldde later dat de groep toegang had verkregen tot enkele broncoderepositories en interne systemen, en nam contact op met klanten wier correspondentie met Microsoft vertrouwelijke gegevens zoals inloggegevens bevatte. In dit geval vond de inbreuk plaats in de bedrijfsomgeving van Microsoft zelf, en niet in de authenticatiedienst die klanten gebruiken. Dit toont aan dat de interne beveiliging van een provider gevolgen kan hebben voor zijn klanten, zelfs wanneer hun eigen tenants goed zijn geconfigureerd.
Maatregelen van de klant blijven in beide scenario's van belang. Dankzij auditlogging heeft het Ministerie van Buitenlandse Zaken Storm-0558 ontdekt, en het vervangen van geheimen, zoals wachtwoorden en sleutels, die met een provider zijn gedeeld, beperkt de schade van een incident zoals Midnight Blizzard.
Gegevenssoevereiniteit en de CLOUD Act
Op grond van 18 U.S.C. §2713, toegevoegd door de CLOUD Act in 2018, kunnen Amerikaanse autoriteiten een aanbieder die onder Amerikaanse jurisdictie valt, verplichten om gegevens die in zijn bezit, bewaring of beheer zijn, te bewaren of openbaar te maken, ongeacht waar de gegevens zijn opgeslagen. Een datacentrum van Microsoft in Dublin of Amsterdam neemt op zichzelf die kwetsbaarheid niet weg.
Deze bevoegdheid kent grenzen. Een verzoek vereist een geldige Amerikaanse juridische procedure, zoals een huiszoekingsbevel. Op grond van 18 U.S.C. §2703(h) kan een provider een rechtbank verzoeken om bepaalde verzoeken te wijzigen of te vernietigen die het risico met zich meebrengen dat de wetgeving van een in aanmerking komende buitenlandse overheid wordt geschonden. Microsoft publiceert het aantal verzoeken van wetshandhavingsinstanties dat het ontvangt, inclusief verzoeken met betrekking tot gegevens van zakelijke klanten.
Voor een Nederlandse organisatie betekent dit risico niet automatisch dat uw gebruik van Microsoft 365 in strijd is met de AVG (Algemene Verordening Gegevensbescherming). Het is één factor in uw risicobeoordeling van leveranciers en in uw analyse van internationale gegevensoverdrachten, naast versleuteling en sleutelbeheer, toegangscontroles van de aanbieder en contractuele voorwaarden. Het helpt om de volgende vragen apart te houden:
| Risico | Wat moet worden beoordeeld |
|---|---|
| Internationale gegevensoverdrachten | Gegevensstromen, partijen, locaties, rechtsgrondslag en overdrachtsmechanisme in het kader van de AVG |
| Toegang door buitenlandse overheden | Rechtsgebied van de aanbieder, gerechtelijke procedures, waarborgen en het vermogen en de bereidheid van de aanbieder om verzoeken aan te vechten |
| Vertrouwelijkheid | Versleuteling, wie de sleutels bewaart, bevoorrechte toegang voor de aanbieder en het bijhouden van toegangsgegevens |
| Gegevensopslaglocatie | Waar gegevens worden opgeslagen en verwerkt, gedocumenteerde uitzonderingen en toegang door supportmedewerkers |
| Contract | Kennisgeving van verzoeken, transparantierapportage, melding van incidenten en onderverwerkers |
Anton Carniaux, directeur publieke en juridische zaken bij Microsoft Frankrijk, werd door een commissie van de Franse Senaat gevraagd of hij kon garanderen dat gegevens die voor Franse overheidsinstanties worden bewaard, nooit zonder Franse toestemming aan Amerikaanse autoriteiten zouden worden doorgegeven. Hij antwoordde dat hij dit niet kon garanderen, en voegde eraan toe dat dit, voor zover hij wist, nog niet was voorgekomen. Uit deze getuigenis blijken de grenzen van de juridische garantie die een Amerikaanse aanbieder kan geven. Hieruit blijkt niet dat dergelijke openbaarmakingen stelselmatig plaatsvinden.
Met de EU Data Boundary zegt Microsoft toe dat bepaalde categorieën klantgegevens, gepseudonimiseerde persoonsgegevens en gegevens met betrekking tot professionele diensten voor de onder deze regeling vallende diensten binnen de EU en de EVA worden opgeslagen en verwerkt. In de documentatie van Microsoft worden uitzonderingen vermeld, waaronder bepaalde beveiligingsactiviteiten, ondersteuning op afstand, door klanten geïnitieerde overdrachten, netwerktransit en specifieke dienstfuncties. Nederlandse klanten dienen na te gaan welke gegevens en diensten binnen de EU Data Boundary vallen en welke gedocumenteerde gegevensstromen de EU nog steeds kunnen verlaten, in plaats van uit te gaan van volledige opslag binnen de EU of onbeperkte overdracht. De Nederlandse overheid heeft via haar bureau voor Strategisch Leveranciersbeheer (SLM Rijk) tevens gegevensbeschermingseffectbeoordelingen (DPIA's) van Microsoft 365 laten uitvoeren en op basis daarvan met Microsoft over wijzigingen onderhandeld.
Ook Europese regeringen hebben dit gebied onder de loep genomen. Het Duitse Federale Bureau voor Informatiebeveiliging (BSI) heeft in zijn SiSyPHuS-onderzoek de telemetrie van Windows 10 geanalyseerd en richtlijnen gepubliceerd om deze te beperken. De Europese Dataverordening (Data Act), die sinds 12 september 2025 van toepassing is, geeft cloudklanten in de EU het recht om van aanbieder te wisselen en hun gegevens over te dragen. Deze verordening is rechtstreeks van toepassing op Nederlandse organisaties.
Concentratierisico in een omgeving met één leverancier
Microsoft concentreert in veel bedrijfsomgevingen verschillende kritieke functies: het besturingssysteem, identiteitsbeheer op locatie (Active Directory), identiteitsbeheer in de cloud (Entra ID), e-mail, samenwerking, beveiligingstools en cloudhosting. Die integratie biedt concrete voordelen, waaronder minder integraties die beveiligd moeten worden en één beheermodel. Het betekent echter ook dat een storing in een gedeeld onderdeel meerdere bedrijfsfuncties tegelijk kan beïnvloeden.
De relevante vraag is welke storing welk onderdeel van uw bedrijf zou lamleggen. Een overzicht op basis van storingsdomeinen geeft hierop een beter antwoord dan een lijst met incidenten:
| Storingsdomein | Wat zou niet meer kunnen werken | Mogelijke risicobeperking |
|---|---|---|
| Entra ID-authenticatie | Aanmelden bij Microsoft-diensten en bij andere applicaties die gebruikmaken van Entra ID | Geteste noodtoegangsaccounts en, indien gerechtvaardigd, een onafhankelijk toegangspad voor kritieke systemen |
| Exchange Online | E-mail en processen die daarvan afhankelijk zijn | Een onafhankelijk noodcommunicatiekanaal en gedocumenteerde handmatige procedures |
| Azure-hosting | Toepassingen, databases en ondersteunende diensten | Toepassingsspecifiek herstel, geteste regelingen tussen regio's of tussen providers |
| SharePoint en OneDrive | Toegang tot bestanden en samenwerking | Offline kopieën van cruciale documenten, zoals continuïteitsplannen en contactlijsten |
| Azure Front Door en DNS | Toepassingen die afhankelijk zijn van die inkomende verkeersstroom en routering | Onafhankelijke routering of failover waar de toepassing dit rechtvaardigt |
| Beheer- en beveiligingsportalen | Beheer en onderzoek naar incidenten | Alternatieve bewijsbronnen, inloggegevens voor herstel en een noodprocedure |
Diversiteit biedt alleen voordeel wanneer het alternatief daadwerkelijk onafhankelijk is. Een naar AWS verplaatste workload kan nog steeds inloggen via Entra ID. Een back-upchatprogramma kan gebruikmaken van dezelfde single sign-on en uitvallen tijdens een identiteitsstoring. Twee diensten kunnen een DNS-provider, een netwerkverbinding of een systeem voor geprivilegieerde toegang delen. Er kan een secundaire locatie bestaan, maar deze kan verouderde gegevens bevatten of een niet-geteste failoverprocedure hebben.
Windows Recall laat zien hoe nieuwe AI-functies privacykwesties op het eindpunt kunnen oproepen. De versie die voor het eerst in 2024 werd aangekondigd, kreeg kritiek nadat onderzoekers ontdekten dat de snapshot-database onversleuteld werd opgeslagen. Microsoft heeft het ontwerp vóór de release aangepast: Recall is opt-in, draait uitsluitend op Copilot+-pc's, slaat momentopnames lokaal op in versleutelde vorm achter Windows Hello Enhanced Sign-in Security, en beheerders kunnen de functie op beheerde apparaten uitschakelen of verwijderen. Organisaties dienen nog steeds, in het licht van hun privacy- en bewaarbeleid, te beslissen of zij het gebruik ervan op bedrijfsapparaten toestaan.
Dienstonderbrekingen en operationele veerkracht
Grote gedeelde platforms vallen van tijd tot tijd uit. Op 9 oktober en opnieuw op 29 oktober 2025 verstoorden incidenten met Azure Front Door de toegang tot Azure- en Microsoft 365-diensten voor veel klanten; Microsoft schreef het incident van 29 oktober toe aan een foutieve configuratiewijziging. Op 22 januari 2026 verstoorde een Microsoft 365-incident dat de Noord-Amerikaanse infrastructuur trof, de werking van Outlook, Teams, SharePoint, OneDrive en beheerdersdiensten voor de getroffen gebruikers.
De omvang van een storing hangt af van de regio, de betrokken componenten en de diensten die een tenant gebruikt. Niet elk incident treft elke klant. Wanneer u echter sterk afhankelijk bent van één platform, kan één enkel incident ervoor zorgen dat e-mail, chat, bestanden en aanmelding tegelijkertijd stilvallen. Breng voor elke kritieke bedrijfsfunctie in kaart wat er in elk storingsscenario stilvalt en zorg voor geteste noodprocedures hiervoor. Herstel hangt af van de alternatieven die u van tevoren hebt opgezet en getest.
Licentiekosten en lock-in
Microsoft verdeelt geavanceerde functies voor identiteitsbeheer, bescherming tegen bedreigingen, audit en compliance over verschillende abonnementen en add-ons. Voor Privileged Identity Management is Entra ID P2 vereist, Audit (Premium) is inbegrepen bij E5 of de E5 Compliance-add-on, en Defender for Endpoint Plan 2 is opgenomen in E5 of de E5 Security-add-on. Een organisatie met Microsoft 365 E3 kan deze functies vaak toevoegen via add-ons of afzonderlijke licenties, in plaats van iedereen over te zetten naar E5. Vergelijk de volledige E5-versie, E3 met add-ons en producten van derden op basis van technische vereisten, geschiktheid, dekking en exploitatiekosten, en niet alleen op basis van de prijs per gebruiker.
Het verplaatsen van Microsoft-workloads naar een andere cloud kan lastiger zijn dan deze op Azure te houden. De licentievoorwaarden voor het draaien van Windows Server, SQL Server en Microsoft 365-apps op de infrastructuur van andere aanbieders verschillen, en sommige Azure-specifieke diensten hebben geen direct equivalent. De kostenstructuur kan het voordeliger maken om bij dezelfde aanbieder te blijven, wat een reden is om uitstapmogelijkheden te plannen voordat u ze nodig hebt.
De Microsoft Secure Score is een maatstaf voor de mate waarin de configuratie voldoet aan de aanbevelingen van Microsoft, en sommige van deze aanbevelingen zijn afhankelijk van licenties. Veel verbeteringen, zoals toegangsbeheer, het verwijderen van verouderde authenticatiemethoden en het reageren op waarschuwingen, vereisen configuratie en procesaanpassingen in plaats van nieuwe aankopen.
Hoe organisaties hierop reageren
De meest zichtbare reacties komen uit de publieke sector. In 2026 kondigde het interministeriële directoraat voor digitalisering (DINUM) in Frankrijk maatregelen aan om de afhankelijkheid van niet-Europese leveranciers te verminderen, waaronder het overzetten van de eigen werkstations naar Linux en het verzoek aan ministeries om plannen op te stellen om de afhankelijkheid te verminderen. In hoeverre dit zich zal uitbreiden, hangt af van elk ministerie. De Duitse deelstaat Sleeswijk-Holstein migreert ongeveer 30.000 werkstations van Microsoft Office en Exchange naar open-sourcealternatieven, waarbij Linux op de desktop in een latere fase wordt geïmplementeerd.
Commerciële organisaties verminderen concentratie vaker selectief. Zij vervangen Microsoft daar waar het risico of de kosten het hoogst zijn en behouden het daar waar de overstapkosten groter zijn dan de voordelen. Een volledige uitstap kan zinvol zijn voor organisaties met strenge soevereiniteitseisen, open-sourceverplichtingen of een IT-omgeving die klein genoeg is om de migratiekosten beheersbaar te houden.
Hoe u de afhankelijkheid kunt beoordelen alvorens tot migratie over te gaan
Voordat u vervangende producten kiest, moet u vaststellen of uw concentratie daadwerkelijk een probleem vormt en welk deel daarvan. Deze vragen geven u daar inzicht in:
| Gebied | Vraag |
|---|---|
| Kritieke diensten | Welke bedrijfsactiviteiten zijn afhankelijk van Microsoft-diensten? |
| Identiteit | Welke applicaties zijn niet meer bereikbaar als Entra ID uitvalt? |
| Gegevens en overdraagbaarheid | Kunnen kritieke bestanden, mailboxen, workloads en configuraties worden geëxporteerd of hersteld? |
| Herstel | Zijn alternatieve procedures voor toegang, communicatie en herstel getest? |
| Juridische risico's | Welke entiteiten, gegevensoverdrachten en rechtsgebieden zijn van toepassing op uw gegevens? |
| Commerciële risico's | Wat zijn de verlengingsvoorwaarden, alternatieve licentiemogelijkheden en uitstapkosten? |
| Operationele onafhankelijkheid | Zou het alternatief dezelfde storingsgebieden vermijden? |
| Gevolgen voor de beveiliging | Zou diversificatie uw vermogen om toegang, monitoring en patching te beheren verbeteren of juist verzwakken? |
De antwoorden kunnen tot heel verschillende beslissingen leiden. De ene organisatie behoudt Microsoft 365 in zijn geheel, maar voegt daar onafhankelijke noodcommunicatie en back-up aan toe. Een andere verplaatst geselecteerde workloads naar elders. Een derde blijft bewust geïntegreerd, omdat een omgeving met meerdere providers meer risico's met zich mee zou brengen dan dat het zou wegnemen. Vergelijk de opties voordat u een keuze maakt:
| Optie | Potentieel voordeel | Belangrijkste beperking |
|---|---|---|
| De bestaande Microsoft-omgeving versterken | Lager migratierisico en snellere verbeteringen op het gebied van beveiliging en veerkracht | Afhankelijkheid van het platform blijft bestaan |
| Onafhankelijke herstelmogelijkheden en toegang in noodsituaties toevoegen | Minder verstoring tijdens storingen | De afhankelijkheid van de primaire leverancier blijft bestaan |
| Kritieke workloads selectief diversifiëren | Vermindert bepaalde gemeenschappelijke storingspatronen | Verhoogt de operationele complexiteit en de integratiekosten |
| Identiteiten federeren of een afzonderlijke IdP gebruiken | Kan het identiteitsbeheer in talrijke applicaties verbeteren | Entra ID blijft in het toegangspad naar Microsoft-diensten |
| Geselecteerde Microsoft-diensten vervangen | Vermindert de afhankelijkheid van een specifiek product of een specifieke aanbieder | Vereist compatibiliteits-, migratie- en operationele tests |
| Uitgebreide migratie naar meerdere cloudomgevingen of naar niet-Microsoft-omgevingen | Kan voldoen aan strenge eisen op het gebied van soevereiniteit of concentratie | Hoge kosten, complexiteit en voortdurende operationele belasting |
Een haalbare aanpak is: breng afhankelijkheden in kaart, identificeer de kritieke storingsscenario's, beoordeel de juridische en commerciële risico's, vergelijk de bovenstaande opties, voer een proefproject uit waar de argumenten daarvoor overtuigend zijn, en test vervolgens de herstel- en uitstapregelingen.
Afhankelijkheid in de praktijk verminderen
Breng vóór elke migratie technische afhankelijkheden, contracten, wettelijke vereisten, terugkerende kosten, de inspanningen voor de overgang en het risico op verstoring in kaart. Geef prioriteit aan veranderingen waarvan het meetbare voordeel voor veerkracht, beveiliging of kosten opweegt tegen het risico en de investering. De onderstaande producten zijn voorbeelden om af te zetten tegen uw eigen vereisten, geen kant-en-klare vervangingen.
Herstel en noodtoegang staan voorop
Voor veel organisaties zijn onafhankelijke noodoplossingen de snelste manier om voordelen te behalen, in plaats van nieuwe platforms: geteste noodtoegangsaccounts, een out-of-band communicatiekanaal voor incidenten, offline kopieën van continuïteitsplannen en contactlijsten, en back-ups van Microsoft 365-gegevens die buiten de tenant worden bewaard. Deze maatregelen verminderen verstoringen tijdens een storing of inbreuk zonder dat er iets hoeft te worden gemigreerd.
Identiteit
Een externe identiteitsprovider zoals Okta, JumpCloud of Ping Identity kan niet-Microsoft-toepassingen voorzien van een gemeenschappelijke aanmeldingslaag en bepaalde operationele afhankelijkheden verminderen. Wanneer gebruikers via federatie inloggen op Microsoft 365, valideert Entra ID nog steeds het gefedereerde token en verleent het toegang tot Microsoft-diensten; federatie alleen neemt dus de risico's in de identiteitsinfrastructuur van Microsoft niet weg. Baseer uw beslissing op de vraag welke applicaties, gegevens en diensten momenteel afhankelijk zijn van Entra ID.
Infrastructuur
Het verplaatsen van bestaande Azure-workloads brengt kosten en risico's met zich mee, en sommige organisaties hebben commerciële verplichtingen, integraties, automatiserings- en beveiligingsprocessen die rond Azure zijn opgebouwd. Wanneer er voor een nieuwe workload geen dwingende reden is om deze op Azure te laten draaien, beoordeel dan andere aanbieders, waaronder Europese zoals OVHcloud of Hetzner, op beschikbaarheid, beveiliging, rechtsgebied, overdraagbaarheid, ondersteuning, kosten en hun eigen afhankelijkheden van derden. Een Europees hoofdkantoor kan bepaalde juridische risico's verminderen, maar de aanbieder kan nog steeds activiteiten in de VS hebben, gebruikmaken van subverwerkers of afhankelijk zijn van software van derden, waardoor dit op zichzelf geen volledige gegevenssoevereiniteit garandeert.
E-mail en agenda
E-mail is vaak de eerste dienst die organisaties overwegen te vervangen. Het afstappen van Exchange Online heeft gevolgen voor gegevensbewaring, eDiscovery, preventie van gegevensverlies, beheer van mobiele apparaten, identiteitsintegratie, het plannen van vergaderingen en het bijhouden van wettelijk verplichte gegevens; daarom vereist elke migratie het testen van gegevens, identiteiten en e-mailstromen. Google Workspace zorgt voor diversificatie van de leverancier, maar Google is eveneens een Amerikaanse aanbieder, waardoor het hierboven beschreven bezwaar inzake jurisdictie niet wordt weggenomen. Proton Business biedt end-to-end-versleuteling tussen Proton-gebruikers en zero-access-versleuteling voor opgeslagen e-mail; berichten aan externe ontvangers worden alleen end-to-end beveiligd met wachtwoordbeveiligde e-mail of PGP.
Productiviteitsapplicaties
Google Workspace, LibreOffice en ONLYOFFICE kunnen voor sommige teams documenten, spreadsheets en presentaties ondersteunen. Test de bestandscompatibiliteit met uw eigen documenten, met name Excel-werkmappen met macro's of VBA en bestanden die worden uitgewisseld met partners die nog steeds Microsoft Office gebruiken.
Eindpunten
De migratie van eindpunten duurt doorgaans het langst. Ontwikkelaars en technische teams zijn vaak het gemakkelijkst over te zetten naar Linux, mits hun tools daarop draaien. Voor het overige personeel dient u, voorafgaand aan een gestructureerde uitrol, tests voor applicatiecompatibiliteit, apparaatbeheer en ondersteuning te plannen. macOS is een andere optie wanneer de apparaatkosten, beheertools en applicatiecompatibiliteit hiermee in overeenstemming zijn.
Bestandsopslag en samenwerking
Nextcloud kan, afhankelijk van uw vereisten, een deel van de opslag- en samenwerkingsfuncties van OneDrive en SharePoint overnemen. Slack, Mattermost, Google Meet en Zoom zijn alternatieven voor bepaalde onderdelen van Teams. Indien u Microsoft 365 behoudt, beveilig het dan met voorwaardelijke toegang, stuur logbestanden naar een SIEM-systeem dat u onafhankelijk kunt bereiken en stel telemetriecontroles expliciet in.
Wat u ook besluit, stel een incidentresponsplan op dat rekening houdt met het feit dat Microsoft-diensten op providersniveau onbeschikbaar of gecompromitteerd kunnen zijn, dwing MFA af voor elk account en pas Zero Trust-toegangscontroles toe, zodat kritieke systemen niet afhankelijk zijn van de beschikbaarheid van één platform.
