Tweestapsverificatie verplicht instellen voor je hele organisatie
In Microsoft 365 zijn er twee manieren om tweestapsverificatie (MFA) voor iedereen verplicht te maken: de beveiligingsstandaarden (gratis, één schakelaar, geschikt voor kleine organisaties) of voorwaardelijke toegang (onderdeel van Business Premium, met meer controle). Bereid de invoering voor met een korte aankondiging en een vaste datum, en zorg dat iemand op de invoerdag beschikbaar is voor vragen.
Optie 1: beveiligingsstandaarden
In het Microsoft Entra-beheercentrum zet je onder Eigenschappen de beveiligingsstandaarden aan. Daarmee moet iedereen MFA registreren (de Authenticator-app) en wordt verouderde aanmelding zonder MFA geblokkeerd. Voordeel: eenvoudig en gratis. Nadeel: weinig keuze, je kunt geen uitzonderingen of eigen regels maken.
Optie 2: voorwaardelijke toegang
Met voorwaardelijke toegang bepaal je zelf de regels, bijvoorbeeld: MFA altijd verplicht, maar niet bij elke aanmelding opnieuw vanaf een beheerde laptop op kantoor; inloggen vanuit het buitenland blokkeren; en beheerders altijd extra streng controleren. Dit is de gangbare keuze voor organisaties met Business Premium.
Stappenplan voor de invoering
- Aankondigen: stuur een week vooraf een korte mail met waarom, wanneer en wat medewerkers moeten doen.
- Authenticator installeren: vraag iedereen vooraf de Microsoft Authenticator-app op de telefoon te zetten.
- Pilot: begin met een paar collega’s, inclusief iemand die minder handig is met techniek.
- Invoerdag: zet MFA aan voor iedereen en zorg dat er iemand beschikbaar is om te helpen.
- Nazorg: controleer na een week wie zich nog niet heeft geregistreerd.
Aandachtspunten
- Medewerkers zonder zakelijke telefoon: gebruik een fysieke beveiligingssleutel (FIDO2) als alternatief voor de app.
- Noodaccount: houd één beheerdersaccount met een zeer sterk wachtwoord apart, voor het geval MFA niet werkt. Bewaar dat veilig.
- Oude apparaten en printers die mail versturen via een oud protocol kunnen stoppen met werken. Inventariseer dit vooraf.
- MFA-vermoeidheid: leer medewerkers dat ze een onverwacht MFA-verzoek nooit goedkeuren. Gebruik bij voorkeur nummervergelijking in de Authenticator-app.
Creativesquare voert MFA voor klanten in als vast onderdeel van de beveiligingsinrichting, inclusief de communicatie naar medewerkers en ondersteuning op de invoerdag.
Vond je dit nuttig? Krijg om de week één tip.
De Tip van Jur: praktische tips over Teams, Outlook, Copilot en veilig werken. Leesbaar in 2 minuten.
- Direct gratis: de notulen-prompt voor Copilot
- Om de week op dinsdag in je inbox
- Geen spam, afmelden kan altijd
Meld je aan
De notulen-prompt staat binnen een paar minuten in je inbox.
Bedankt, je bent aangemeld!
Dit kun je van ons verwachten:
- Binnen een paar minuten: de notulen-killerDe prompt staat in je inbox. Niets ontvangen? Kijk in je spammap en zet hello@creativesquare.eu in je contacten.
- Om de week op dinsdag: één tipOver Teams, Outlook, Copilot en veilig werken. Leesbaar in 2 minuten, toepasbaar in 5.
- Altijd zelf in de handOnder elke mail staat een afmeldlink. Eén klik en je bent eraf.
Benieuwd hoe jullie werkplek ervoor staat? Doe de gratis werkplek-scan →
Veelgestelde vragen
Moet ik elke keer dat ik inlog een MFA-code invoeren?
Nee. Met voorwaardelijke toegang kun je instellen dat een vertrouwd apparaat een tijd lang onthouden wordt. Medewerkers worden dan alleen gevraagd bij een nieuw apparaat, een andere locatie of na een bepaalde periode.
Wat als een medewerker zijn telefoon kwijt is?
De beheerder kan de MFA-registratie van die gebruiker opnieuw instellen, waarna de medewerker een nieuwe telefoon koppelt. Een tweede verificatiemethode maakt dit eenvoudiger.
Is sms als tweede stap veilig genoeg?
Beter dan niets, maar minder veilig dan de Authenticator-app of een beveiligingssleutel. Sms kan worden onderschept of omgeleid. Gebruik sms alleen als reservemethode.