Alle beveiligingsinstellingen zijn goed ingericht. Encryptie staat aan, antivirus werkt en het device voldoet aan de eisen die je organisatie heeft gesteld. Intune geeft het device de status compliant. Maar is zo’n device dan ook automatisch veilig genoeg? Of kan een ongeautoriseerde persoon toch toegang krijgen tot Microsoft 365?
Compliant is niet hetzelfde als veilig
Met compliance policies in Intune controleer je of een device aan bepaalde voorwaarden voldoet. Via Conditional Access kun je daar vervolgens consequenties aan verbinden, bijvoorbeeld door toegang te beperken wanneer een device niet compliant is.
Dat klinkt overzichtelijk. Totdat je moet bepalen welke voorwaarden echt belangrijk zijn, hoe zwaar een afwijking weegt en wat je doet als er één niet klopt.
Moet één fout meteen alle toegang blokkeren?
Veel organisaties beginnen met één grote compliance policy: het principe van ‘geldig voor iedereen’. Encryptie, antivirus, updates, wachtwoordinstellingen en andere beveiligingsmaatregelen worden in dezelfde policy gecontroleerd. Maar niet iedere afwijking heeft dezelfde impact.
Stel dat een apparaat tijdelijk achterloopt met een bepaalde configuratie. Dat is vervelend, maar misschien niet direct reden om iemand volledig de toegang te ontzeggen. Zo kan een uitgeschakelde antivirusfunctie op een laptop van een medewerker die met gevoelige bedrijfsdata werkt, juist om een snelle reactie vragen.
De kunst is daarom om vooraf te bepalen welke beveiligingsmaatregelen echt kritisch zijn en welke afwijkingen de hoogste prioriteit moeten hebben. Kijk daarom bij het ontwerpen van compliance verder te dan de vraag: wat willen we controleren? Veel belangrijker is de vraag: wat betekent het als deze controle faalt?
Niet iedere afwijking vraagt om direct ingrijpen
Daar begint het echte ontwerp van je compliance beleid. Je bepaalt niet alleen wat een device moet kunnen aantonen, maar ook wat er gebeurt als dat niet lukt. Een laptop die een update een paar uur mist, vraagt bijvoorbeeld om een andere reactie dan een device waarop antivirus is uitgeschakeld. In het eerste geval kan een gebruiker bijvoorbeeld tijd krijgen om het probleem zelf op te lossen. In het tweede geval wil je misschien direct ingrijpen.
“Kijk bij iedere controle niet alleen naar de vraag of iets moet worden gecontroleerd, maar vooral naar de gevolgen als het niet klopt. Dat helpt om te bepalen welke controles zwaar moeten meewegen en welke afwijkingen prioriteit moeten krijgen.”
Kenneth van Surksum – Modern Workplace Consultant & MVP
In de praktijk betekent dat vaak ook dat compliance opgesplitst wordt. Niet omdat meer policies automatisch beter zijn, maar omdat verschillende controles verschillende risico’s vertegenwoordigen.
Een status vertelt niet het hele verhaal
Dan is er nog een andere uitdaging: Intune geeft je een compliance-status, maar achter die status zit informatie die door het device wordt aangeleverd en door Intune wordt beoordeeld. De vraag is dus niet alleen wat de status is, maar ook waarop die status is gebaseerd. Stel dat een medewerker terugkomt van vakantie. De laptop is een paar weken niet gebruikt en heeft nog niet alle updates verwerkt. Of een device is tijdelijk offline geweest en heeft een wijziging nog niet gerapporteerd. Dat betekent niet automatisch dat het device onveilig is. Maar je wilt ook niet blind vertrouwen op een groene status zonder te begrijpen wat er precies wordt gecontroleerd.
Zeker wanneer je compliance koppelt aan Conditional Access is dat belangrijk. Een technische status kan dan direct gevolgen hebben voor de toegang van een gebruiker.
Je moet daarom weten welke informatie Intune gebruikt, hoe de status tot stand komt en of die informatie betrouwbaar genoeg is voor de beslissing die je eraan koppelt.
Een standaard als basis, zonder keurslijf
Juist daarom helpt het om compliance niet voor ieder device of iedere afdeling opnieuw uit te vinden. Een goede blauwdruk geeft je een vaste basis voor beveiliging en beheer, met ruimte om aan te passen waar de praktijk daarom vraagt. Bij Secure at Work helpen we organisaties om zo’n werkbare standaard neer te zetten: consistent waar het kan, flexibel waar het nodig is. Zo houd je Microsoft Intune beheersbaar, ook als de omgeving groeit en verandert, maar vooral alle werkplekken veilig.
Terug naar Blogs
