Is Microsoft 365 niet veilig genoeg?

Oct 13, 2026

De vraag klinkt logisch. Je betaalt Microsoft een behoorlijke prijs per gebruiker per maand. Zeker met Business Premium zit er een volledig securitypakket in de bus: Defender, Intune, Entra ID, Conditional Access, alles zit erin.

Dus: veilig genoeg, toch?

Het eerlijke antwoord luidt: de mogelijkheid is er. De garantie niet.

Veiligheid als instelling, niet als product

Microsoft levert de functies, maar zet ze niet automatisch aan. Conditional Access staat er, maar iemand moet er beleid in steken. MFA kan afgedwongen worden, maar niemand heeft het afgedwongen, dus gebruikt niemand het. Defender for Office 365 filtert phishing, maar hoe streng de filters werken, hangt af van hoe zeingesteld staan.

We scannen regelmatig M365-omgevingen van KMO's. Zonder uitzondering vinden we instellingen die een beetje verouderd zijn of een beetje te ruim. Openstaande legacy-authenticatie, beheerdersaccounts zonder MFA, gasttoegang die nooit werd opgeruimd, apparaten die in geen enkel compliance-beleid zitten. Niets hiervan is de schuld van de IT-verantwoordelijke. Er werd gewoon niemand betaald om er elke week naar te kijken.

Het fundament is goedkoop, het ontbreekt vaak

Wat écht telt voor een KMO is geen SOC van 24/7 of een leger aan analisten. Het fundament: MFA overal afgedwongen, geen eeuwige beheerders, apparaten die aan regels voldoen, een back-up buiten Microsoft, iemand die meekijkt. Dat is het verschil tussen het fundament en de overhead van een security-afdeling. Banken zijn duur vanwege de overhead, niet vanwege de tien dingen die er echt toe doen.

Microsoft heeft overigens geen belang bij om dat te vereenvoudigen. De licentiegrid zit vol opties die bijna hetzelfde heten, en de verantwoordelijkheid om alles juist te configureren ligt volledig bij de klant. Dat staat klein gedrukt.

De test die in twee seconden iets vertelt

Wil je proeven hoe wij werken zonder afspraak? Doe de gratis e-mailscan. Die checkt live of iemand mails kan verzenden die eruitzien alsof ze van jouw domein komen. Spoofing is de goedkoopste aanval die er bestaat, en de scan toont meteen of je domein openstaat.

Verder kijken dan e-mail vraagt geen halve dag leestijd. Onze Security Audit zet meer dan 200 parameters naast CyberFundamentals, het officiële Belgische kader. Je krijgt geen lijst, je krijgt een oordeel: wat staat goed, wat dringt aan, wat accepteer je bewust.

Plan je audit en je weet binnen enkele dagen waar je staat. Gissen hoeft dan niet meer.