Microsoft 365 Security Assessment

Nee. Dit is geen exploit-gerichte pentest, maar een configuratie- en aanvalspadbeoordeling. We toetsen je tenant tegen realistische aanvalsscenario's (identity compromise, token abuse, phishing-impact), gebaseerd op de CISA en Microsoft Secure Configuration Baselines. Waar een pentest laat zien dat iets misbruikt kan worden, laat dit assessment zien waarom dat mogelijk is en hoe je dat structureel voorkomt.

Nee. Het onderzoek is volledig lezend en verzamelt uitsluitend configuratie-informatie en logs uit Microsoft 365, via een applicatieregistratie die je eigen beheerder aanmaakt. Wij loggen nooit in op je omgeving en lezen geen e-mails, bestanden of gebruikersinhoud. Na afloop verwijder je de registratie.

Dat is precies de vraag die wij meten. Bij elke maatregel die we kunnen meten zoeken we op wat er in jouw omgeving feitelijk gebeurt, en het punt draagt daarna geen impact, raakt gebruikers of niet vastgesteld. Bij geen impact kun je het aanzetten zonder dat iemand het merkt. Bij raakt gebruikers weet je vooraf wie of wat er tegenaan loopt, zodat je het kunt aankondigen in plaats van te herstellen. En een meting die niet lukte noemen we zo, want dat is iets anders dan een meting die niets vond.

Ja, en daar is het op ingericht. Het technische deel gaat naar je beheerder of IT-partner, met per punt een concrete instructie. Wat bij de organisatie hoort komt apart, als vragen in gewone taal met per antwoord het gevolg erbij. Daar hoef je niets voor te weten van Microsoft 365, je hoeft alleen te weten hoe jullie willen werken. In de nabespreking lopen we het samen door.

Nee. Het doel is inzicht en onderbouwde keuzes, geen blind hardenen. In de nabespreking maken we onderscheid tussen maatregelen met directe risicoreductie, maatregelen met hoge impact op gebruikers of applicaties, en bewust te accepteren risico's. Kies je bewust anders dan de richtlijn, dan leggen we dat vast als aanvaard risico, met de reden erbij. Bij een volgende meting komt dat punt dan niet opnieuw als openstaand terug.

Ja. CIS en Secure Score geven een goede hygiëne-baseline, maar missen vaak context rond moderne identity-aanvallen (OAuth abuse, token replay, Conditional Access-bypass) en kijken niet naar sporen van misbruik of naar de rechten van gekoppelde applicaties. Een score zegt bovendien niets over wat aanscherpen in jouw omgeving zou raken. Ons assessment kijkt expliciet vanuit het perspectief van een capabele aanvaller en meet de gevolgen in je eigen omgeving.

Ja, en dat staat als eigen onderdeel in het rapport. Soms lukt een meting niet, bijvoorbeeld omdat een onderdeel niet uitleesbaar is of omdat je licentie het logboek niet zo ver terug bewaart. Dan staat er wat er niet is vastgesteld en waarom. Een onderdeel dat stilletjes wegvalt zou lezen als een onderdeel dat in orde is, en dat is het verschil tussen een rapport waar je op kunt bouwen en een rapport dat er goed uitziet.

Een beheerder die in een kwartier een applicatieregistratie met leesrechten aanmaakt (wij leveren de instructie met schermafbeeldingen), een contactpersoon voor de nabespreking, en de naam van je IT-partner als die de maatregelen gaat doorvoeren. Na de nabespreking beantwoorden jullie zelf de beleidsvragen die nog openstaan. Meer niet. Er is geen impact op je gebruikers en geen downtime.

€ 3.600 per tenant, exclusief btw, vast. Inclusief voorbereiding, de vier onderzoeken, het managementrapport, de beleidsvragen, de punten in je portaal en de nabespreking. Vanaf het moment dat de applicatieregistratie klaarstaat ontvang je het rapport doorgaans binnen twee tot drie weken, en met de nabespreking is het assessment afgerond. De hertest met het vastgestelde beleid is een optioneel vervolg van € 1.200, binnen twaalf maanden na het rapport. Heb je meerdere tenants, dan maken we een passend voorstel.

Het assessment legt de stand van nu vast en is afgerond met de nabespreking. Daarna werkt je beheerder de punten af, in jullie eigen tempo. Wil je zien wat dat heeft opgeleverd, dan kies je de hertest: wij meten opnieuw wat is opgepakt, hetzelfde punt in je portaal wordt bijgewerkt in plaats van opnieuw aangemaakt, en je krijgt het vastgestelde beleid als document, met per afspraak wat medewerkers ervan merken en wat jullie bewust hebben aanvaard. Met een bespreking erbij. Vaste prijs € 1.200, binnen twaalf maanden na het rapport. Voor de hertest leveren wij een nieuw certificaat dat je beheerder in een kwartier koppelt.

Het zijn er ongeveer veertig, en dat is veel. Daarom staan ze op urgentie, zodat wie bovenaan begint de zwaarste punten het eerst heeft gehad. Een vraag die in jouw omgeving al goed staat is voorgevuld met ons voorstel, dus daar hoef je alleen ja tegen te zeggen. In de nabespreking beantwoorden we er samen zoveel mogelijk. Wat dan nog openstaat vul je daarna in op je eigen moment, in het portaal of via het formulier. Laten zoals het nu is, is ook een antwoord, en wat je nu niet kunt beantwoorden laat je leeg.

Een beveiligingsscan van Microsoft 365 draait een tool en geeft je de lijst. Een security audit toetst je tenant tegen een norm. Dit assessment doet allebei en gaat dan verder: vier onderzoeken op je M365-tenant, een onderzoeker die de ruis eruit haalt, en per maatregel de meting of aanscherpen je mensen raakt. Wil je alleen je tenant laten controleren op de bekende gaten, dan is dat het eerste van de vier onderzoeken. Het verschil zit in wat je erna in handen hebt: een volgorde en een aantal keuzes, geen lijst.