Security: Zero Trust voor Microsoft 365, Intune en Azure

• Identiteit & toegangConditional Access als code · phishing-bestendige MFA · geen staande admin-rechtenBeschermd

  Herken je dit?

  Global Admins zonder MFA, 47 Conditional Access-policies zonder naam en een break-glass-account waarvan niemand het wachtwoord weet. Ik breng identiteit terug naar een overzichtelijke set: phishing-bestendige MFA, Conditional Access als code met een reden per policy, PIM voor beheerdersrollen en nul staande rechten.

  Wat je krijgt

  Toegang die je kunt uitleggen aan de auditor én aan de gebruiker.

  Entra IDConditional AccessPIMPasskeys / FIDO2SC-300
• ApparatenSecurity baselines via Intune · Defender for Endpoint · compliance als voorwaardeBeschermd

  Herken je dit?

  Een compliance-policy die niemand durft aan te zetten en Defender dat "wel ergens aan staat". Ik rol security baselines, Defender for Endpoint, BitLocker, LAPS en Attack Surface Reduction uit via Intune. Als code, met compliance als voorwaarde voor toegang tot je data.

  Wat je krijgt

  Alleen gezonde, beheerde apparaten komen bij je data.

  IntuneDefender for EndpointSecurity BaselinesBitLockerLAPSASR
• Data & e-mailPurview-labels · DLP · Defender for Office 365Beschermd

  Herken je dit?

  Gevoelige documenten in een gedeelde map "Iedereen" en phishing die gewoon in de inbox landt. Ik zet Purview-labels en DLP pragmatisch in (eerst de drie dingen die er echt toe doen), met Defender for Office 365 en Safe Links ervoor.

  Wat je krijgt

  Data die weet wat ze waard is, en een inbox die dat ook weet.

  PurviewSensitivity labelsDLPDefender for Office 365
• Cloud & infrastructuurDefender for Cloud · Azure Policy · private endpoints · managed identitiesBeschermd

  Herken je dit?

  Een Azure-omgeving met publieke endpoints, service principals met secrets uit 2021 en een Key Vault die niemand gebruikt. Ik bouw landing zones met private endpoints, managed identities, Defender for Cloud en Azure Policy. Als Bicep, zodat de veilige keuze de standaard is.

  Wat je krijgt

  Een landing zone waarin onveilig deployen gewoon niet lukt.

  Defender for CloudAzure PolicyPrivate EndpointsManaged IdentityKey VaultBicep
• Pipelines & codeWorkload identity (geen secrets) · approvals · secret scanningBeschermd

  Herken je dit?

  Een service connection met Owner op de subscription, wachtwoorden in de YAML en een pipeline die iedereen mag starten. Ik zet pipelines om naar workload identity federation, least privilege per omgeving, branch policies, approvals en secret scanning.

  Wat je krijgt

  Een pipeline die zelf de poortwachter is.

  Workload IdentityApprovalsBranch policiesSecret scanningAzure DevOpsGitHub Actions
• Baseline & drift3 afwijkingen gevonden sinds gisteren · fix staat klaar als pull requestAandacht

  Herken je dit?

  Alles stond goed. Op de dag van oplevering. Daarna klikte iemand "tijdelijk" een uitzondering aan. Ik leg de security-baseline (CIS, Microsoft) vast in Git en vergelijk die elke nacht met je tenant: Conditional Access, Defender, Intune en Entra-instellingen. Afwijkingen zie jij 's ochtends, met de fix als pull request.

  Wat je krijgt

  Een baseline die blijft staan, ook als ik weg ben.

  Microsoft365DSCMicrosoft GraphKQLSecure ScoreCIS Benchmark

Security-architectuur op basis van SC-100 (Cybersecurity Architect Expert) en SC-300 (Identity & Access), gebouwd door een Azure Solutions Architect Expert. Geen pentester, wel degene die ervoor zorgt dat de pentester zich verveelt.