Every mailbox, every file in SharePoint, every Teams chat and every admin right lives behind one identity system: Entra ID. Four ways the tenant gets taken over — with real examples — and the setting that often closes each. Elke mailbox, elk bestand in SharePoint, elke Teams-chat en elk beheerrecht zit achter één identiteitssysteem: Entra ID. Vier manieren waarop de tenant wordt overgenomen — met echte voorbeelden — en de instelling die elk ervan vaak dichtzet.
Global Administrator is the master key of Microsoft 365. It reads every mailbox, changes every password, adds new administrators and turns off the logging that would show it happened. Most tenants hand that key to far more people than they think: the IT team, the helpdesk lead, two consultants from the migration project, a service account from 2018. All of them hold it permanently, whether they are using it or not. Attackers know this, so they do not attack the tenant. They phish one of those people.
Example: a helpdesk employee with standing Global Administrator rights approves a fake “Microsoft security update” login on a Monday morning. By lunch the attacker has added their own administrator, set up mailbox forwarding on the CFO and finance team, and created an application that keeps access even after every password is reset. Business impact: total loss of confidentiality over the company's email and files, and a recovery that means rebuilding trust in the entire tenant, not just one account.
Global Administrator is de hoofdsleutel van Microsoft 365. Die leest elke mailbox, wijzigt elk wachtwoord, voegt nieuwe beheerders toe en zet de logging uit die zou laten zien dat het gebeurde. De meeste tenants geven die sleutel aan veel meer mensen dan ze denken: het IT-team, de teamleider van de helpdesk, twee consultants van het migratieproject, een serviceaccount uit 2018. Ze hebben hem allemaal permanent, of ze hem nu gebruiken of niet. Aanvallers weten dat, dus ze vallen de tenant niet aan. Ze phishen één van die mensen.
Voorbeeld: een helpdeskmedewerker met permanente Global Administrator-rechten keurt op maandagochtend een nep-inlog voor een “Microsoft-beveiligingsupdate” goed. Tegen de lunch heeft de aanvaller een eigen beheerder toegevoegd, doorsturen ingesteld op de mailboxen van de CFO en het financeteam, en een applicatie aangemaakt die toegang houdt nadat elk wachtwoord is gereset. Bedrijfsimpact: volledig verlies van vertrouwelijkheid over de e-mail en bestanden van het bedrijf, en een herstel dat neerkomt op het opnieuw opbouwen van vertrouwen in de hele tenant, niet in één account.
AI-written phishing mail matching a company's tone convinces a helpdesk employee in seconds, and once inside, AI agents can add an admin, set mailbox forwarding and hide the trail faster than any human attacker could.AI-geschreven phishingmail in de juiste bedrijfstoon overtuigt een helpdeskmedewerker binnen seconden, en eenmaal binnen kunnen AI-agents een beheerder toevoegen, doorsturen instellen en sporen wissen sneller dan een menselijke aanvaller ooit zou kunnen.
An IT automation bot or copilot quietly granted standing Global Administrator rights becomes a second master key: if it is misconfigured or manipulated, it can act with the same reach as the phished helpdesk employee.Een IT-automatiseringsbot of copilot die stilletjes permanente Global Administrator-rechten krijgt, wordt een tweede hoofdsleutel: bij een verkeerde instelling of manipulatie kan hij evenveel bereiken als de gephishte helpdeskmedewerker.
AI can score PIM activation requests for unusual timing, location or reason text and flag them for a human to check, but the actual fix stays just-in-time activation with five or fewer eligible admins.AI kan PIM-activeringsverzoeken beoordelen op vreemde tijdstippen, locaties of redenen en ze markeren voor controle, maar de echte oplossing blijft just-in-time-activering met vijf of minder in aanmerking komende beheerders.
Conditional Access is the gate in front of Microsoft 365: it decides, per sign-in, who gets in from where, on which device, and with what proof. Most tenants have a gate. Few have closed it. Legacy authentication sends a bare password and cannot do MFA at all. Microsoft switched it off for IMAP, POP and the other mail protocols in Exchange Online in 2022–23. SMTP AUTH, used to send mail, is still allowed; Microsoft plans to switch it off by default at the end of December 2026. Administrators who are “too busy for MFA prompts” are exempted. Personal phones and home laptops that nobody manages open corporate mail and download SharePoint libraries.
Example: an attacker takes a password leaked from a hobby forum and tries it over SMTP AUTH, left on for an old scanner. That protocol cannot ask for a second factor, so the password works, and the attacker sends fake invoices from the finance mailbox. Another skips the password: a phishing proxy copies the session token after the MFA prompt and replays it from another continent. Business impact: the company believes it “has MFA” while the doors that matter still take a password alone. Often the fix is configuration, not licences: a baseline that blocks legacy authentication and device-code sign-in, requires MFA for everyone and a compliant device for anything sensitive.
Conditional Access is de poort vóór Microsoft 365: het beslist per aanmelding wie binnenkomt, vanwaar, op welk apparaat en met welk bewijs. De meeste tenants hebben een poort. Weinig hebben hem dichtgedaan. Verouderde authenticatie stuurt een kaal wachtwoord mee en kan helemaal geen MFA. Microsoft zette die in 2022–23 uit voor IMAP, POP en de andere mailprotocollen in Exchange Online. SMTP AUTH, voor het versturen van mail, is nog toegestaan; Microsoft is van plan dat eind december 2026 standaard uit te zetten. Beheerders die “te druk zijn voor MFA-prompts” krijgen een uitzondering. Privételefoons en thuislaptops die niemand beheert, openen bedrijfsmail en downloaden SharePoint-bibliotheken.
Voorbeeld: een aanvaller pakt een wachtwoord dat lekte bij een hobbyforum en probeert het via SMTP AUTH, dat aanstaat voor een oude scanner. Dat protocol kan geen tweede factor vragen, dus het wachtwoord werkt, en de aanvaller verstuurt valse facturen vanuit de financemailbox. Een ander slaat het wachtwoord over: een phishingproxy kopieert het sessietoken na de MFA-melding en speelt het af vanaf een ander continent. Bedrijfsimpact: het bedrijf denkt dat het “MFA heeft”, terwijl de deuren die ertoe doen nog steeds op alleen een wachtwoord opengaan. Vaak is de oplossing configuratie, geen licenties: een basisset die verouderde authenticatie en aanmelden met apparaatcode blokkeert, MFA voor iedereen eist en een conform (compliant) apparaat voor alles wat gevoelig is.
Automated tools already test breached passwords against SMTP AUTH and other legacy endpoints around the clock; AI now helps attackers scan which of a tenant's protocols still allow it and pick the weakest one first.Geautomatiseerde tools testen al dag en nacht gelekte wachtwoorden tegen SMTP AUTH en andere verouderde eindpunten; AI helpt aanvallers nu ontdekken welke protocollen van een tenant dat nog toestaan en kiest daarvan de zwakste eerst.
Admins exempted from MFA for convenience often connect mail assistants or AI tools through the same legacy protocols, quietly widening the exact gap that Conditional Access was meant to close.Beheerders die vanwege gemak van MFA zijn vrijgesteld, koppelen vaak mailassistenten of AI-tools via diezelfde verouderde protocollen, en vergroten zo ongemerkt precies het gat dat Conditional Access moest dichten.
Risk-based sign-in scoring flags legacy-protocol logins, impossible travel and unmanaged devices for review, but scoring only helps once the baseline policy exists: block legacy auth, require MFA for everyone, only break-glass excepted.Risicogebaseerde aanmeldscoring signaleert logins via verouderde protocollen, onmogelijke reizen en onbeheerde apparaten, maar dat helpt pas als het basisbeleid er is: verouderde auth blokkeren, MFA voor iedereen, alleen break-glass uitgezonderd.
Inviting an outsider into Teams or a SharePoint site takes one click and creates a guest account in Entra ID. Removing it takes a decision nobody is assigned to make. So the list grows: the design agency from the rebrand, the auditors from two firms ago, a consultant who now works for a competitor and still logs in with a personal address. Guests keep every Team, channel and folder they were ever added to, and their home organisation — not you — controls how well their account is protected.
Example: a tenant review finds 1,400 guest accounts, 600 of which have not signed in for over a year, and one that still sits in the “Board – Confidential” Team from the 2021 strategy project. Business impact: board material, contracts and personnel files readable by people you no longer have a contract with, through accounts whose passwords you cannot enforce. A guest lifecycle — invite with an owner and an expiry date, review every quarter, remove on silence — turns an unknown into a managed list.
Een buitenstaander uitnodigen in Teams of een SharePoint-site kost één klik en maakt een gastaccount aan in Entra ID. Het verwijderen kost een beslissing die aan niemand is toegewezen. Dus groeit de lijst: het ontwerpbureau van de rebranding, de auditors van twee kantoren geleden, een consultant die nu bij een concurrent werkt en nog inlogt met een privéadres. Gasten houden elk Team, kanaal en elke map waaraan ze ooit zijn toegevoegd, en hun eigen organisatie — niet u — bepaalt hoe goed hun account beschermd is.
Voorbeeld: een tenantreview vindt 1.400 gastaccounts, waarvan 600 al meer dan een jaar niet zijn ingelogd, en één die nog in het Team “Directie – Vertrouwelijk” zit van het strategieproject uit 2021. Bedrijfsimpact: bestuursstukken, contracten en personeelsdossiers leesbaar voor mensen met wie u geen contract meer hebt, via accounts waarvan u het wachtwoordbeleid niet kunt afdwingen. Een gastlevenscyclus — uitnodigen met een eigenaar en een einddatum, elk kwartaal beoordelen, verwijderen bij stilte — maakt van een onbekende een beheerde lijst.
AI-assisted searching quickly matches a stale guest account to its old firm and finds who there might still use it, but the attacker still needs that outside account itself to be reachable and weak.Met AI-ondersteund zoeken is snel te achterhalen bij welk oud bureau of kantoor een vergeten gastaccount hoort, maar de aanvaller heeft nog steeds dat externe account zelf nodig, en dat moet toegankelijk en zwak zijn.
A Microsoft 365 Copilot or similar assistant indexes everything a guest can see, so a forgotten 2021 guest account in a confidential Team lets AI surface board material to an outsider on the first search.Een Microsoft 365 Copilot of vergelijkbare assistent doorzoekt alles wat een gast mag zien, dus een vergeten gastaccount uit 2021 in een vertrouwelijk Team laat AI bij de eerste zoekopdracht bestuursstukken tonen aan een buitenstaander.
AI can flag guests inactive for months or whose home domain no longer exists, speeding up the review, but someone still has to own the decision to remove them every quarter.AI kan gasten signaleren die maandenlang inactief zijn of wier domein niet meer bestaat, wat de review versnelt, maar iemand moet nog steeds elk kwartaal de beslissing nemen om ze te verwijderen.
Most companies did not move to the cloud; they connected to it. Entra Connect synchronises the on-premises Active Directory with Entra ID, so one login works everywhere. That convenience has a price: the sync server holds credentials powerful enough to change cloud accounts, and it lives on the same network as every other server. Whoever owns the on-premises domain — the classic outcome of a ransomware intrusion — can use it to reset cloud passwords, take over synced administrators or push their own account into the tenant. The opposite direction works too.
Example: during a ransomware incident the responders find that the attackers reached the Entra Connect server on day two, extracted its credentials, and had been reading Microsoft 365 mail for a week before the encryption started. The company rebuilt its servers from backup and was still compromised, because the tenant was never treated as part of the breach. Business impact: a breach in either world becomes a breach of both. Microsoft advises treating the sync server as tier-0, like every hybrid component: PTA agents, AD FS servers (a stolen signing key enables Golden SAML) and Cloud Sync agents. Isolate them, harden them, and keep cloud administrators out of sync, so no on-premises password ever unlocks a Global Administrator. Since July 2026 Entra ID blocks sync from taking over accounts that hold admin roles, and new Entra Connect installs authenticate with a certificate instead of a password.
De meeste bedrijven zijn niet naar de cloud verhuisd; ze hebben zich ermee verbonden. Entra Connect synchroniseert de on-premises Active Directory met Entra ID, zodat één inlog overal werkt. Dat gemak heeft een prijs: de syncserver heeft inloggegevens die krachtig genoeg zijn om cloudaccounts te wijzigen, en hij staat in hetzelfde netwerk als elke andere server. Wie het on-premises domein bezit — de klassieke uitkomst van een ransomware-inbraak — kan daarmee cloudwachtwoorden resetten, gesynchroniseerde beheerders overnemen of een eigen account in de tenant duwen. De omgekeerde richting werkt ook.
Voorbeeld: tijdens een ransomware-incident ontdekt het incidentresponsteam dat de aanvallers op dag twee de Entra Connect-server bereikten, de inloggegevens eruit haalden en al een week Microsoft 365-mail meelazen voordat de versleuteling begon. Het bedrijf herstelde zijn servers vanaf back-up en was nog steeds gecompromitteerd, omdat de tenant nooit als onderdeel van de inbraak was behandeld. Bedrijfsimpact: een inbraak in de ene wereld wordt een inbraak in beide. Microsoft adviseert de syncserver als tier-0-systeem te behandelen, net als elk hybride onderdeel: PTA-agents, AD FS-servers (een gestolen ondertekeningssleutel maakt Golden SAML mogelijk) en Cloud Sync-agents. Isoleer en hard ze, en houd cloudbeheerders buiten de synchronisatie, zodat geen on-premises wachtwoord ooit een Global Administrator ontsluit. Sinds juli 2026 blokkeert Entra ID dat sync accounts met beheerrollen overneemt, en nieuwe Entra Connect-installaties melden zich aan met een certificaat in plaats van een wachtwoord.
AI-assisted scripting speeds up the reconnaissance that finds the Entra Connect server and writes the commands to pull its credentials, but reaching that server at all still needs a real foothold in the on-premises network.AI-ondersteund scripten versnelt de verkenning die de Entra Connect-server vindt en de commando's schrijft om zijn inloggegevens te bemachtigen, maar die server bereiken vraagt nog steeds een echte voet aan de grond in het on-premises netwerk.
An engineer troubleshooting the sync server who pastes its configuration or credentials into a public AI chatbot for help hands a tier-0 secret to a third party outside the company's control.Een engineer die bij het oplossen van syncproblemen de configuratie of inloggegevens van de server in een publieke AI-chatbot plakt, geeft een tier-0-geheim uit handen aan een derde partij.
Behaviour-based detection tools already use machine learning to spot credential-dumping patterns on identity servers, giving an early warning, but the server still has to be isolated as tier-0 with cloud-only admins for that warning to matter.Gedragsgebaseerde detectietools gebruiken al machine learning om patronen van het aftappen van inloggegevens op identiteitsservers te herkennen, wat vroeg waarschuwt, maar de server moet nog steeds als tier-0 geïsoleerd zijn met cloud-only beheerders wil die waarschuwing ertoe doen.
| Control | Stops | In one line |
|---|---|---|
| PIM | Admins (01) | Privileged Identity Management: nobody is a Global Administrator by default. Rights are activated for a few hours, with a reason, approval and a log entry. Aim for five eligible people or fewer. |
| Break-glass | Admins (01) | Two cloud-only emergency accounts, excluded from Conditional Access, signing in with a FIDO2 passkey or a certificate: Microsoft enforces MFA on its admin portals for every account, break-glass included. An alert fires the moment either one signs in. |
| Separate admin accounts | Admins (01) | The account that reads mail and browses is never the account that administers the tenant. Phishing the daily account then yields nothing. |
| CA baseline | Gate (02) | A small set of Conditional Access policies: block legacy authentication and device-code sign-in, require MFA for every user, require a compliant device for finance, HR and admin portals, block sign-ins from countries you do not operate in. |
| Phishing-resistant MFA | Admins (01), Gate (02) | Passkeys or hardware keys for every administrator. A push notification can be approved by mistake; a hardware key cannot be phished. Token Protection and Continuous Access Evaluation make a stolen session token far less useful. |
| App consent | Admins (01) | Users may approve only low-risk apps from verified publishers; anything else goes to an admin consent request. This blunts consent phishing. |
| Guest lifecycle | Guests (03) | Every guest has an owner and an expiry. Access reviews every quarter ask the owner one question; no answer means removal. Guests never reach admin or finance sites. |
| Tier-0 sync | Hybrid (04) | The Entra Connect server is treated like a domain controller: isolated, patched first, no browsing, no mail, reachable only from admin workstations. The same goes for PTA agents and AD FS. All cloud administrators are cloud-only accounts, never synced. |
| Logs & alerts | All four | Entra keeps sign-in and audit logs only 7 days (Free) or 30 days (P1/P2). Export them to a SIEM for at least a year, with alerts on new administrators, new mailbox forwarding rules, new application consents and break-glass use. |
| Secure Score | All four | Microsoft's Identity Secure Score, reported to the board quarterly. Not a target in itself, but a number that only goes up when the settings above are actually switched on. |
| Maatregel | Stopt | In één zin |
|---|---|---|
| PIM | Beheerders (01) | Privileged Identity Management: niemand is standaard Global Administrator. Rechten worden voor een paar uur geactiveerd, met een reden, goedkeuring en een logregel. Streef naar vijf of minder in aanmerking komende personen. |
| Break-glass | Beheerders (01) | Twee cloud-only noodaccounts, uitgesloten van Conditional Access, die inloggen met een FIDO2-passkey of een certificaat: Microsoft dwingt MFA af op zijn beheerportalen voor elk account, ook break-glass. Een alarm gaat af zodra een van beide inlogt. |
| Aparte beheeraccounts | Beheerders (01) | Het account dat mail leest en browst, is nooit het account dat de tenant beheert. Het phishen van het dagelijkse account levert dan niets op. |
| CA-basisset | Poort (02) | Een kleine set Conditional Access-regels: blokkeer verouderde authenticatie en aanmelden met apparaatcode, eis MFA voor elke gebruiker, eis een conform (compliant) apparaat voor finance, HR en beheerportalen, blokkeer inlogs uit landen waar u niet actief bent. |
| Phishingbestendige MFA | Beheerders (01), Poort (02) | Passkeys of hardwaresleutels voor elke beheerder. Een pushmelding kan per ongeluk worden goedgekeurd; een hardwaresleutel is niet te phishen. Token Protection en Continuous Access Evaluation maken een gestolen sessietoken veel minder bruikbaar. |
| App-toestemming | Beheerders (01) | Gebruikers mogen alleen apps met laag risico van geverifieerde uitgevers toestaan; al het andere gaat via een toestemmingsverzoek aan een beheerder. Dat remt consent phishing af. |
| Gastlevenscyclus | Gasten (03) | Elke gast heeft een eigenaar en een einddatum. Toegangsreviews stellen de eigenaar elk kwartaal één vraag; geen antwoord betekent verwijderen. Gasten komen nooit bij beheer- of financesites. |
| Tier-0-sync | Hybride (04) | De Entra Connect-server wordt behandeld als een domeincontroller: geïsoleerd, als eerste gepatcht, geen browsen, geen mail, alleen bereikbaar vanaf beheerwerkplekken. Dat geldt ook voor PTA-agents en AD FS. Alle cloudbeheerders zijn cloud-only accounts, nooit gesynchroniseerd. |
| Logs & alarmen | Alle vier | Entra bewaart aanmeld- en auditlogs maar 7 dagen (Free) of 30 dagen (P1/P2). Exporteer ze naar een SIEM voor minstens een jaar, met alarmen bij nieuwe beheerders, nieuwe doorstuurregels op mailboxen, nieuwe app-toestemmingen en gebruik van break-glass. |
| Secure Score | Alle vier | Microsofts Identity Secure Score, elk kwartaal aan de directie gerapporteerd. Geen doel op zich, maar een getal dat alleen stijgt als de instellingen hierboven echt aanstaan. |
Every Microsoft 365 tenant is probed daily with leaked passwords and phishing. Standing admin rights and open legacy protocols are the norm, not the exception.Elke Microsoft 365-tenant wordt dagelijks afgetast met gelekte wachtwoorden en phishing. Permanente beheerrechten en open verouderde protocollen zijn de norm, niet de uitzondering.
Tenant takeover means every mailbox, file and Teams conversation exposed at once, plus persistent access that survives password resets.Overname van de tenant betekent elke mailbox, elk bestand en elk Teams-gesprek tegelijk blootgelegd, plus blijvende toegang die wachtwoordresets overleeft.
With PIM, a Conditional Access baseline, phishing-resistant MFA for admins and a tier-0 sync server, takeover no longer takes one click. Stolen session tokens and helpdesk resets remain the residual to watch.Met PIM, een Conditional Access-basisset, phishingbestendige MFA voor beheerders en een tier-0-syncserver is een overname niet langer één klik verwijderd. Gestolen sessietokens en helpdeskresets blijven het restrisico om te bewaken.
Executes through the identity or Microsoft 365 team. The board owns the answer to “how many people can take over the tenant”.Uitvoering via het identiteits- of Microsoft 365-team. De directie is eigenaar van het antwoord op “hoeveel mensen kunnen de tenant overnemen”.
Number of Global Administrators and how many are permanent rather than PIM-eligible · % of administrators with phishing-resistant MFA · legacy-authentication sign-ins in the last 30 days · guest accounts not reviewed in the last 12 months, and the Identity Secure Score trend.Aantal Global Administrators en hoeveel daarvan permanent zijn in plaats van via PIM · % beheerders met phishingbestendige MFA · aanmeldingen via verouderde authenticatie in de laatste 30 dagen · gastaccounts die in 12 maanden niet zijn beoordeeld, en de trend van de Identity Secure Score.
“Takeover of the Microsoft 365 tenant through a phished administrator, an unclosed Conditional Access gap or the hybrid sync server exposes all company email and files and grants persistent attacker access.”“Overname van de Microsoft 365-tenant via een gephishte beheerder, een niet-gesloten gat in Conditional Access of de hybride syncserver legt alle bedrijfsmail en -bestanden bloot en geeft de aanvaller blijvende toegang.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Access control and identity management, MFA and secure authentication, and asset management are named risk management measures. Management approves them and is accountable for a tenant it may never have looked at. | Microsoft's compliance documentation covers the platform, not your tenant settings. Ask MSPs and consultants with admin rights how their own accounts are protected and whether they use PIM in your tenant. | A tenant takeover can count as a significant incident if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Confirm with legal. |
| DORA | Identity and access management, privileged access controls and logging are part of the ICT risk framework. Microsoft is an ICT third-party provider that belongs in your register with the contractual clauses DORA prescribes. | Microsoft's audit reports describe their side of the shared responsibility. Your Conditional Access, PIM and guest settings are your side, and the supervisor will ask about yours. | Loss of control over the tenant can count as a major ICT incident if it meets the criteria: initial notification within 4 hours of classifying it (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. Confirm with legal. |
| SOC 2 | If you issue one: logical access controls over the tenant are tested, including who holds administrative roles, how MFA is enforced and how access is reviewed. Standing Global Administrators become a finding. | Microsoft 365 has SOC 2 reports; read the complementary user entity controls, which list tenant configuration as your responsibility. A supplier's own SOC 2 tells you how they protect the admin accounts they hold in your tenant. | The takeover appears in your next report as an exception in logical access, and customers will ask for the root cause and a bridge letter. |
| ISAE 3402 | Relevant where Microsoft 365 or an MSP administering it touches financially relevant processes. Control objectives around user access provisioning and privileged access will be tested. | Read whether tenant administration is in the MSP's scope at all. If access reviews and privileged access are not control objectives, the report says nothing about how they run your tenant. | Every control that relied on the integrity of identities in that period is in question. ISAE 3402 creates no duty to notify user auditors: expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Toegangsbeheer en identiteitsbeheer, MFA en veilige authenticatie, en assetbeheer zijn benoemde risicobeheersmaatregelen. Het bestuur keurt ze goed en is aansprakelijk voor een tenant waar het misschien nooit naar heeft gekeken. | Microsofts compliancedocumentatie dekt het platform, niet uw tenantinstellingen. Vraag MSP's en consultants met beheerrechten hoe hun eigen accounts zijn beveiligd en of ze PIM gebruiken in uw tenant. | Een tenantovername kan als significant incident gelden als die de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindrapport binnen een maand. Bevestig dit met legal. |
| DORA | Identiteits- en toegangsbeheer, beheersing van bevoorrechte toegang en logging maken deel uit van het ICT-risicokader. Microsoft is een ICT-derde die in uw register hoort met de contractbepalingen die DORA voorschrijft. | Microsofts auditrapporten beschrijven hun kant van de gedeelde verantwoordelijkheid. Uw Conditional Access-, PIM- en gastinstellingen zijn uw kant, en de toezichthouder vraagt naar die van u. | Verlies van controle over de tenant kan als ernstig ICT-incident gelden als dat aan de criteria voldoet: eerste melding binnen 4 uur na classificatie (uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur, eindrapport binnen een maand. Bevestig dit met legal. |
| SOC 2 | Als u er zelf een afgeeft: logische toegangsbeheersing over de tenant wordt getest, inclusief wie beheerrollen heeft, hoe MFA wordt afgedwongen en hoe toegang wordt beoordeeld. Permanente Global Administrators worden een bevinding. | Microsoft 365 heeft SOC 2-rapporten; lees de complementary user entity controls, die tenantconfiguratie als uw verantwoordelijkheid benoemen. De eigen SOC 2 van een leverancier vertelt hoe hij de beheeraccounts beschermt die hij in uw tenant heeft. | De overname verschijnt in uw volgende rapport als afwijking in logische toegang, en klanten vragen naar de oorzaak en een bridge letter. |
| ISAE 3402 | Relevant waar Microsoft 365 of een MSP die het beheert financieel relevante processen raakt. Beheersdoelstellingen rond het toekennen van gebruikerstoegang en bevoorrechte toegang worden getest. | Lees of tenantbeheer überhaupt binnen de scope van de MSP valt. Zijn toegangsreviews en bevoorrechte toegang geen beheersdoelstellingen, dan zegt het rapport niets over hoe zij uw tenant beheren. | Elke maatregel die in die periode op de integriteit van identiteiten vertrouwde, staat ter discussie. ISAE 3402 schept geen plicht om de auditors van klanten te informeren: verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against Microsoft documentation: mandatory MFA (Jul 2026), SMTP AUTH timeline (Jan 2026), Exchange Online basic auth (Jul 2026), hard-match hardening (Aug 2026), Entra Connect releases (Sep 2026), hybrid components as tier 0 (Feb 2026), log retention (Mar 2026), Token Protection (Aug 2026), CAE (Sep 2026), device-code flow (Mar 2026), user consent (Aug 2026); NIS2 Art. 23 and DORA reporting clocks · September 2026.
Gecontroleerd tegen Microsoft-documentatie: verplichte MFA (jul 2026), tijdlijn SMTP AUTH (jan 2026), basic auth in Exchange Online (jul 2026), hard-match-hardening (aug 2026), Entra Connect-releases (sep 2026), hybride componenten als tier 0 (feb 2026), logbewaartermijn (mrt 2026), Token Protection (aug 2026), CAE (sep 2026), apparaatcode-flow (mrt 2026), gebruikerstoestemming (aug 2026); meldtermijnen NIS2 art. 23 en DORA · september 2026.