Veel MKB-organisaties draaien op Microsoft 365, en denken dat ISO 27001 een berg nieuwe tooling vereist. In werkelijkheid zit een groot deel van de Annex A-maatregelen al in je licentie; het gaat erom ze aan te zetten en te configureren.
Wat je al hebt
| Maatregel | Microsoft 365-invulling |
|---|---|
| Veilige authenticatie (8.5) | MFA en conditional access via Entra ID |
| Toegangsbeheer (5.15) | Rolgebaseerde toegang, groepsbeleid |
| Malwarebescherming (8.7) | Defender voor Endpoint |
| Logging (8.15) | Audit logs, sign-in logs |
| DLP (8.12) | Ingebouwde DLP-regels |
| Classificatie (5.12) | Gevoeligheidslabels |
De secure score als startpunt
Microsoft 365 heeft een secure score: een dashboard dat je huidige beveiligingsniveau meet en concrete verbeteracties voorstelt, geprioriteerd op impact. Het is een uitstekend startpunt voor je configuratiebeheer: begin bij de aanbevelingen met de hoogste impact.
De vier eerste stappen
- MFA voor iedereen, zonder uitzonderingen, via Entra ID conditional access.
- Blokkeer verouderde protocollen (legacy authentication) die MFA omzeilen.
- Zet audit logging aan en verleng de bewaartermijn waar de standaard te kort is.
- Activeer de risicodetectie: verdachte inlogs, onmogelijke reislocaties, gecompromitteerde accounts.
Tip van Control One: Let op de licentieniveaus. Sommige krachtige functies (uitgebreide conditional access, geavanceerde DLP, langere logbewaring) zitten in de hogere abonnementen. Weeg per organisatie of de upgrade zich terugbetaalt; vaak is één niveau hoger goedkoper dan losse securitytooling erbij kopen.
Vergeet de eigen data-back-up niet
Één misverstand blijft hardnekkig: Microsoft maakt geen back-up van jouw data tegen jouw fouten of ransomware. De gedeelde verantwoordelijkheid legt dat bij jou. Een aparte Microsoft 365-back-up is voor kritische data de standaard.
Wie op Microsoft 365 draait, staat vaak dichter bij ISO 27001 dan gedacht. Wil je weten welke maatregelen je al hebt en welke nog missen? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
ISO 27001 voor kleine bedrijven: haalbaar of overkill?
Kan een bedrijf van 5, 10 of 20 mensen ISO 27001 halen? Ja: de norm schaalt mee. Wat er anders is bij klein, de valkuilen en de realistische aanpak.
Annex A 7.3: Beveiliging van kantoren, ruimten en faciliteiten
Maatregel 7.3 van ISO 27001 Annex A eist fysieke beveiliging van kantoren en ruimten, ontworpen en toegepast naar hun functie. Praktische invulling per ruimtetype.
Wat is Annex A van ISO 27001?
Annex A is de bijlage van ISO 27001 met 93 beheersmaatregelen in vier hoofdstukken: organisatorisch, mensen, fysiek en technologisch. Uitleg over opbouw en gebruik.
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.