‘Pas op met externe installaties van Office 365’

Als een bedrijf overstapt van een on-premise Office-omgeving naar Office 365 en de implementatie wordt uitgevoerd door een externe partij, levert onnodige beveiligingsrisico’s op. Daarvoor waarschuwt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Binnenlandse Veiligheid.

Het advies van CISA is gebaseerd op de bevindingen dat veel organisaties hun ‘algehele beveiligingshouding’ hebben verlaagd zodat externe leveranciers beveiligingsinstellingen bij de implementatie van Office 365 in de cloud kunnen configureren. Dit gaat vaak ten koste van bijvoorbeeld het gebruik van twee-stapsverificatie (MFA) op Office 365-accounts.

Als MFA vanaf het begin niet standaard is ingeschakeld voor het beheerdersaccount tijdens het migreren naar Office 365, zou dat gebruikersaccounts in gevaar kunnen brengen. “Deze beveiligingsrisico’s hebben al geleid tot gehackte accounts en kwetsbaarheden tussen gebruikers en mailboxen,” waarschuwt CISA.

Microsoft kondigde in december aan dat Exchange-mailboxcontroles (mailbox auditing) voor Office 365-gebruikers standaard zouden worden ingeschakeld omdat klanten daarom vragen. Het werd officieel ingeschakeld in maart van dit jaar, aldus ZDnet.

Microsoft heeft dit standaard ingesteld voor Microsoft 365-organisaties sinds januari 2019. Voordien moesten administrators de controle handmatig inschakelen voor elke mailbox in een organisatie, terwijl dit nu gebeurt wanneer een nieuwe mailbox wordt gemaakt.