Veilige Teams-vergaderingen: Beveiligingsconfiguratie Voor Microsoft Teams Meetings

Onbeveiligde Teams-vergaderingen vormen een aanzienlijk beveiligings- en compliance-risico voor Nederlandse overheidsorganisaties. Wanneer vergaderingen open toegankelijk zijn zonder wachtwoord of lobby-beveiliging, kunnen onbevoegde personen of kwaadwillenden eenvoudig deelnemen door gebruik te maken van gedeelde links. Dit kan leiden tot vergaderverstoringen (meeting bombing), waarbij aanvallers tijdens vergaderingen storende content delen of vertrouwelijke informatie opnemen. Zelfs wanneer vergaderingen niet direct worden verstoord, kan anonieme toegang betekenen dat externe partijen zonder toestemming deelnemen en gevoelige informatie waarnemen. Dit schendt niet alleen het principe van vertrouwelijkheid, maar kan ook leiden tot datalekken, schending van de AVG wanneer persoonsgegevens worden besproken, en mogelijk reputatieschade wanneer interne gesprekken naar buiten komen. Bovendien vereisen de AVG, BIO en NIS2 dat organisaties passende technische maatregelen treffen om vertrouwelijke informatie te beschermen. Zonder gecentraliseerd meeting-beveiligingsbeleid ontstaat er inconsistentie: sommige organisatoren gebruiken wel beveiligingsopties zoals wachtwoorden en lobbies, terwijl anderen vergaderingen volledig openzetten. Dit maakt het onmogelijk om compliance aantoonbaar te borgen en verhoogt het risico dat gevoelige vergaderingen onvoldoende zijn beveiligd.

Implementatie

Dit artikel beschrijft hoe Nederlandse overheidsorganisaties een compleet beveiligingskader kunnen implementeren voor Microsoft Teams-vergaderingen dat voldoet aan de vereisten van de AVG, BIO en NIS2. We behandelen de governance en beleidskaders rond meeting-beveiliging, de technische configuratie van meeting-beleidsregels in Teams Admin Center, de verschillende beveiligingsopties zoals lobby-configuraties, wachtwoorden, versleuteling, opnamebeleid en toegangscontrole, de monitoring en logging van meeting-activiteiten, en de borging van compliance door middel van automatische rapportage en toegangsbeoordelingen. Het gekoppelde PowerShell-script helpt organisaties om de configuratie van meeting-beleidsregels te controleren, te inventariseren welke vergaderingen onvoldoende beveiligd zijn, en te rapporteren over compliance-status voor auditdoeleinden.

Governance en Beleidskader voor Meeting-Beveiliging

Een effectief beveiligingskader voor Teams-vergaderingen begint bij een helder governancemodel dat expliciet wordt onderschreven door bestuur en directie. Voor Nederlandse overheidsorganisaties betekent dit dat er een formeel beleidsdocument moet zijn dat vastlegt welke beveiligingsniveaus gelden voor verschillende typen vergaderingen, wie verantwoordelijk is voor het configureren van meeting-beveiliging, welke vergaderingsregels moeten worden gevolgd, en hoe wordt omgegaan met uitzonderingen. Dit beleidsdocument moet aansluiten bij bestaande informatiebeveiligings- en privacybeleidsstukken en moet expliciet verwijzen naar de relevante artikelen uit de AVG, BIO-normen en sectorspecifieke regelgeving zoals de Wbni voor vitale aanbieders of NIS2 voor essentiële en belangrijke entiteiten.

Het governancekader moet verschillende beveiligingsniveaus definiëren op basis van de gevoeligheid van de informatie die tijdens vergaderingen wordt besproken. Een laag niveau kan bijvoorbeeld gelden voor algemene teamvergaderingen waarbij alleen interne medewerkers deelnemen en waarbij geen gevoelige informatie wordt besproken. Voor deze vergaderingen kunnen basisbeveiligingsopties worden toegepast, zoals het vereisen van organisator-authenticatie. Een medium niveau kan gelden voor projectvergaderingen waarbij ook externe partijen deelnemen, waarbij gevoelige bedrijfsinformatie wordt besproken, of waarbij persoonsgegevens worden behandeld. Voor deze vergaderingen moeten strengere beveiligingsopties worden toegepast, zoals lobby-configuratie waarbij externe deelnemers moeten wachten op goedkeuring, wachtwoordbeveiliging, en beperkte presentatierechten. Een hoog niveau kan gelden voor bestuursvergaderingen, crisismanagement-sessies, of vergaderingen waarbij staatsgevoelige of zeer vertrouwelijke informatie wordt besproken. Voor deze vergaderingen moeten maximale beveiligingsopties worden toegepast, zoals het uitsluiten van anonieme toegang, het vereisen van multi-factor authenticatie, het uitschakelen van opnamefunctionaliteit tenzij expliciet goedgekeurd, en het toepassen van watermerken op gedeelde schermen om ongeautoriseerde screenshots te ontmoedigen.

Een cruciaal onderdeel van governance is de rolverdeling en verantwoordelijkheden. Het beleidsdocument moet expliciet vastleggen wie verantwoordelijk is voor het definiëren van meeting-beleidsregels op organisatieniveau, wie verantwoordelijk is voor het toewijzen van beleidsregels aan gebruikers of groepen, wie verantwoordelijk is voor het monitoren van meeting-activiteiten en beveiligingsincidenten, en wie verantwoordelijk is voor het periodiek beoordelen van de effectiviteit van meeting-beveiligingsmaatregelen. In de praktijk zijn dit vaak IT-beheer of informatiebeveiliging die meeting-beleidsregels definiëren en configureren, proceseigenaren of teamleiders die zorgen voor naleving van vergaderingsregels, en compliance-officers die periodiek controleren of vergaderingen voldoen aan beveiligingsvereisten. Door deze rollen expliciet vast te leggen voorkomt u dat meeting-beveiliging wordt vergeten of onvoldoende wordt toegepast.

Het governancekader moet ook processen bevatten voor uitzonderingen en escalaties. Soms zijn er legitieme redenen om af te wijken van het standaardbeleid, bijvoorbeeld bij publieke webinars waarbij anonieme toegang nodig is voor burgerparticipatie, of bij crisissituaties waarbij snelle samenwerking met externe experts vereist is en strikte beveiligingsmaatregelen praktisch niet haalbaar zijn. Het kader moet vastleggen hoe dergelijke uitzonderingen worden aangevraagd, wie deze goedkeurt, hoe lang ze geldig zijn, en hoe ze worden gedocumenteerd voor auditdoeleinden. Daarnaast moet het kader processen bevatten voor het afhandelen van incidenten waarbij meeting-beveiliging mogelijk is gecompromitteerd, zoals meeting bombing, ongeautoriseerde opnames, of datalekken tijdens vergaderingen.

Technische Implementatie van Meeting-Beveiligingsmaatregelen

De technische implementatie van meeting-beveiliging in Microsoft Teams gebeurt via meeting-beleidsregels die worden geconfigureerd in het Teams Admin Center of via PowerShell. Meeting-beleidsregels bepalen welke beveiligingsopties beschikbaar zijn voor organisatoren en welke standaardinstellingen worden toegepast wanneer vergaderingen worden aangemaakt. Organisaties kunnen verschillende meeting-beleidsregels definiëren voor verschillende gebruikersgroepen, waardoor zij gedifferentieerde beveiligingsniveaus kunnen toepassen op basis van functie, afdeling of gevoeligheidsniveau. Standaard bevat Teams een globaal meeting-beleid dat op alle gebruikers van toepassing is, maar organisaties kunnen aangepaste beleidsregels maken die specifieke beveiligingsopties toepassen.

Lobby-configuratie is een van de belangrijkste beveiligingsopties voor Teams-vergaderingen. De lobby is een wachtruimte waarin deelnemers moeten wachten voordat zij toegang krijgen tot de vergadering. Organisaties kunnen configureren dat alle deelnemers, alleen externe deelnemers, of alleen anonieme deelnemers door de lobby moeten gaan. Voor Nederlandse overheidsorganisaties is het verstandig om te configureren dat externe en anonieme deelnemers altijd door de lobby moeten, zodat organisatoren kunnen controleren wie deelnemen voordat zij toegang krijgen. Bovendien kunnen organisatoren configureren dat deelnemers die via telefoon inbellen (PSTN) niet de lobby kunnen omzeilen, wat voorkomt dat onbevoegde personen via een telefoonnummer toegang krijgen zonder controle. De lobby-configuratie kan worden gecombineerd met automatische toelating op basis van authenticatiestatus, waarbij geauthenticeerde interne deelnemers automatisch worden toegelaten terwijl externe deelnemers in de lobby moeten wachten op goedkeuring.

Wachtwoordbeveiliging biedt een extra laag van beveiliging door te vereisen dat deelnemers een wachtwoord invoeren voordat zij toegang krijgen tot de vergadering. Organisaties kunnen configureren dat alle vergaderingen een wachtwoord vereisen, of dat alleen vergaderingen die worden gepland voor het publiek een wachtwoord vereisen. Wachtwoorden worden automatisch gegenereerd door Teams en worden toegevoegd aan de vergaderingsuitnodiging, maar kunnen ook handmatig worden aangepast door organisatoren. Voor gevoelige vergaderingen kunnen organisaties ervoor kiezen om wachtwoorden alleen via een beveiligd kanaal te delen, zoals een versleuteld e-mailbericht of een beveiligde messaging-app, in plaats van deze in de standaard uitnodiging op te nemen. Wachtwoordbeveiliging is met name belangrijk voor vergaderingen die worden gedeeld via publieke kanalen of waarbij de vergaderingslink breed wordt verspreid.

End-to-end encryptie biedt de hoogste mate van beveiliging voor Teams-vergaderingen door ervoor te zorgen dat vergaderingscontent alleen kan worden gedecodeerd door deelnemers die expliciet zijn uitgenodigd. Wanneer end-to-end encryptie is ingeschakeld, worden audio, video en scherm delen end-to-end versleuteld, wat betekent dat Microsoft zelf de vergaderingscontent niet kan decoderen. Dit is met name belangrijk voor zeer gevoelige vergaderingen waarbij staatsgevoelige of zeer vertrouwelijke informatie wordt besproken. End-to-end encryptie is beschikbaar voor vergaderingen met maximaal 50 deelnemers en vereist dat alle deelnemers de nieuwste versie van de Teams-client gebruiken. Organisaties moeten echter afwegen of de extra beveiliging opweegt tegen het verlies van bepaalde functionaliteiten, zoals opname, live transcriptie en sommige AI-verbeteringen die niet compatibel zijn met end-to-end encryptie.

Opnamebeleid is cruciaal voor het beschermen van vertrouwelijke informatie en het waarborgen van compliance. Teams biedt de mogelijkheid om vergaderingen op te nemen, maar organisaties kunnen via meeting-beleidsregels configureren of opname is toegestaan, wie opnames mag starten (alleen organisatoren, organisatoren en co-organisatoren, of alle deelnemers), en of opnames automatisch worden gedetecteerd en gemeld. Voor Nederlandse overheidsorganisaties is het verstandig om opname standaard uit te schakelen en alleen toe te staan wanneer dit expliciet is goedgekeurd, bijvoorbeeld voor trainingdoeleinden of wanneer wettelijk vereist voor documentatiedoeleinden. Bovendien moeten organisaties processen hebben voor het beheren en beveiligen van opnames, inclusief waar opnames worden opgeslagen (bijvoorbeeld in een beveiligde SharePoint-locatie met gevoeligheidslabels), wie toegang heeft tot opnames, en hoe lang opnames worden bewaard voordat ze worden verwijderd in overeenstemming met bewaartermijnen uit de Archiefwet of AVG.

Gebruik PowerShell-script secure-teams-meetings.ps1 (functie Invoke-Monitoring) – Het PowerShell-script controleert de configuratie van meeting-beleidsregels, inventariseert welke vergaderingen onvoldoende beveiligd zijn, en rapporteert over compliance-status voor auditdoeleinden..

Toegangscontrole en Presentatierechten

Toegangscontrole is essentieel voor het voorkomen van ongeautoriseerde deelname aan Teams-vergaderingen. Organisaties kunnen via meeting-beleidsregels configureren wie toegang heeft tot vergaderingen, wie presentatierechten heeft, en wie controle kan geven of vragen over scherm delen. Voor Nederlandse overheidsorganisaties is het belangrijk om te configureren dat alleen organisatoren en co-organisatoren standaard presentatierechten hebben, en dat deelnemers geen controle kunnen geven of vragen tenzij dit expliciet is toegestaan door de organisator. Dit voorkomt dat onbevoegde deelnemers tijdens vergaderingen ongewenste content delen of schermen overnemen, wat kan leiden tot verstoringen of datalekken.

Anonieme toegang tot vergaderingen vormt een aanzienlijk beveiligingsrisico omdat het onmogelijk is om te identificeren wie deelneemt en omdat anonieme deelnemers geen authenticatie hoeven te doorlopen. Organisaties kunnen via meeting-beleidsregels configureren of anonieme deelnemers toegang hebben tot vergaderingen, of dat alleen geauthenticeerde gebruikers kunnen deelnemen. Voor interne vergaderingen waarbij gevoelige informatie wordt besproken, is het verstandig om anonieme toegang volledig uit te schakelen. Voor publieke webinars of burgerparticipatie-vergaderingen kan anonieme toegang nodig zijn, maar dan moeten aanvullende beveiligingsmaatregelen worden toegepast, zoals lobby-configuratie waarbij alle anonieme deelnemers moeten wachten op goedkeuring, het uitschakelen van chat voor anonieme deelnemers, en het beperken van presentatierechten zodat anonieme deelnemers geen content kunnen delen.

Externe toegang via telefoon (PSTN) biedt flexibiliteit voor deelnemers die geen internetverbinding hebben, maar kan ook een beveiligingsrisico vormen wanneer onbevoegde personen via een telefoonnummer toegang krijgen. Organisaties kunnen via meeting-beleidsregels configureren of PSTN-toegang is toegestaan, of PSTN-deelnemers door de lobby moeten gaan, en of PSTN-deelnemers wachtwoorden moeten invoeren. Voor gevoelige vergaderingen is het verstandig om PSTN-toegang te beperken of te vereisen dat PSTN-deelnemers ook door de lobby gaan, zodat organisatoren kunnen controleren wie via telefoon deelnemen voordat zij toegang krijgen. Bovendien kunnen organisaties configureren dat PSTN-deelnemers geen controle kunnen geven of vragen, wat voorkomt dat zij tijdens vergaderingen storende acties uitvoeren.

Chat tijdens vergaderingen kan waardevolle informatie bevatten, zoals links naar documenten, notities of aanvullende discussies. Organisaties kunnen via meeting-beleidsregels configureren of chat is toegestaan tijdens vergaderingen, of chat beschikbaar is voor alle deelnemers of alleen voor organisatoren, en of anonieme deelnemers toegang hebben tot chat. Voor gevoelige vergaderingen is het verstandig om chat te beperken tot organisatoren en geauthenticeerde deelnemers, en anonieme deelnemers uit te sluiten van chat om te voorkomen dat gevoelige informatie via chat wordt gedeeld met onbevoegde partijen. Bovendien moeten organisaties zich bewust zijn van de bewaartermijnen voor vergaderingschat, die worden opgeslagen in SharePoint en onderhevig zijn aan dezelfde bewaartermijnen en gevoeligheidslabels als andere content.

Monitoring, Logging en Compliance

Continue monitoring van Teams-vergaderingen is essentieel om te detecteren wanneer beveiligingsincidenten optreden, wanneer ongeautoriseerde personen deelnemen aan vergaderingen, of wanneer gevoelige informatie wordt gedeeld zonder toestemming. Microsoft 365 biedt uitgebreide logging via de unified audit log, die alle activiteiten rondom vergaderingen vastlegt, inclusief wie vergaderingen heeft aangemaakt, wie heeft deelgenomen, wanneer deelnemers zijn toegetreden en verlaten, wie schermen heeft gedeeld, en of opnames zijn gestart of gestopt. Deze logboeken kunnen worden doorzocht via het Microsoft 365 compliance center of via PowerShell, en kunnen worden geëxporteerd naar een SIEM-oplossing zoals Microsoft Sentinel voor geavanceerde analyse en detectie van verdachte patronen.

Het monitoringproces moet regelmatig controleren of meeting-beleidsregels correct zijn toegewezen aan gebruikers, of vergaderingen voldoen aan beveiligingsvereisten op basis van hun gevoeligheidsniveau, of er ongebruikelijke activiteiten zijn die kunnen wijzen op meeting bombing of andere beveiligingsincidenten, en of opnames correct worden beheerd en beveiligd. Het PowerShell-script kan worden gebruikt om deze controles te automatiseren en om rapporten te genereren voor compliance-rapportage. Daarnaast moeten organisatoren regelmatig worden geïnformeerd over hun verantwoordelijkheden bij het configureren van meeting-beveiliging, zodat zij zich bewust zijn van de beschikbare opties en deze correct toepassen.

Voor compliance met de AVG is het belangrijk om te kunnen aantonen welke maatregelen zijn genomen om persoonsgegevens te beschermen tijdens vergaderingen waarin persoonsgegevens worden besproken. Meeting-beveiligingsbeleid moet daarom worden gedocumenteerd in het verwerkingsregister, waarbij wordt vastgelegd welke technische maatregelen zijn toegepast om vertrouwelijkheid te waarborgen, wie toegang heeft gehad tot vergaderingen waarin persoonsgegevens worden besproken, en hoe opnames worden beheerd en beveiligd. Wanneer externe partijen deelnemen aan vergaderingen waarin persoonsgegevens worden besproken, moet ook een verwerkersovereenkomst worden afgesloten die expliciet beschrijft hoe persoonsgegevens worden beschermd en hoe wordt voldaan aan AVG-vereisten. Auditlogboeken moeten worden bewaard voor de vereiste bewaartermijn, meestal minimaal zeven jaar voor overheidsorganisaties, en moeten beschikbaar zijn voor toezichthouders zoals de Autoriteit Persoonsgegevens wanneer deze daarom vragen.

Voor BIO-naleving zijn meeting-beveiligingsmaatregelen relevant voor verschillende normen, waaronder BIO 9.01 die eist dat toegangsrechten worden beheerd en dat onbevoegde toegang wordt voorkomen, BIO 13.02 die eist dat externe toegang wordt gecontroleerd en gelogd, en BIO 12.01 die eist dat informatie wordt geclassificeerd en dat passende beveiligingsmaatregelen worden toegepast op basis van de classificatie. Het meeting-beveiligingsbeleid moet daarom expliciet aansluiten bij de informatieclassificatie en moet ervoor zorgen dat alleen vergaderingen met de juiste beveiligingsniveau worden gebruikt voor verschillende typen informatie. Voor NIS2-vereisten moeten essentiële en belangrijke entiteiten kunnen aantonen dat zij passende maatregelen hebben genomen om beveiligingsrisico's te beheren, inclusief het beveiligen van communicatiekanalen en het monitoren van toegang tot systemen en netwerken. Meeting-beveiligingsmaatregelen vormen een concrete manier om deze vereisten in te vullen door granulaire controle te bieden over toegang tot vergaderingen en door uitgebreide logging en monitoring te bieden.

Gebruik PowerShell-script secure-teams-meetings.ps1 (functie Invoke-ComplianceReport) – Genereert een compliance-rapport met overzicht van meeting-beveiligingsconfiguratie, beleidstoewijzingen en compliance-status voor auditdoeleinden..

Compliance & Frameworks

• BIO: 9.01, 13.02, 12.01, 18.03 - Meeting-beveiligingsmaatregelen ondersteunen BIO-naleving door toegangsrechten te beheren, externe toegang te controleren en te loggen, passende beveiligingsmaatregelen toe te passen op basis van informatieclassificatie, en opname en loggen van activiteiten te beheren.
• ISO 27001:2022: A.9.2.2, A.9.2.3, A.13.2.1, A.12.4.1 - Meeting-beveiligingsmaatregelen ondersteunen ISO 27001-naleving door externe gebruikersrechten te beheren en te reviewen, door beleidsregels en procedures te hebben voor informatie-uitwisseling, door toegangsrechten regelmatig te beoordelen, en door event logging te implementeren.
• NIS2: Artikel - Meeting-beveiligingsmaatregelen ondersteunen NIS2-vereisten door passende maatregelen te bieden voor het beveiligen van communicatiekanalen, het beheren van toegang tot systemen en netwerken, en door uitgebreide logging en monitoring te bieden voor risicobeheer.

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Implementeer een compleet meeting-beveiligingskader voor Microsoft Teams-vergaderingen met een helder governancekader, gedifferentieerde beveiligingsniveaus op basis van gevoeligheid, meeting-beleidsregels met lobby-configuratie, wachtwoordbeveiliging en toegangscontrole, en uitgebreide monitoring en logging. Zorg voor compliance met AVG, BIO en NIS2 door uitgebreide documentatie en rapportage.

• Implementatietijd: 80 uur
• FTE required: 0.3 FTE