Geautomatiseerde Compliance Assessments In Microsoft 365: Continue Monitoring En Verantwoording

<# .SYNOPSIS Geautomatiseerde compliance assessments voor Microsoft 365 .DESCRIPTION Voert geautomatiseerde compliance assessments uit door technische configuraties in Microsoft 365 te verifiëren tegen vooraf vastgestelde criteria. Controleert onder andere of logging is ingeschakeld, DLP-policies aanwezig zijn, retention policies zijn geconfigureerd en sensitivity labels zijn gepubliceerd. Ondersteunt beheerders bij gerichte remediatie van ontbrekende componenten. .NOTES Filename: automated-assessments.ps1 Author: Nederlandse Baseline voor Veilige Cloud Created: 2025-01-15 Version: 1.0 Related JSON: content/m365/compliance/automated-assessments.json Category: compliance Workload: m365 .LINK https://github.com/m365-tenant-best-practise .EXAMPLE .\automated-assessments.ps1 -Monitoring -DebugMode Voert een lokale debug-run uit zonder verbinding te maken met Microsoft 365 en toont voorbeeldresultaten. .EXAMPLE .\automated-assessments.ps1 -Monitoring Controleert in de live tenant of kerncomponenten van compliance-assessments correct zijn geconfigureerd. .EXAMPLE .\automated-assessments.ps1 -Remediation -WhatIf Toont welke handmatige of gescripte stappen nodig zijn om ontbrekende componenten te herstellen, zonder daadwerkelijk wijzigingen door te voeren. #> #Requires -Version 5.1 #Requires -Modules Microsoft.Graph, ExchangeOnlineManagement [CmdletBinding()] param( [Parameter(HelpMessage = "Monitor huidige configuratie van compliance-assessments")] [switch]$Monitoring, [Parameter(HelpMessage = "Ondersteun gerichte remediatie van ontbrekende componenten")] [switch]$Remediation, [Parameter(HelpMessage = "Toon welke actie zou worden uitgevoerd zonder wijzigingen aan te brengen")] [switch]$WhatIf, [Parameter(HelpMessage = "Voer een lokale debug-run uit zonder verbinding met Microsoft 365")] [switch]$DebugMode, [Parameter(HelpMessage = "Gereserveerd voor toekomstig gebruik, geen automatische rollback")] [switch]$Revert ) $ErrorActionPreference = 'Stop' Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Geautomatiseerde compliance assessments (M365)" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "========================================`n" -ForegroundColor Cyan function Test-Compliance { <# .SYNOPSIS Bepaalt of de minimale bouwstenen van geautomatiseerde assessments aanwezig zijn. .DESCRIPTION Wrapper rond Invoke-Monitoring die uitsluitend de compliance-status retourneert. .OUTPUTS PSCustomObject met IsCompliant en detailinformatie. #> [CmdletBinding()] param() return Invoke-Monitoring } function Connect-RequiredServices { <# .SYNOPSIS Maakt verbinding met benodigde Microsoft services voor compliance assessments. .DESCRIPTION Verbindt met Microsoft Graph API en Microsoft Purview (Security & Compliance). #> [CmdletBinding()] param() Write-Host "Controleren van Microsoft Graph verbinding..." -ForegroundColor Gray try { $context = Get-MgContext -ErrorAction SilentlyContinue if (-not $context) { Write-Host "Verbinding maken met Microsoft Graph..." -ForegroundColor Yellow Connect-MgGraph -Scopes "AuditLog.Read.All", "Policy.Read.All", "Directory.Read.All" -ErrorAction Stop Write-Host "Verbonden met Microsoft Graph" -ForegroundColor Green } else { Write-Verbose "Reeds verbonden met Microsoft Graph" } } catch { Write-Warning "Kon niet verbinden met Microsoft Graph (sommige checks kunnen falen): $_" } Write-Host "Controleren van Microsoft Purview verbinding..." -ForegroundColor Gray try { $session = Get-PSSession | Where-Object { $_.ConfigurationName -eq "Microsoft.Exchange" -and $_.State -eq "Opened" } if (-not $session) { Write-Host "Verbinding maken met Microsoft Purview (Security & Compliance)..." -ForegroundColor Yellow Connect-IPPSSession -ErrorAction Stop | Out-Null Write-Host "Verbonden met Microsoft Purview" -ForegroundColor Green } else { Write-Verbose "Reeds verbonden met Microsoft Purview" } } catch { Write-Warning "Kon niet verbinden met Microsoft Purview (sommige checks kunnen falen): $_" } } function Invoke-Monitoring { <# .SYNOPSIS Controleert de aanwezigheid en configuratie van kerncomponenten voor geautomatiseerde compliance assessments. .DESCRIPTION Beoordeelt of logging is ingeschakeld, DLP-policies aanwezig zijn, retention policies zijn geconfigureerd, sensitivity labels zijn gepubliceerd en andere kritieke compliance-componenten correct zijn ingesteld. In DebugMode worden geen externe verbindingen gemaakt en wordt met voorbeelddata gewerkt. .OUTPUTS PSCustomObject met: - IsCompliant : Boolean - Timestamp : Datum/tijd van de meting - AuditLoggingEnabled : Boolean - HasDlpPolicies : Boolean - HasRetentionPolicies : Boolean - HasSensitivityLabels : Boolean - HasComplianceManager : Boolean - Findings : Lijst met geconstateerde issues of aandachtspunten #> [CmdletBinding()] param() $result = [PSCustomObject]@{ ScriptName = "automated-assessments.ps1" IsCompliant = $false Timestamp = Get-Date AuditLoggingEnabled = $false HasDlpPolicies = $false HasRetentionPolicies = $false HasSensitivityLabels = $false HasComplianceManager = $false Findings = @() } try { if ($DebugMode) { Write-Host "DebugMode ingeschakeld: er wordt geen verbinding gemaakt met Microsoft 365." -ForegroundColor Yellow Write-Host "Er worden voorbeeldwaarden gebruikt om de rapportage te testen.`n" -ForegroundColor Yellow # Voorbeeldscenario: meeste componenten aanwezig, maar compliance manager configuratie kan beter $result.AuditLoggingEnabled = $true $result.HasDlpPolicies = $true $result.HasRetentionPolicies = $true $result.HasSensitivityLabels = $true $result.HasComplianceManager = $false $result.Findings += "DebugMode: voorbeelddata – verifieer in productie of Compliance Manager assessments zijn geconfigureerd." } else { Connect-RequiredServices Write-Host "Controleren van audit logging..." -ForegroundColor Gray try { $auditConfig = Get-AdminAuditLogConfig -ErrorAction SilentlyContinue $result.AuditLoggingEnabled = ($auditConfig -ne $null -and ($auditConfig.UnifiedAuditLogIngestionEnabled -or $auditConfig.AdminAuditLogEnabled)) } catch { Write-Verbose "Kon audit logging configuratie niet ophalen: $_" } Write-Host "Controleren van DLP-policies..." -ForegroundColor Gray try { $dlpPolicies = Get-DlpCompliancePolicy -ErrorAction SilentlyContinue $result.HasDlpPolicies = ($dlpPolicies -ne $null -and $dlpPolicies.Count -gt 0) } catch { Write-Verbose "Kon DLP-policies niet ophalen: $_" } Write-Host "Controleren van retention policies..." -ForegroundColor Gray try { $retentionPolicies = Get-RetentionCompliancePolicy -ErrorAction SilentlyContinue $labelPolicies = Get-LabelPolicy -ErrorAction SilentlyContinue $result.HasRetentionPolicies = ( ($retentionPolicies -ne $null -and $retentionPolicies.Count -gt 0) -or ($labelPolicies -ne $null -and $labelPolicies.Count -gt 0) ) } catch { Write-Verbose "Kon retention policies niet ophalen: $_" } Write-Host "Controleren van sensitivity labels..." -ForegroundColor Gray try { $sensitivityLabels = Get-Label -ErrorAction SilentlyContinue $result.HasSensitivityLabels = ($sensitivityLabels -ne $null -and $sensitivityLabels.Count -gt 0) } catch { Write-Verbose "Kon sensitivity labels niet ophalen: $_" } Write-Host "Controleren van Compliance Manager configuratie..." -ForegroundColor Gray try { # Compliance Manager wordt beheerd via de webinterface, maar we kunnen controleren of # er compliance-gerelateerde configuraties zijn die wijzen op actief gebruik $alertPolicies = Get-ProtectionAlert -ErrorAction SilentlyContinue $result.HasComplianceManager = ($alertPolicies -ne $null -and $alertPolicies.Count -gt 0) } catch { Write-Verbose "Kon Compliance Manager indicatoren niet verifiëren: $_" } if (-not $result.AuditLoggingEnabled) { $result.Findings += "Audit logging is niet ingeschakeld. Schakel Unified Audit Log in om compliance-activiteiten te kunnen monitoren en verantwoorden." } if (-not $result.HasDlpPolicies) { $result.Findings += "Er zijn geen DLP-policies gevonden. Configureer DLP-regels om gevoelige data te beschermen en compliance-vereisten af te dwingen." } if (-not $result.HasRetentionPolicies) { $result.Findings += "Er zijn geen retention policies of label policies gevonden. Configureer retentiebeleid om bewaartermijnen af te dwingen en dataminimalisatie te ondersteunen." } if (-not $result.HasSensitivityLabels) { $result.Findings += "Er zijn geen sensitivity labels gevonden. Implementeer sensitivity labels om data te classificeren en automatische bescherming toe te passen." } if (-not $result.HasComplianceManager) { $result.Findings += "Compliance Manager assessments kunnen helpen om compliance-status gestructureerd te beheren. Overweeg het configureren van assessments in Microsoft Purview Compliance Manager." } } # Assessment is compliant als kerncomponenten aanwezig zijn $result.IsCompliant = $result.AuditLoggingEnabled -and $result.HasDlpPolicies -and $result.HasRetentionPolicies -and $result.HasSensitivityLabels Write-Host "`nResultaat geautomatiseerde compliance assessments:" -ForegroundColor Cyan Write-Host (" Audit logging ingeschakeld : {0}" -f $result.AuditLoggingEnabled) -ForegroundColor White Write-Host (" DLP-policies aanwezig : {0}" -f $result.HasDlpPolicies) -ForegroundColor White Write-Host (" Retention policies geconfigureerd: {0}" -f $result.HasRetentionPolicies) -ForegroundColor White Write-Host (" Sensitivity labels gepubliceerd : {0}" -f $result.HasSensitivityLabels) -ForegroundColor White Write-Host (" Compliance Manager indicatoren : {0}" -f $result.HasComplianceManager) -ForegroundColor White if ($result.IsCompliant) { Write-Host "`n[OK] Minimale kerncomponenten voor geautomatiseerde compliance assessments zijn aanwezig." -ForegroundColor Green } else { Write-Host "`n[FAIL] Een of meer kerncomponenten ontbreken of zijn niet correct geconfigureerd." -ForegroundColor Red if ($result.Findings.Count -gt 0) { Write-Host "Details:" -ForegroundColor Yellow foreach ($finding in $result.Findings) { Write-Host " - $finding" -ForegroundColor Yellow } } } return $result } catch { Write-Host "`n[FAIL] Fout tijdens monitoring: $_" -ForegroundColor Red throw } } function Invoke-Remediation { <# .SYNOPSIS Ondersteunt gerichte remediatie van ontbrekende compliance assessment componenten. .DESCRIPTION Voert zelf geen grootschalige wijzigingen door, maar geeft beheerders concrete aanwijzingen en voorbeeldcmdlets om ontbrekende logging, DLP-policies, retention policies en sensitivity labels in te richten. In DebugMode wordt uitsluitend de logica en messaging getest zonder verbinding met Microsoft 365. #> [CmdletBinding()] param() try { if ($DebugMode) { Write-Host "DebugMode: remediatiestappen worden alleen als voorbeeld getoond, er worden geen verbindingen gemaakt." -ForegroundColor Yellow } else { Connect-RequiredServices } Write-Host "`nRemediatie-advies voor geautomatiseerde compliance assessments:" -ForegroundColor Cyan Write-Host "`n1. Audit logging" -ForegroundColor White Write-Host " - Schakel Unified Audit Log in om alle compliance-gerelateerde activiteiten te loggen." -ForegroundColor Gray Write-Host " - Voorbeeld (PowerShell):" -ForegroundColor Gray Write-Host " Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled `$true" -ForegroundColor DarkGray Write-Host "`n2. DLP-policies" -ForegroundColor White Write-Host " - Configureer DLP-policies om gevoelige persoonsgegevens te beschermen en compliance-vereisten af te dwingen." -ForegroundColor Gray Write-Host " - Voorbeeld (PowerShell, vereenvoudigd):" -ForegroundColor Gray Write-Host " New-DlpCompliancePolicy -Name 'NBVC-DLP-Basis' -Mode TestWithoutNotifications" -ForegroundColor DarkGray Write-Host " New-DlpComplianceRule -Policy 'NBVC-DLP-Basis' -ContentContainsSensitiveInformation @{Name='Dutch Citizen Service Number'} -BlockAccess `$true" -ForegroundColor DarkGray Write-Host "`n3. Retention policies" -ForegroundColor White Write-Host " - Configureer retention policies of label policies om bewaartermijnen af te dwingen en dataminimalisatie te ondersteunen." -ForegroundColor Gray Write-Host " - Voorbeeld (PowerShell, vereenvoudigd):" -ForegroundColor Gray Write-Host " New-RetentionCompliancePolicy -Name 'NBVC-Retentie-Basis' -ExchangeLocation All -SharePointLocation All" -ForegroundColor DarkGray Write-Host "`n4. Sensitivity labels" -ForegroundColor White Write-Host " - Implementeer sensitivity labels om data te classificeren en automatische bescherming toe te passen." -ForegroundColor Gray Write-Host " - Voorbeeld (PowerShell, vereenvoudigd):" -ForegroundColor Gray Write-Host " New-Label -Name 'NBVC-Vertrouwelijk' -DisplayName 'Vertrouwelijk' -ToolTip 'Beperkte toegang'" -ForegroundColor DarkGray Write-Host "`n5. Compliance Manager assessments" -ForegroundColor White Write-Host " - Configureer assessments in Microsoft Purview Compliance Manager voor gestructureerd beheer van compliance-status." -ForegroundColor Gray Write-Host " - Ga naar Microsoft Purview Compliance Portal en maak assessments aan voor relevante normen (BIO, AVG, NIS2)." -ForegroundColor Gray Write-Host "`n6. Geautomatiseerde monitoring" -ForegroundColor White Write-Host " - Plan periodieke uitvoering van dit script (bijvoorbeeld wekelijks of maandelijks) om compliance-status te monitoren." -ForegroundColor Gray Write-Host " - Integreer resultaten in dashboards of GRC-tools voor continue zichtbaarheid." -ForegroundColor Gray if ($WhatIf) { Write-Host "`nWhatIf: bovenstaande voorbeelden tonen welke acties u zou kunnen uitvoeren. Er zijn geen wijzigingen toegepast." -ForegroundColor Yellow } else { Write-Host "`nLet op: pas bovenstaande voorbeeldcommando's alleen toe na interne afstemming, change-goedkeuring en testen in een acceptatieomgeving." -ForegroundColor Yellow Write-Host "Zorg ervoor dat alle wijzigingen worden gedocumenteerd in uw compliance-framework en compliance assessments." -ForegroundColor Yellow } } catch { Write-Host "`n[FAIL] Fout tijdens remediatie-ondersteuning: $_" -ForegroundColor Red throw } } function Invoke-Revert { <# .SYNOPSIS Plaatshouder voor toekomstig rollback-scenario. .DESCRIPTION Dit script voert geen automatische rollback uit voor compliance assessment configuraties. Rollback van logging, DLP-policies, retention policies en sensitivity labels vereist een zorgvuldige impactanalyse en wordt bij voorkeur handmatig of via change-scripts uitgevoerd. #> [CmdletBinding()] param() Write-Host "`nEr is geen automatische rollback-functionaliteit geïmplementeerd voor dit framework." -ForegroundColor Yellow Write-Host "Documenteer en beheer eventuele wijzigingen via uw reguliere change-managementproces." -ForegroundColor Yellow } try { if ($Revert) { Invoke-Revert } elseif ($Remediation) { Invoke-Remediation } elseif ($Monitoring) { $monitorResult = Invoke-Monitoring if ($monitorResult.IsCompliant) { exit 0 } else { exit 1 } } else { Write-Host "Beschikbare parameters:" -ForegroundColor Yellow Write-Host " -Monitoring : Controleer de aanwezigheid van kerncomponenten" -ForegroundColor Gray Write-Host " -Remediation : Toon remediatie-advies en voorbeeldcmdlets" -ForegroundColor Gray Write-Host " -DebugMode : Voer een veilige lokale test uit zonder cloudverbinding" -ForegroundColor Gray Write-Host " -WhatIf : Toon remediatievoorbeelden zonder uitvoer" -ForegroundColor Gray Write-Host " -Revert : Toon informatie over rollback (geen auto-rollback)" -ForegroundColor Gray Write-Host "`nVoorbeeld: .\automated-assessments.ps1 -Monitoring -DebugMode" -ForegroundColor Cyan } } catch { Write-Error "Scriptuitvoering is mislukt: $_" exit 2 } finally { Write-Host "`n========================================`n" -ForegroundColor Cyan } # Exitcodes: # 0 = Compliant # 1 = Niet compliant # 2 = Fout tijdens uitvoering