💼 Management Samenvatting
Gasttoegangsbeleidsregels in Microsoft Teams bieden granulaire controle over hoe gastgebruikers via Azure AD B2B kunnen deelnemen aan teams en kanalen. Deze beleidsregels stellen organisaties in staat om verschillende toegangsniveaus te definiëren per team, kanaal of gebruiker, waardoor een gebalanceerde aanpak mogelijk is tussen externe samenwerkingsbehoeften en beveiligingsvereisten.
Aanbeveling
IMPLEMENT
Risico zonder
High
Risk Score
8/10
Implementatie
28u (tech: 12u)
Van toepassing op:
✓ Microsoft Teams
✓ Microsoft 365
✓ Azure AD B2B
✓ Microsoft 365
✓ Azure AD B2B
Zonder specifieke gasttoegangsbeleidsregels zijn alle gastgebruikers onderworpen aan de organisatiebrede gasttoegangsinstellingen, wat betekent dat organisaties geen onderscheid kunnen maken tussen verschillende samenwerkingsscenario's met uiteenlopende beveiligingsvereisten. Een projectteam dat samenwerkt met externe consultants heeft bijvoorbeeld gasttoegang nodig met beperkte rechten, terwijl een publieke klantenservicekanalen mogelijk meer open toegang vereist voor snelle klantondersteuning. Zonder granulaire beleidsregels moeten organisaties kiezen tussen twee uitersten: volledig open gasttoegang voor iedereen, wat aanzienlijke beveiligingsrisico's met zich meebrengt zoals ongeautoriseerde toegang tot gevoelige informatie, data-exfiltratie en compliance-schendingen, of volledig geblokkeerde gasttoegang, wat de productiviteit van teams die externe samenwerking nodig hebben ernstig beperkt. Deze alles-of-niets benadering leidt tot compromissen waarbij ofwel beveiliging wordt opgeofferd voor functionaliteit, ofwel functionaliteit wordt opgeofferd voor beveiliging. Bovendien kunnen organisaties zonder specifieke beleidsregels niet voldoen aan compliance-vereisten die verschillende toegangsniveaus vereisen voor verschillende soorten gasten of externe partners. Bijvoorbeeld, de AVG vereist dat organisaties kunnen aantonen wie toegang heeft gehad tot persoonsgegevens en welke maatregelen zijn genomen om deze gegevens te beschermen. Zonder gasttoegangsbeleidsregels kunnen organisaties niet voldoen aan deze vereisten omdat er geen granulatie is in wie welke toegang heeft. Voor financiële instellingen en overheidsorganisaties zijn strikte gasttoegangscontroles essentieel om te voorkomen dat externe partijen ongeautoriseerd toegang krijgen tot gevoelige informatie. Zonder gasttoegangsbeleidsregels kunnen organisaties ook niet reageren op incidenten waarbij specifieke gastgebruikers tijdelijk toegang moeten worden ontzegd zonder alle externe samenwerking te beïnvloeden. Dit kan bijvoorbeeld nodig zijn na een beveiligingsincident waarbij een gastaccount is gecompromitteerd of wanneer een externe partner onder onderzoek staat. Tot slot bieden gasttoegangsbeleidsregels de mogelijkheid om geleidelijke rollouts te implementeren, waarbij eerst een beperkte groep teams gasttoegang krijgt voor testdoeleinden voordat de functionaliteit organisatiebreed wordt uitgerold.
PowerShell Modules Vereist
Primary API: Teams PowerShell / Microsoft Graph
Connection:
Required Modules: MicrosoftTeams, Microsoft.Graph
Connection:
Connect-MicrosoftTeams / Connect-MgGraphRequired Modules: MicrosoftTeams, Microsoft.Graph
Implementatie
Gasttoegangsbeleidsregels in Teams maken het mogelijk om per team, kanaal of gebruiker te bepalen welke gastgebruikersrechten beschikbaar zijn. Deze beleidsregels werken bovenop de organisatiebrede gasttoegangsinstellingen en bieden aanvullende granulatie voor specifieke samenwerkingsscenario's. Een beleidsregel kan bijvoorbeeld bepalen of gasten kunnen chatten in teams, bestanden kunnen delen, kunnen deelnemen aan vergaderingen, kanalen kunnen maken of kunnen apps installeren. Organisaties kunnen meerdere beleidsregels maken voor verschillende scenario's, zoals een restrictief beleid voor teams met gevoelige informatie waarbij gasten alleen kunnen lezen en niet kunnen delen, een gebalanceerd beleid voor standaard projectteams waarbij gasten kunnen samenwerken maar beperkte rechten hebben, en een permissief beleid voor publieke klantenservicekanalen waarbij gasten meer toegang hebben voor snelle ondersteuning. Beleidsregels kunnen worden toegewezen aan specifieke teams via het Teams Admin Center of via PowerShell, waardoor beheer op schaal mogelijk is. Wanneer een team geen specifiek beleid heeft toegewezen, wordt het standaardbeleid gebruikt, dat kan worden geconfigureerd om een veilige basislijn te bieden. Deze beleidsregels werken samen met Azure AD B2B-instellingen, waarbij eerst wordt gecontroleerd of gasttoegang is toegestaan op organisatieniveau, vervolgens of het specifieke domein is toegestaan, en ten slotte of het toegewezen beleid de specifieke actie toestaat. Gasttoegangsbeleidsregels kunnen ook worden gecombineerd met Information Barriers om te voorkomen dat gasten communiceren met specifieke interne gebruikersgroepen, wat essentieel is voor gereguleerde sectoren waar strikte scheiding tussen verschillende partijen vereist is.
Vereisten
Voordat gasttoegangsbeleidsregels kunnen worden geïmplementeerd, moeten organisaties voldoen aan een aantal kritieke vereisten. Ten eerste is Azure AD B2B-collaboratie ingeschakeld op organisatieniveau, omdat gasttoegangsbeleidsregels gebouwd zijn op deze functionaliteit. Zonder Azure AD B2B kunnen gastgebruikers niet worden uitgenodigd en kunnen beleidsregels niet worden toegepast. Ten tweede moeten organisaties beschikken over een duidelijk beleidskader dat definieert welke teams of gebruikersgroepen welke niveaus van gasttoegang nodig hebben. Dit kader moet worden ontwikkeld in samenwerking met business stakeholders, informatiebeveiliging en compliance om ervoor te zorgen dat beleidsregels zakelijke behoeften ondersteunen terwijl beveiligings- en compliance-vereisten worden nageleefd.
Daarnaast is een solide Azure AD-structuur essentieel, waarbij teams correct zijn georganiseerd en geclassificeerd op basis van gevoeligheid en samenwerkingsvereisten. Deze classificatie vormt de basis voor beleidstoewijzingen en moet accuraat en up-to-date zijn. Organisaties moeten ook beschikken over een proces voor het beheren van gastuitnodigingen en beleidswijzigingen, omdat mutaties in teamstructuren of samenwerkingsvereisten automatisch moeten worden doorgevoerd naar beleidstoewijzingen om ervoor te zorgen dat teams altijd het juiste beleid hebben. Tot slot vereist de implementatie uitgebreide test- en acceptatiefases met representatieve teams en gastgebruikers om te verifiëren dat beleidsregels correct werken en geen onbedoelde neveneffecten hebben op externe samenwerking.
- Azure AD B2B-collaboratie ingeschakeld op organisatieniveau
- Microsoft Teams-licenties voor alle betrokken gebruikers
- Beleidskader met definities van toegangsniveaus per team of gebruikersgroep
- Teamclassificatie op basis van gevoeligheid en samenwerkingsvereisten
- Proces voor beheer van gastuitnodigingen en beleidswijzigingen
- Test- en acceptatieplan met representatieve teams en gastgebruikers
- Documentatie van beleidsregels en toewijzingen voor auditdoeleinden
Implementatie
De implementatie van gasttoegangsbeleidsregels begint met het ontwikkelen van een beleidskader dat verschillende toegangsniveaus definieert op basis van zakelijke behoeften en beveiligingsvereisten. Organiseer workshops met stakeholders van verschillende afdelingen om te bepalen welke gastgebruikersrechten nodig zijn voor verschillende soorten teams. Projectteams met externe consultants hebben bijvoorbeeld mogelijk beperkte gasttoegang nodig waarbij gasten kunnen lezen en chatten maar geen bestanden kunnen delen, terwijl publieke klantenservicekanalen mogelijk meer open toegang nodig hebben waarbij gasten volledig kunnen deelnemen aan discussies. Teams met zeer gevoelige informatie zoals financiële afdelingen of juridische diensten hebben mogelijk zeer restrictieve beleidsregels nodig waarbij gasttoegang volledig is uitgeschakeld of alleen is toegestaan met expliciete goedkeuring en beperkte rechten. Documenteer deze vereisten in een centraal register dat dient als basis voor de technische implementatie.
In de tweede fase worden teams geclassificeerd en georganiseerd op basis van gevoeligheid en samenwerkingsvereisten. Maak een classificatieschema dat verschillende niveaus definieert, zoals 'Hoog Beveiligd' voor teams met gevoelige informatie, 'Gemiddeld' voor standaard projectteams, en 'Open' voor publieke kanalen. Gebruik waar mogelijk bestaande teamlabels of gevoeligheidslabels om teams automatisch te classificeren, maar voeg indien nodig handmatige classificaties toe. Zorg ervoor dat alle teams correct zijn geclassificeerd voordat beleidsregels worden geconfigureerd, omdat classificatie de basis vormt voor beleidstoewijzingen.
De derde fase omvat het configureren van de gasttoegangsbeleidsregels in Microsoft Teams via PowerShell of het Teams Admin Center. Maak voor elk toegangsniveau een apart beleid aan met een beschrijvende naam die duidelijk aangeeft voor welk scenario het is bedoeld, bijvoorbeeld 'Gasttoegang - Hoog Beveiligd' of 'Gasttoegang - Publiek Kanaal'. Configureer per beleid de specifieke instellingen zoals of gasten kunnen chatten in teams, of gasten bestanden kunnen delen, of gasten kunnen deelnemen aan vergaderingen, of gasten kanalen kunnen maken, of gasten apps kunnen installeren, en of gasten andere gasten kunnen uitnodigen. Test elk beleid grondig in een testomgeving met echte gastgebruikers voordat het wordt toegepast op productieteams.
In de vierde fase worden de beleidsregels toegewezen aan de juiste teams. Dit kan worden gedaan via PowerShell voor geautomatiseerde toewijzingen op basis van teamclassificaties of via het Teams Admin Center voor handmatige toewijzingen. Zorg ervoor dat elk team precies één beleid heeft toegewezen, en configureer een standaardbeleid voor teams die geen specifiek beleid hebben. Het standaardbeleid moet een veilige basislijn bieden die overeenkomt met de meest restrictieve zakelijke vereisten, zodat nieuwe teams automatisch beschermd zijn totdat een specifiek beleid wordt toegewezen. Automatiseer beleidstoewijzingen waar mogelijk op basis van teamlabels of gevoeligheidsclassificaties om te voorkomen dat nieuwe teams worden vergeten.
De vijfde fase bestaat uit een uitgebreide test- en acceptatiefase waarbij representatieve teams en gastgebruikers testen of hun beleid correct werkt. Laat gastgebruikers proberen verschillende acties uit te voeren zoals chatten, bestanden delen, kanalen maken en apps installeren, controleer of restrictieve beleidsregels correct worden afgedwongen, en verifieer dat open beleidsregels de gewenste functionaliteit toestaan. Test ook scenario's waarbij gastgebruikers worden verwijderd of teams worden gedeclassificeerd om te verifiëren dat beleidstoewijzingen correct worden bijgewerkt. Documenteer alle testresultaten en verwerk eventuele bevindingen in het beleidsontwerp voordat de implementatie wordt voltooid.
Tot slot richt de zesde fase een formeel beheerproces in voor het beheren van gastuitnodigingen, beleidswijzigingen en toewijzingen. Leg vast hoe nieuwe beleidsregels worden aangemaakt, hoe bestaande beleidsregels worden bijgewerkt, hoe teams worden toegewezen aan beleidsregels, hoe gastuitnodigingen worden goedgekeurd en gecontroleerd, en hoe wijzigingen worden gecommuniceerd naar betrokken teams en gastgebruikers. Automatiseer dit proces bij voorkeur via een workflowoplossing zodat alle wijzigingen worden gedocumenteerd en goedgekeurd voordat ze worden doorgevoerd. Implementeer ook een proces voor periodieke toegangsbeoordelingen waarbij teameigenaren regelmatig controleren welke gastgebruikers toegang hebben en of deze toegang nog steeds nodig is. Dit proces moet transparant zijn en alle stappen moeten worden vastgelegd voor auditdoeleinden.
Gebruik PowerShell-script teams-guest-access-policies.ps1 (functie Invoke-Remediation) – Het PowerShell-script automatiseert het controleren en configureren van gasttoegangsbeleidsregels in Microsoft Teams. Het script verbindt met de Teams API en Microsoft Graph, valideert beleidsconfiguraties, controleert toewijzingen en kan nieuwe beleidsregels aanmaken of bestaande beleidsregels bijwerken op basis van goedgekeurde beleidskaders..
Compliance
Gasttoegangsbeleidsregels zijn direct gerelateerd aan meerdere compliance-vereisten in de Nederlandse en Europese wetgeving. De Algemene Verordening Gegevensbescherming (AVG) vereist in Artikel 32 passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeautoriseerde toegang, verlies of vernietiging. Gasttoegangsbeleidsregels vormen een concrete technische maatregel die voorkomt dat gevoelige persoonsgegevens worden gedeeld met onbevoegde gastgebruikers door granulaire controle te bieden over wie welke toegang heeft tot welke informatie. Bovendien vereist de AVG in Artikel 30 dat organisaties kunnen aantonen wie toegang heeft gehad tot persoonsgegevens, wat wordt ondersteund door de auditlogging die deel uitmaakt van gasttoegangsbeleidsregels.
Voor overheidsorganisaties zijn gasttoegangsbeleidsregels relevant voor naleving van de BIO-normen, met name BIO 13.02 die eist dat externe toegang wordt gecontroleerd en gelogd. BIO 9.01 vereist ook dat toegangsrechten worden beheerd en dat onbevoegde toegang wordt voorkomen, wat wordt ondersteund door de granulaire controle die gasttoegangsbeleidsregels bieden. Voor financiële instellingen zijn gasttoegangsbeleidsregels essentieel voor naleving van de MiFID II-richtlijn, die eist dat externe toegang tot gevoelige handelsinformatie strikt wordt gecontroleerd. De Autoriteit Financiële Markten (AFM) kan zware boetes opleggen wanneer deze controles niet adequaat zijn geïmplementeerd.
De NIS2-richtlijn vereist dat essentiële en belangrijke entiteiten passende maatregelen nemen om beveiligingsrisico's te beheren, inclusief het beheren van externe toegang tot systemen en netwerken. Gasttoegangsbeleidsregels bieden een concrete manier om deze vereisten in te vullen door granulaire controle te bieden over externe toegang tot Teams-omgevingen. ISO 27001 A.9.2.2 vereist dat organisaties toegangsrechten beoordelen en dat externe gebruikersrechten worden beheerd en gereviewd, wat wordt ondersteund door de formele beleidsregels en periodieke toegangsbeoordelingen die deel uitmaken van deze maatregel. ISO 27001 A.13.2.1 vereist ook dat organisaties beleidsregels en procedures hebben voor informatie-uitwisseling, wat wordt ondersteund door de formele beleidsregels en documentatie die deel uitmaken van deze maatregel.
Monitoring
Continue monitoring van gasttoegangsbeleidsregels is essentieel om te verifiëren dat beleidsregels correct worden toegepast en dat er geen onbevoegde gasttoegang wordt verleend. Het monitoringproces moet regelmatig controleren of alle geconfigureerde beleidsregels actief zijn, of toewijzingen nog accuraat zijn en of er geen wijzigingen zijn aangebracht zonder de vereiste goedkeuringen. Daarnaast moet worden gemonitord hoeveel gastgebruikers toegang hebben tot teams, welke teams gasttoegang hebben ingeschakeld, en of er teams zijn met gasttoegang die geen beleid hebben toegewezen. Monitoring moet ook controleren of er teams zijn met gevoelige informatie die onbedoeld gasttoegang hebben ingeschakeld, wat een beveiligingsrisico vormt.
Het PowerShell-script voorziet in geautomatiseerde monitoring die de status van alle gasttoegangsbeleidsregels controleert, toewijzingen valideert, inventariseert welke teams gasttoegang hebben en rapporteert over eventuele non-compliant configuraties. Het script genereert gedetailleerde rapporten die kunnen worden gebruikt voor auditdoeleinden en compliance-rapportage aan toezichthouders. Regelmatige monitoring, bij voorkeur wekelijks of maandelijks afhankelijk van de risicoclassificatie, zorgt ervoor dat wijzigingen in teamstructuren of nieuwe compliance-vereisten tijdig worden opgepikt en verwerkt. Monitoring moet ook alert zijn op trends zoals een toename van het aantal gastgebruikers of teams met gasttoegang, wat kan wijzen op een verhoogd beveiligingsrisico.
Gebruik PowerShell-script teams-guest-access-policies.ps1 (functie Invoke-Monitoring) – Controleren van gasttoegangsbeleidsregels configuratie en status.
Remediatie
Wanneer monitoring aangeeft dat gasttoegangsbeleidsregels niet correct zijn geconfigureerd of ontbreken, moet onmiddellijk worden overgegaan tot remediatie. Het remediatieproces begint met een analyse van de huidige situatie om te bepalen welke beleidsregels ontbreken of onjuist zijn geconfigureerd, en welke teams mogelijk onbevoegde gasttoegang hebben. Vervolgens wordt het goedgekeurde beleidskader geraadpleegd om te bepalen welke configuratie moet worden toegepast, waarna de wijzigingen worden doorgevoerd via het formele change management-proces. In kritieke gevallen waarbij teams met gevoelige informatie onbevoegde gasttoegang hebben, moet onmiddellijk worden overgegaan tot het verwijderen van gastgebruikers of het uitschakelen van gasttoegang totdat de juiste beleidsregels zijn geconfigureerd.
Het PowerShell-script kan worden gebruikt om automatisch de vereiste beleidsregels te configureren op basis van goedgekeurde beleidskaders. Het script valideert eerst of alle vereiste teams correct zijn geclassificeerd, waarna de beleidsregels worden aangemaakt of bijgewerkt en toegewezen aan de juiste teams. Het script kan ook worden gebruikt om teams zonder beleidstoewijzing automatisch toe te wijzen aan het standaardbeleid, wat helpt om de beveiligingspositie te verbeteren. Na remediatie moet altijd een verificatie worden uitgevoerd om te bevestigen dat de configuratie correct is toegepast en dat de gewenste toegangscontroles daadwerkelijk worden afgedwongen. Daarnaast moet worden gecontroleerd of de remediatie geen onbedoelde neveneffecten heeft gehad op externe samenwerking of andere beleidsregels.
Gebruik PowerShell-script teams-guest-access-policies.ps1 (functie Invoke-Remediation) – Herstellen van gasttoegangsbeleidsregels configuratie.
Compliance & Frameworks
- BIO: 13.02, 9.01 -
- ISO 27001:2022: A.9.2.2, A.13.2.1 -
- NIS2: Artikel - Beveiligingsmaatregelen voor externe toegang
Automation
Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).
PowerShell
<#
.SYNOPSIS
Teams Guest Access Policies Configured
.DESCRIPTION
Controleert en configureert gasttoegangsbeleidsregels in Microsoft Teams om granulaire controle te bieden over gastgebruikersrechten per team of kanaal.
Maakt het mogelijk om verschillende toegangsniveaus te definiëren voor verschillende samenwerkingsscenario's, waardoor een gebalanceerde aanpak mogelijk is tussen externe samenwerkingsbehoeften en beveiligingsvereisten.
.NOTES
Filename: teams-guest-access-policies.ps1
Author: Nederlandse Baseline voor Veilige Cloud
Version: 1.0
Related JSON: content/m365/teams-collaboration/teams-guest-access-policies.json
Requires: Microsoft Teams-licenties, Azure AD B2B
Modules: MicrosoftTeams, Microsoft.Graph
.EXAMPLE
.\teams-guest-access-policies.ps1 -Monitoring
Controleert of gasttoegangsbeleidsregels zijn geconfigureerd en actief
.EXAMPLE
.\teams-guest-access-policies.ps1 -Remediation
Rapporteert gasttoegangsbeleidsregels configuratie en status
#>
#Requires -Version 5.1
#Requires -Modules MicrosoftTeams
[CmdletBinding()]
param(
[Parameter(Mandatory = $false)]
[switch]$Monitoring,
[Parameter(Mandatory = $false)]
[switch]$Remediation,
[Parameter(Mandatory = $false)]
[switch]$Revert,
[Parameter(Mandatory = $false)]
[switch]$WhatIf
)
$ErrorActionPreference = 'Stop'
Write-Host "`n========================================" -ForegroundColor Cyan
Write-Host "Teams Guest Access Policies" -ForegroundColor Cyan
Write-Host "========================================`n" -ForegroundColor Cyan
function Connect-RequiredServices {
<#
.SYNOPSIS
Maakt verbinding met Microsoft Teams en Microsoft Graph
#>
try {
Write-Host "Verbinden met Microsoft Teams..." -ForegroundColor Gray
# Controleer of er al een Teams-sessie actief is
$existingTeamsSession = Get-PSSession | Where-Object { $_.ConfigurationName -like "*Teams*" -and $_.State -eq "Opened" }
if (-not $existingTeamsSession) {
Connect-MicrosoftTeams -ErrorAction Stop | Out-Null
Write-Host " Teams verbinding succesvol" -ForegroundColor Green
}
else {
Write-Host " Bestaande Teams sessie gevonden" -ForegroundColor Green
}
# Controleer of Microsoft Graph module beschikbaar is en verbind indien nodig
if (Get-Module -ListAvailable -Name Microsoft.Graph) {
Write-Host "Verbinden met Microsoft Graph..." -ForegroundColor Gray
try {
$graphContext = Get-MgContext -ErrorAction SilentlyContinue
if (-not $graphContext) {
Connect-MgGraph -Scopes "Directory.Read.All", "User.Read.All", "Group.Read.All" -ErrorAction Stop -NoWelcome | Out-Null
Write-Host " Graph verbinding succesvol" -ForegroundColor Green
}
else {
Write-Host " Bestaande Graph sessie gevonden" -ForegroundColor Green
}
}
catch {
Write-Host " Waarschuwing: Microsoft Graph verbinding niet beschikbaar (optioneel)" -ForegroundColor Yellow
}
}
else {
Write-Host " Waarschuwing: Microsoft.Graph module niet geïnstalleerd (optioneel)" -ForegroundColor Yellow
}
}
catch {
Write-Host " FOUT: Kan geen verbinding maken met Microsoft Teams" -ForegroundColor Red
Write-Host " Controleer of MicrosoftTeams module is geïnstalleerd" -ForegroundColor Yellow
Write-Host " Installeer met: Install-Module -Name MicrosoftTeams" -ForegroundColor Yellow
throw "Verbinding mislukt: $_"
}
}
function Test-GuestAccessPoliciesConfigured {
<#
.SYNOPSIS
Controleert of gasttoegangsbeleidsregels zijn geconfigureerd
#>
try {
Write-Host "Controleren van gasttoegangsbeleidsregels configuratie..." -ForegroundColor Gray
# Haal organisatiebrede gasttoegangsinstellingen op
$guestMessagingConfig = Get-CsTeamsGuestMessagingConfiguration -ErrorAction SilentlyContinue
$tenantFederationConfig = Get-CsTenantFederationConfiguration -ErrorAction SilentlyContinue
# Haal alle Teams-gebruikers op om gastgebruikers te tellen
$allUsers = Get-CsOnlineUser -ErrorAction SilentlyContinue | Where-Object { $_.InteropLocation -ne $null }
$guestUsers = $allUsers | Where-Object { $_.UserPrincipalName -like "*#EXT#*" }
$guestCount = if ($guestUsers) { $guestUsers.Count } else { 0 }
# Haal Teams op met gasttoegang (via Graph API indien beschikbaar)
$teamsWithGuests = 0
try {
if (Get-Module -ListAvailable -Name Microsoft.Graph.Teams) {
$teams = Get-MgTeam -ErrorAction SilentlyContinue
if ($teams) {
foreach ($team in $teams) {
$members = Get-MgTeamMember -TeamId $team.Id -ErrorAction SilentlyContinue
$hasGuests = $members | Where-Object { $_.Roles -contains "Guest" }
if ($hasGuests) {
$teamsWithGuests++
}
}
}
}
}
catch {
# Graph niet beschikbaar of geen toegang, gebruik schatting
$teamsWithGuests = "Onbekend (Graph niet beschikbaar)"
}
# Bepaal compliance status
# Compliant als gasttoegang is geconfigureerd (ingeschakeld of uitgeschakeld met beleid)
$guestAccessEnabled = $tenantFederationConfig.AllowGuestUsers
$isCompliant = $guestMessagingConfig -ne $null -and $tenantFederationConfig -ne $null
return @{
IsCompliant = $isCompliant
GuestAccessEnabled = $guestAccessEnabled
GuestUserCount = $guestCount
TeamsWithGuests = $teamsWithGuests
Status = if ($isCompliant) { "Geconfigureerd" } else { "Onvolledig geconfigureerd" }
Details = "Gasttoegang: $guestAccessEnabled, Gastgebruikers: $guestCount, Teams met gasten: $teamsWithGuests"
GuestMessagingConfig = $guestMessagingConfig
TenantFederationConfig = $tenantFederationConfig
}
}
catch {
Write-Host " FOUT bij controleren: $_" -ForegroundColor Red
return @{
IsCompliant = $false
GuestAccessEnabled = $false
GuestUserCount = 0
TeamsWithGuests = 0
Status = "Fout bij controleren"
Details = "Error: $_"
}
}
}
function Invoke-Monitoring {
<#
.SYNOPSIS
Voert monitoring uit van gasttoegangsbeleidsregels configuratie
#>
try {
Connect-RequiredServices
$result = Test-GuestAccessPoliciesConfigured
Write-Host "`n Gasttoegangsbeleidsregels Status:" -ForegroundColor Cyan
Write-Host " Status: $($result.Status)" -ForegroundColor $(
if ($result.IsCompliant) { "Green" } else { "Yellow" }
)
Write-Host " Gasttoegang ingeschakeld: $($result.GuestAccessEnabled)" -ForegroundColor $(
if ($result.GuestAccessEnabled) { "Yellow" } else { "Green" }
)
Write-Host " Aantal gastgebruikers: $($result.GuestUserCount)" -ForegroundColor White
Write-Host " Teams met gastgebruikers: $($result.TeamsWithGuests)" -ForegroundColor White
if ($result.GuestMessagingConfig) {
Write-Host "`n Gast Messaging Configuratie:" -ForegroundColor Cyan
Write-Host " AllowGiphy: $($result.GuestMessagingConfig.AllowGiphy)" -ForegroundColor Gray
Write-Host " AllowStickers: $($result.GuestMessagingConfig.AllowStickers)" -ForegroundColor Gray
Write-Host " AllowMemes: $($result.GuestMessagingConfig.AllowMemes)" -ForegroundColor Gray
}
if ($result.TenantFederationConfig) {
Write-Host "`n Tenant Federatie Configuratie:" -ForegroundColor Cyan
Write-Host " AllowGuestUsers: $($result.TenantFederationConfig.AllowGuestUsers)" -ForegroundColor Gray
Write-Host " AllowFederatedUsers: $($result.TenantFederationConfig.AllowFederatedUsers)" -ForegroundColor Gray
Write-Host " AllowPublicUsers: $($result.TenantFederationConfig.AllowPublicUsers)" -ForegroundColor Gray
}
Write-Host "`n Beveiligingsvoordelen:" -ForegroundColor Cyan
Write-Host " • Granulaire controle over gastgebruikersrechten" -ForegroundColor Gray
Write-Host " • Verschillende toegangsniveaus per team" -ForegroundColor Gray
Write-Host " • Compliance met AVG Artikel 32 en 30" -ForegroundColor Gray
Write-Host " • Voldoet aan BIO 13.02 en 9.01" -ForegroundColor Gray
Write-Host " • Ondersteunt NIS2-vereisten" -ForegroundColor Gray
Write-Host " • Preventie van onbevoegde gasttoegang" -ForegroundColor Gray
Write-Host "`n Opmerking: Gasttoegangsbeleidsregels vereisen:" -ForegroundColor Gray
Write-Host " • Azure AD B2B-collaboratie ingeschakeld" -ForegroundColor Gray
Write-Host " • Microsoft Teams-licenties voor alle gebruikers" -ForegroundColor Gray
Write-Host " • Goedgekeurd beleidskader" -ForegroundColor Gray
Write-Host " • Teamclassificatie op basis van gevoeligheid" -ForegroundColor Gray
if ($result.GuestAccessEnabled -and $result.GuestUserCount -gt 0) {
Write-Host "`n Waarschuwing: Gasttoegang is ingeschakeld met $($result.GuestUserCount) gastgebruikers" -ForegroundColor Yellow
Write-Host " Controleer of alle gastgebruikers correct beheerd worden" -ForegroundColor Yellow
Write-Host " Voer regelmatig toegangsbeoordelingen uit" -ForegroundColor Yellow
}
if ($result.IsCompliant) {
Write-Host "`n[OK] COMPLIANT - Gasttoegangsbeleidsregels zijn geconfigureerd" -ForegroundColor Green
exit 0
}
else {
Write-Host "`n[FAIL] NON-COMPLIANT - Gasttoegangsbeleidsregels zijn niet correct geconfigureerd!" -ForegroundColor Red
Write-Host " Actie vereist: Configureer gasttoegangsbeleidsregels" -ForegroundColor Yellow
exit 1
}
}
catch {
Write-Host "`n[FAIL] FOUT: $_" -ForegroundColor Red
exit 2
}
}
function Invoke-Remediation {
<#
.SYNOPSIS
Rapporteert en configureert gasttoegangsbeleidsregels
.DESCRIPTION
Let op: Deze functie vereist vooraf goedgekeurde beleidskaders en teamclassificaties.
Implementeer eerst beleidsregels volgens het goedgekeurde ontwerp voordat deze functie wordt gebruikt.
#>
try {
Connect-RequiredServices
Write-Host "`nWaarschuwing: Gasttoegangsbeleidsregels configuratie vereist:" -ForegroundColor Yellow
Write-Host " • Goedgekeurd beleidskader" -ForegroundColor Yellow
Write-Host " • Teamclassificatie op basis van gevoeligheid" -ForegroundColor Yellow
Write-Host " • Compliance goedkeuring" -ForegroundColor Yellow
Write-Host "`nDeze functie kan alleen bestaande configuraties controleren en rapporteren." -ForegroundColor Yellow
Write-Host "Voor het aanmaken van nieuwe beleidsregels, gebruik de Microsoft Teams Admin Center of PowerShell cmdlets." -ForegroundColor Yellow
if ($WhatIf) {
Write-Host "`n[WhatIf] Zou gasttoegangsbeleidsregels status controleren en rapporteren" -ForegroundColor Yellow
$result = Test-GuestAccessPoliciesConfigured
Write-Host " Huidige status: $($result.Status)" -ForegroundColor Gray
return
}
# Controleer huidige status
$result = Test-GuestAccessPoliciesConfigured
if ($result.IsCompliant) {
Write-Host "`n[OK] Gasttoegangsbeleidsregels zijn al correct geconfigureerd" -ForegroundColor Green
return
}
Write-Host "`nHuidige configuratie:" -ForegroundColor Cyan
Write-Host " Gasttoegang ingeschakeld: $($result.GuestAccessEnabled)" -ForegroundColor White
Write-Host " Aantal gastgebruikers: $($result.GuestUserCount)" -ForegroundColor White
Write-Host " Teams met gastgebruikers: $($result.TeamsWithGuests)" -ForegroundColor White
if (-not $result.GuestMessagingConfig) {
Write-Host "`n[INFO] Gast messaging configuratie niet gevonden. Configureer via:" -ForegroundColor Yellow
Write-Host " 1. Microsoft Teams Admin Center > Teams > Guest settings" -ForegroundColor Gray
Write-Host " 2. Set-CsTeamsGuestMessagingConfiguration cmdlet" -ForegroundColor Gray
Write-Host "`nZie: https://learn.microsoft.com/en-us/microsoftteams/guest-access" -ForegroundColor Gray
}
if (-not $result.TenantFederationConfig) {
Write-Host "`n[INFO] Tenant federatie configuratie niet gevonden. Configureer via:" -ForegroundColor Yellow
Write-Host " 1. Microsoft Teams Admin Center > Org-wide settings > External access" -ForegroundColor Gray
Write-Host " 2. Set-CsTenantFederationConfiguration cmdlet" -ForegroundColor Gray
Write-Host "`nZie: https://learn.microsoft.com/en-us/microsoftteams/manage-external-access" -ForegroundColor Gray
}
Write-Host "`n[INFO] Remediatie voltooid. Controleer status met -Monitoring" -ForegroundColor Green
}
catch {
Write-Host "`n[FAIL] FOUT bij remediatie: $_" -ForegroundColor Red
Write-Host " Controleer of alle vereisten zijn voldaan" -ForegroundColor Yellow
exit 2
}
}
function Invoke-Revert {
<#
.SYNOPSIS
Keert gasttoegangsbeleidsregels configuratie terug
.DESCRIPTION
Let op: Het terugdraaien van gasttoegangsbeleidsregels is een kritieke actie die alleen mag worden uitgevoerd
na expliciete goedkeuring van CISO en compliance. Deze functie rapporteert alleen de huidige status.
#>
try {
if ($WhatIf) {
Write-Host "`n[WhatIf] Zou gasttoegangsbeleidsregels status rapporteren" -ForegroundColor Yellow
Write-Host " Waarschuwing: Revert vereist expliciete goedkeuring!" -ForegroundColor Red
return
}
Write-Host "`nWaarschuwing: Revert van gasttoegangsbeleidsregels vereist:" -ForegroundColor Red
Write-Host " • Expliciete goedkeuring van CISO en compliance" -ForegroundColor Red
Write-Host " • Documentatie van de reden voor revert" -ForegroundColor Red
Write-Host " • Impactanalyse op externe samenwerking" -ForegroundColor Red
Write-Host " • Impactanalyse op compliance-vereisten" -ForegroundColor Red
Write-Host "`nDeze functie is niet geïmplementeerd voor veiligheidsredenen." -ForegroundColor Yellow
Write-Host "Gebruik de Microsoft Teams Admin Center voor het beheren van gasttoegangsbeleidsregels." -ForegroundColor Yellow
}
catch {
Write-Host "`n[FAIL] FOUT: $_" -ForegroundColor Red
exit 2
}
}
# Main execution
try {
if ($Monitoring) {
Invoke-Monitoring
}
elseif ($Remediation) {
Invoke-Remediation
}
elseif ($Revert) {
Invoke-Revert
}
else {
Write-Host "Gebruik:" -ForegroundColor Yellow
Write-Host " -Monitoring Controleer gasttoegangsbeleidsregels status" -ForegroundColor Gray
Write-Host " -Remediation Rapporteer gasttoegangsbeleidsregels configuratie" -ForegroundColor Gray
Write-Host " -Revert Revert gasttoegangsbeleidsregels (vereist goedkeuring)" -ForegroundColor Gray
Write-Host "`nVoor meer informatie, zie:" -ForegroundColor Gray
Write-Host " content/m365/teams-collaboration/teams-guest-access-policies.json" -ForegroundColor Gray
}
}
catch {
Write-Host "`n[FAIL] Onverwachte fout: $_" -ForegroundColor Red
exit 2
}
finally {
Write-Host "`n========================================`n" -ForegroundColor Cyan
}
Risico zonder implementatie
Risico zonder implementatie
High: Hoog - Zonder gasttoegangsbeleidsregels kunnen organisaties geen onderscheid maken tussen verschillende samenwerkingsscenario's met uiteenlopende beveiligingsvereisten. Dit leidt tot compromissen waarbij ofwel beveiliging wordt opgeofferd voor functionaliteit, ofwel functionaliteit wordt opgeofferd voor beveiliging. Onbevoegde gasttoegang tot gevoelige informatie kan leiden tot data-exfiltratie, compliance-schendingen en reputatieschade. Organisaties kunnen niet voldoen aan AVG-vereisten die granulaire controle over externe toegang vereisen.
Management Samenvatting
Gasttoegangsbeleidsregels bieden granulaire controle over gastgebruikersrechten in Teams per team of kanaal. Essentieel voor het balanceren van externe samenwerkingsbehoeften met beveiligingsvereisten en AVG-naleving. Vereist: Azure AD B2B, Teams-licenties, beleidskader, teamclassificatie. Implementatie: 28 uur (12 technisch, 16 organisatorisch).
- Implementatietijd: 28 uur
- FTE required: 0.15 FTE