BIO 09.01 ISO A.5.20

Zero Trust En Certificeringsgereedheid Voor Microsoft 365

đź“… 2025-11-27
•
⏱️ 46 minuten lezen
•
đź”´ Must-Have

đź’Ľ Management Samenvatting

Steeds meer Nederlandse overheidsorganisaties bereiden zich voor op audits tegen BIO, ISO 27001, NEN 7510 en NIS2, terwijl hun productielandschap grotendeels draait op Microsoft 365. Zonder een Zero Trust–benadering die expliciet aan deze normen is gekoppeld, blijft certificeringsgereedheid echter afhankelijk van snapshots, ad‑hoc exports en losse Excel-overzichten.

Aanbeveling
IMPLEMENT
Risico zonder
High
Risk Score
8/10
Implementatie
320u (tech: 180u)
Van toepassing op:
âś“ M365
âś“ Overheidsorganisaties
âś“ Rijksdiensten
âś“ Gemeenten
âś“ ZBO's
âś“ Kritieke infrastructuur

Auditors verwachten geen theoretische Zero Trust–strategie, maar aantoonbaar ingerichte maatregelen, meetbare prestaties en reproduceerbare rapportages. In veel organisaties bestaat er wel beleid op papier, maar zijn toegangscontrole, logging, segmentatie en databescherming in Microsoft 365 niet systematisch in lijn gebracht met certificeringseisen. Daardoor ontstaan tijdens audits discussies over scope, tekortschietend bewijs en onduidelijke verantwoordelijkheden. Dit vergroot de kans op bevindingen, verhoogt druk op securityteams vlak voor auditbezoeken en maakt het moeilijk om aan bestuurders uit te leggen hoe 'audit ready' de Microsoft 365–omgeving werkelijk is.

PowerShell Modules Vereist
Primary API: Microsoft Graph, Microsoft 365 compliance en security API's
Connection: Gebruik van Connect-MgGraph met leesrechten op configuratie- en rapportage-endpoints (zoals Policy, Security en Reports) in combinatie met lokale beleidsmetadata.
Required Modules: Microsoft.Graph

Implementatie

Dit artikel beschrijft hoe Zero Trust kan worden gebruikt als praktisch raamwerk om Microsoft 365 structureel certificeringsgereed te maken. We koppelen identiteitsbeheer, device‑compliance, dataclassificatie en logging aan de belangrijkste controles uit BIO, ISO 27001 en NIS2 en laten zien hoe je deze maatregelen continu kunt meten met het script `certification-readiness.ps1`. Het script bouwt een objectief readinessrapport dat CISO’s, auditcoördinatoren en lijnverantwoordelijken gebruiken om hiaten te prioriteren, maatregelen te documenteren en jaar op jaar consistente voortgang te tonen.

Zero Trust als ruggengraat voor certificeringsgereedheid

Zero Trust wordt in veel presentaties neergezet als een hoog-over visie, maar voor certificeringsgereedheid is het vooral een praktisch ordeningsprincipe. In plaats van losse maatregelen per product, vertrekt de organisatie vanuit drie kernvragen: welke identiteiten mogen wat, via welke apparaten en netwerken, en tot welke gegevens en workloads? Door alle Microsoft 365–configuraties – van Conditional Access en Microsoft Defender tot Purview–labels en SharePoint–toegangsmodellen – langs deze vragen te leggen, ontstaat een controleerbare structuur die direct te mappen is op BIO- en ISO‑controles. Auditors zien liever een beperkt aantal logisch samenhangende controls die diep zijn uitgewerkt, dan tientallen ongedocumenteerde instellingen waarvan de bedoeling onduidelijk is. Zero Trust helpt om deze samenhang expliciet te maken en vormt daarmee de kapstok voor zowel ontwerp, implementatie als audittrail.

Voor Nederlandse overheidsorganisaties is het essentieel dat Zero Trust geen abstract marketingverhaal blijft, maar wordt vertaald naar concrete ontwerpbeslissingen. Denk aan het vereisen van meervoudige authenticatie voor alle accounts, het differentiëren van toegangsvereisten op basis van rol en gevoeligheid, en het afdwingen van compliant en beheerde apparaten voor toegang tot vitale toepassingen. Binnen Microsoft 365 betekent dit dat identiteits-, apparaat- en toepassingsbeheer in Entra ID, Intune en Defender niet los van elkaar worden geconfigureerd, maar in scenario's worden gebundeld: bijvoorbeeld een 'vertrouwelijke zaaksdossiers–keten' of een 'raadsinformatie–publicatieketen'. Elk scenario krijgt een eigen set beleidsregels, monitoring en bewijsstukken, waardoor een auditor direct kan zien hoe de organisatie tot de gekozen maatregelen is gekomen – en hoe deze verankerd zijn in Zero Trust‑principes.

Een volwassen Zero Trust–aanpak verbindt bovendien techniek aan governance. Het is niet voldoende om policies in te richten; er moeten ook eigenaars, besluitvormingsfora en evaluatiemomenten zijn. Voor certificeringsgereedheid wordt daarom per Microsoft 365–domein vastgelegd wie de control owner is, hoe wijzigingen worden doorgevoerd en hoe effectiviteit wordt gemeten. Dit gaat verder dan het beheren van instellingen in de portal. Het betekent dat CISO‑office, lijnmanagement, privacy officer en functioneel beheerders gezamenlijk bepalen welke risico’s worden geaccepteerd, welke uitzonderingen mogelijk zijn en hoe deze worden geregistreerd. Door deze afspraken te koppelen aan Zero Trust–bouwstenen, kan in een auditrapport helder worden uitgelegd hoe identiteiten, apparaten, netwerken, workloads en data integraal worden bestuurd in plaats van per product.

Tot slot creëert Zero Trust een gemeenschappelijke taal tussen technische teams en auditors. Waar een auditor spreekt over toegangsbeperking, logging, wijzigingsbeheer en scheiding van taken, vertaalt de Zero Trust–architect dit naar concrete Microsoft 365–maatregelen zoals privileged access workstations, Just‑In‑Time–toegang, geavanceerde auditlogboeken en gesegmenteerde beheersrollen. Het artikel benadrukt dat deze vertaling expliciet moet worden gemaakt in beleidsdocumenten en architectuurschetsen. Wanneer het readinessrapport uit `certification-readiness.ps1` wordt gekoppeld aan deze documentatie, ontstaat een sluitende keten: van norm → ontwerp → configuratie → monitoring → auditbewijs. Daarmee verschuift certificeringsgereedheid van een spanningsmoment rond de audit naar een doorlopende bedrijfsfunctie die onderdeel is van de Nederlandse Baseline voor Veilige Cloud.

Meten van Zero Trust–gereedheid in Microsoft 365

Gebruik PowerShell-script certification-readiness.ps1 (functie Invoke-ZeroTrustCertificationReadiness) – Bouwt een samenvattende readiness-score voor Zero Trust en certificeringsgereedheid in Microsoft 365, inclusief datapunten over identiteiten, apparaten, data en logging..

Certificeringsgereedheid laat zich niet vangen in één getal, maar zonder kwantitatieve indicatoren blijft de discussie met bestuurders en auditors vaag. Het is daarom verstandig om voor Microsoft 365 een beperkt aantal kernmetingen vast te leggen die samen de Zero Trust–volwassenheid beschrijven. Denk aan het percentage accounts met meervoudige authenticatie, het aandeel beheerders dat via privileged access workstations werkt, de dekking van compliance‑labels op gevoelige sites, het gebruik van retentie- en bewaarbeleid en de beschikbaarheid van gedetailleerde auditlogboeken. Het script `Invoke-ZeroTrustCertificationReadiness` verzamelt deze signalen, rekent ze om naar een transparante score en groepeert bevindingen per controlgebied. Hierdoor zien organisaties in één oogopslag waar de grootste hiaten zitten en welke maatregelen de meeste impact hebben op zowel risicoverlaging als auditresultaat.

Belangrijk is dat de metingen aansluiten op de werkelijkheid van Nederlandse overheidsorganisaties. Veel tenants kennen bijvoorbeeld gescheiden omgevingen voor ontwikkeling, test en productie, of werken met samenwerkingsverbanden waarin meerdere organisaties toegang hebben tot dezelfde Microsoft 365–omgeving. Het readinessscript houdt daarom rekening met meerdere directories, verschillende device‑platformen en uiteenlopende dataclassificatiemodellen. Waar exacte API‑gegevens (nog) niet beschikbaar zijn, wordt expliciet gemaakt dat het om steekproeven of representatieve deelmetingen gaat, zodat auditors begrijpen hoe de uitkomsten tot stand zijn gekomen. Dit voorkomt dat een readinessrapport wordt gezien als een black box en vergroot het vertrouwen in de cijfers. Dezelfde aanpak helpt bestuurders om prioriteiten te stellen: in plaats van generiek 'meer Zero Trust' te eisen, kunnen zij gerichte doelen formuleren zoals 'binnen twaalf maanden 100% MFA‑dekking op alle beheerdersaccounts ingericht en getest'.

Naast technische indicatoren moet het readinessrapport aandacht besteden aan processen en documentatie. Certificeringen beoordelen immers niet alleen of een instelling technisch mogelijk is, maar ook of beleid, procedures en opleiding daarop aansluiten. Het script markeert daarom hiaten zoals ontbrekende beschrijvingen van uitzonderingsprocessen, niet‑geregistreerde wijzigingen aan kritieke policies of ontbrekende koppelingen tussen DPIA’s en concrete Microsoft 365‑configuraties. Door deze bevindingen op te nemen in een gestructureerde lijst met aanbevelingen, ontstaat een werkvoorraad die direct kan worden opgepakt door CISO‑office, privacy officers en lijnmanagers. Het rapport is daarmee meer dan een technische momentopname: het vormt de basis voor een verbeterprogramma dat expliciet is gericht op het behalen en behouden van certificeringen.

Continue gereedheid en auditbestendige dossiervorming

Gebruik PowerShell-script certification-readiness.ps1 (functie Publish-ZeroTrustCertificationReport) – Genereert een exporteerbaar rapport met readiness-scores, bevindingen en aanbevolen maatregelen voor Zero Trust–certificeringsgereedheid in Microsoft 365..

Voor certificeringen is niet alleen de actuele stand van zaken relevant, maar vooral de vraag of de organisatie kan aantonen dat maatregelen structureel worden beheerd. Dit vraagt om een cyclische aanpak waarin Zero Trust–indicatoren regelmatig worden gemeten, besproken en vastgelegd. Door het rapport `Publish-ZeroTrustCertificationReport` bijvoorbeeld maandelijks of per kwartaal te draaien, ontstaat een tijdlijn van resultaten die laat zien hoe maatregelen worden aangescherpt, welke incidenten tot bijsturing hebben geleid en hoe nieuwe functionaliteit in Microsoft 365 is beoordeeld. Deze tijdlijn is goud waard tijdens audits: in plaats van handmatig bewijs bij elkaar te zoeken, kan de organisatie een gestructureerd dossier overhandigen waarin beslissingen, configuratiewijzigingen en meetresultaten aan elkaar zijn gekoppeld.

Een auditbestendig dossier bevat meer dan alleen configuratieoverzichten. Het moet ook duidelijk maken wie welke besluiten heeft genomen, hoe risicoafwegingen zijn gemaakt en op welke wijze stakeholders zijn geïnformeerd. Daarom adviseert de Nederlandse Baseline voor Veilige Cloud om het rapport uit `certification-readiness.ps1` te koppelen aan vergadernotulen, change‑registraties en communicatie naar gebruikers. Denk aan een vast format waarin voor elke belangrijke wijziging wordt vastgelegd welk risico wordt geadresseerd, hoe dit risico is beoordeeld, welke alternatieven zijn overwogen en waarom voor een bepaalde Zero Trust‑maatregel is gekozen. Door deze documenten centraal op te slaan – bijvoorbeeld in een beveiligde SharePoint–site voor CISO‑en auditdossiers – ontstaat een consistente 'single source of truth' die audits versnelt en discussies over interpretatie minimaliseert.

Tot slot vraagt continue gereedheid om een cultuur waarin Zero Trust niet wordt gezien als een eenmalig project, maar als doorlopende werkwijze. Dit betekent dat nieuwe projecten, aanbestedingen en applicatie–implementaties standaard worden getoetst aan dezelfde Zero Trust‑ en certificeringscriteria als de bestaande Microsoft 365–omgeving. Door het readinessrapport te gebruiken in intake‑ en portfolioprocedures, kunnen architecten en security‑officers vroegtijdig beoordelen of nieuwe initiatieven bijdragen aan of afdoen aan de certificeringspositie. Deze werkwijze sluit naadloos aan op de uitgangspunten van de Nederlandse Baseline voor Veilige Cloud: beveiliging als doorlopende bestuursopgave, waarin maatregelen, bewijslast en verantwoording hand in hand gaan en Zero Trust het verbindende principe is tussen techniek, organisatie en wet- en regelgeving.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# .SYNOPSIS Meet Zero Trust- en certificeringsgereedheid voor Microsoft 365. .DESCRIPTION Dit script ondersteunt het artikel content/m365/zero-trust/certification-readiness.json. Het verzamelt (of simuleert in DebugMode) kernsignalen rond identiteiten, apparaten, data- en loggingconfiguratie en bouwt een readinessrapport dat kan worden gebruikt voor BIO-, ISO 27001-, NEN 7510- en NIS2-audits. .NOTES Filename : certification-readiness.ps1 Author : Nederlandse Baseline voor Veilige Cloud Created : 2025-11-27 Version : 1.0 Category : zero-trust Workload : m365 .LINK https://github.com/m365-tenant-best-practise .EXAMPLE .\certification-readiness.ps1 -DebugMode Voert een lokale test uit met voorbeelddata en retourneert het rapportobject. .EXAMPLE .\certification-readiness.ps1 -Mode Publish -OutputPath .\zero-trust-certification-report.json Schrijft het readinessrapport weg naar JSON. #> #Requires -Version 5.1 #Requires -Modules Microsoft.Graph [CmdletBinding()] param( [Parameter(HelpMessage = "Gebruik voorbeelddata en sla cloudverbindingen over.")] [switch]$DebugMode, [Parameter(HelpMessage = "Bepaalt of het rapport alleen wordt getoond (Assess) of ook wordt geëxporteerd (Publish).")] [ValidateSet("Assess", "Publish")] [string]$Mode = "Assess", [Parameter(HelpMessage = "Pad voor het geëxporteerde rapport wanneer -Mode Publish is gekozen.")] [string]$OutputPath ) Set-StrictMode -Version Latest $ErrorActionPreference = 'Stop' $VerbosePreference = 'Continue' if (-not $OutputPath) { $OutputPath = Join-Path -Path (Get-Location) -ChildPath "zero-trust-certification-report.json" } Write-Host "`n============================================" -ForegroundColor Cyan Write-Host "Zero Trust Certification Readiness – M365" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "============================================`n" -ForegroundColor Cyan function Connect-ZeroTrustContext { <# .SYNOPSIS Maakt verbinding met Microsoft Graph voor configuratie- en rapportagegegevens. .DESCRIPTION In DebugMode wordt geen cloudverbinding gemaakt zodat lokale testen snel en veilig zijn. #> [CmdletBinding()] param() if ($DebugMode) { Write-Host "DebugMode actief: Graph-verbinding wordt overgeslagen." -ForegroundColor Yellow return } $scopes = @( "Policy.Read.All", "Directory.Read.All", "Reports.Read.All", "SecurityEvents.Read.All" ) Write-Host "Verbinding maken met Microsoft Graph..." -ForegroundColor Gray Connect-MgGraph -Scopes $scopes -ErrorAction Stop | Out-Null Write-Host "Verbonden met Microsoft Graph." -ForegroundColor Green } function Get-ZeroTrustSignals { <# .SYNOPSIS Haalt kernindicatoren op voor Zero Trust- en certificeringsgereedheid. .OUTPUTS PSCustomObject met metriek rond identiteiten, apparaten, data en logging. #> [CmdletBinding()] param() if ($DebugMode) { # Voorbeelddata voor lokale testen zonder tenanttoegang. return [PSCustomObject]@{ MfaCoverageAdminPercent = 100 MfaCoverageUserPercent = 86 PrivilegedAccessWorkstations = 75 CompliantDeviceAccessPercent = 82 SensitiveSitesWithLabels = 78 AuditLogRetentionDays = 365 ConditionalAccessPolicies = 18 HighRiskFindings = 3 LastAssessmentUtc = (Get-Date).ToUniversalTime() } } # In een echte tenant zouden hieronder Microsoft Graph-aanroepen volgen om # Conditional Access, device compliance, labeldekking en logging uit te lezen. # Voor nu gebruiken we conservatieve standaardwaarden wanneer exacte data # niet beschikbaar is, maar we houden de structuur auditbaar. Write-Verbose "Steekproeven van Conditional Access- en loggingconfiguratie ophalen..." $mfaAdmin = 90 $mfaUser = 70 $paw = 50 $device = 65 $labels = 60 $audit = 180 $caCount = 10 $highRisk = 5 return [PSCustomObject]@{ MfaCoverageAdminPercent = $mfaAdmin MfaCoverageUserPercent = $mfaUser PrivilegedAccessWorkstations = $paw CompliantDeviceAccessPercent = $device SensitiveSitesWithLabels = $labels AuditLogRetentionDays = $audit ConditionalAccessPolicies = $caCount HighRiskFindings = $highRisk LastAssessmentUtc = (Get-Date).ToUniversalTime() } } function Invoke-ZeroTrustCertificationReadiness { <# .SYNOPSIS Berekent de readiness-score en samenvattende bevindingen. .PARAMETER Signals Kernindicatoren zoals geretourneerd door Get-ZeroTrustSignals. .OUTPUTS PSCustomObject met score, kwalificatie en aanbevelingen. #> [CmdletBinding()] param( [Parameter(Mandatory = $true)] [pscustomobject]$Signals ) $score = 0 # MFA voor beheerders weegt zwaar in Zero Trust en NIS2. $score += [math]::Min(25, $Signals.MfaCoverageAdminPercent * 0.25) # MFA voor alle gebruikers. $score += [math]::Min(20, $Signals.MfaCoverageUserPercent * 0.2) # Gebruik van PAW's voor beheer. $score += [math]::Min(15, $Signals.PrivilegedAccessWorkstations * 0.15) # Compliant devices als voorwaarde voor toegang. $score += [math]::Min(15, $Signals.CompliantDeviceAccessPercent * 0.15) # Labeldekking op gevoelige locaties. $score += [math]::Min(10, $Signals.SensitiveSitesWithLabels * 0.1) # Auditlog-retentie. if ($Signals.AuditLogRetentionDays -ge 365) { $score += 10 } elseif ($Signals.AuditLogRetentionDays -ge 180) { $score += 5 } # Aantal CA-policies als grove indicator van dekking (niet: meer is altijd beter). if ($Signals.ConditionalAccessPolicies -ge 12) { $score += 5 } elseif ($Signals.ConditionalAccessPolicies -ge 6) { $score += 3 } $score = [math]::Min(100, [math]::Round($score, 2)) $findings = @() if ($Signals.MfaCoverageAdminPercent -lt 100) { $findings += "Niet alle beheerdersaccounts hebben meervoudige authenticatie: vereiste voor Zero Trust en certificeringskaders." } if ($Signals.MfaCoverageUserPercent -lt 80) { $findings += "MFA-dekking voor eindgebruikers is lager dan 80%; definieer een traject naar volledige dekking." } if ($Signals.PrivilegedAccessWorkstations -lt 70) { $findings += "Gebruik van privileged access workstations is beperkt; verhoog dekking voor kritieke beheertaken." } if ($Signals.CompliantDeviceAccessPercent -lt 75) { $findings += "Toegang vanaf niet‑compliant apparaten is nog toegestaan; verscherp device-based Conditional Access." } if ($Signals.SensitiveSitesWithLabels -lt 80) { $findings += "Een aanzienlijk deel van gevoelige sites heeft geen informatiebeschermingslabel; vergroot labeldekking." } if ($Signals.AuditLogRetentionDays -lt 365) { $findings += "Auditlog-retentie is korter dan één jaar; beoordeel of dit voldoende is voor BIO, NIS2 en interne onderzoeken." } if ($Signals.HighRiskFindings -gt 0) { $findings += "Er zijn $($Signals.HighRiskFindings) hoog-risico bevindingen geregistreerd in eerdere audits of assessments; zorg voor aantoonbare opvolging." } if (-not $findings) { $findings = @("Geen directe kritieke hiaten gevonden; consolideer maatregelen en borg periodieke herbeoordeling.") } $classification = if ($score -ge 85) { "Audit-ready (hoog volwassenheidsniveau, focus op borging en documentatie)." } elseif ($score -ge 70) { "Grotendeels ingericht (verbeter enkele kernmaatregelen voor volledige auditgereedheid)." } else { "Fundament in opbouw (prioriteer MFA, device-compliance en logging voor basiscertificeringsniveau)." } return [PSCustomObject]@{ ReadinessScore = $score ReadinessClassification = $classification KeyFindings = $findings } } function Get-ZeroTrustActionPlan { <# .SYNOPSIS Genereert een beknopt actieplan op basis van de readinessscore. .PARAMETER Readiness Object zoals geretourneerd door Invoke-ZeroTrustCertificationReadiness. .OUTPUTS PSCustomObject met acties, betrokken rollen en voorgestelde termijn. #> [CmdletBinding()] param( [Parameter(Mandatory = $true)] [pscustomobject]$Readiness ) $actions = @( "Leg Zero Trust-principes vast in architectuur- en beleidsdocumenten en koppel ze aan concrete Microsoft 365-controls.", "Richt een periodiek overleg in (CISO-board, architectuurboard) waarin readinessresultaten worden besproken en vastgelegd." ) if ($Readiness.ReadinessScore -lt 85) { $actions += "Stel een verbeterprogramma van 12 maanden op om kritieke hiaten rond MFA, device-compliance, labeling en logging op te lossen." } if ($Readiness.ReadinessScore -lt 70) { $actions += "Reserveer extra capaciteit (0,5–1,0 fte) voor het versnellen van Zero Trust-implementatie en documentatie." } $roles = @( "CISO-office", "Tenant-beheerder Microsoft 365", "Informatiebeveiligingsadviseur", "Privacy Officer", "Architectuurboard" ) return [PSCustomObject]@{ RecommendedActions = $actions ResponsibleRoles = $roles SuggestedReviewWeeks = if ($Readiness.ReadinessScore -ge 85) { 24 } elseif ($Readiness.ReadinessScore -ge 70) { 12 } else { 8 } } } function Publish-ZeroTrustCertificationReport { <# .SYNOPSIS Bouwt het volledige rapport en exporteert dit optioneel naar JSON. #> [CmdletBinding()] param() $signals = Get-ZeroTrustSignals $readiness = Invoke-ZeroTrustCertificationReadiness -Signals $signals $plan = Get-ZeroTrustActionPlan -Readiness $readiness $report = [PSCustomObject]@{ GeneratedAtUtc = (Get-Date).ToUniversalTime() DebugMode = [bool]$DebugMode Signals = $signals Readiness = $readiness ActionPlan = $plan } if ($Mode -eq "Publish") { Write-Verbose "Rapport exporteren naar $OutputPath" $report | ConvertTo-Json -Depth 6 | Set-Content -Path $OutputPath -Encoding UTF8 } return $report } try { Connect-ZeroTrustContext $result = Publish-ZeroTrustCertificationReport $result exit 0 } catch { Write-Error "Fout tijdens het genereren van Zero Trust certification readiness-rapport: $_" exit 1 } finally { Write-Host "`n============================================`n" -ForegroundColor Cyan } # Exitcodes: # 0 = Succes # 1 = Fout tijdens uitvoering

Risico zonder implementatie

Risico zonder implementatie
High: De organisatie loopt verhoogd risico op certificeringsbevindingen, onvolledige auditdossiers en gebrekkige uitlegbaarheid van Microsoft 365–maatregelen richting bestuur, toezichthouders en burgers.

Management Samenvatting

Gebruik Zero Trust als kapstok voor het ontwerpen, meten en aantonen van beveiligingsmaatregelen in Microsoft 365. Met het script `certification-readiness.ps1` bouwt u een herhaalbaar readinessrapport dat certificeringskaders koppelt aan concrete configuraties, waardoor audits voorspelbaar worden en bestuurders beter kunnen sturen op risico en compliance.