Question 1

Ik denk dat ik op een phishing-link heb geklikt

Accepted Answer

1. Sluit het tabblad of de pagina niet weg. Maak eerst een schermafbeelding van de URL en de pagina. Belangrijk voor onderzoek.
2. Heb je gegevens ingetypt? Wijzig direct het wachtwoord van die account én van alle accounts waar je hetzelfde wachtwoord gebruikte.
3. Schakel MFA in op het account als dat er nog niet was. Zelfs als je gegevens nu zijn gestolen helpt het verdere schade voorkomen.
4. Voer een Microsoft Defender Full Scan uit (niet Quick) en laat hem afmaken.
5. Meld het bij IT/leidinggevende, ook als je nog niets verkeerds ziet. Beter een keer voor niets dan twee weken later ontdekken dat er iets liep.

Wanneer ons inschakelen: 
Heb je inloggegevens van een bedrijfsaccount of bankportaal ingetypt: bel ons direct. We helpen met sessies revoken, log-analyse en eventueel klant-communicatie als dat nodig is.

Question 2

Een collega-account doet rare dingen

Accepted Answer

1. Schakel het account direct uit (in Microsoft 365: Active Users > de gebruiker > Block sign-in). Daarna pas onderzoeken.
2. Forceer een logout van alle sessies (Microsoft Entra: gebruiker > Authentication > "Sign out all sessions").
3. Check op forwarding-rules in de mailbox. Aanvallers maken vaak een regel die mails automatisch doorstuurt en wist.
4. Reset het wachtwoord, schakel MFA in, en pas dán schakel je het account weer aan.
5. Mail of bel met je collega op een ander kanaal (geen mail van het verdachte account) om uit te leggen wat er is gebeurd.

Wanneer ons inschakelen: 
Geen ervaring met session revoke of mailbox-rules? Doe het niet alleen - één gemiste forwarding-rule en de aanvaller blijft erbinnen. We kunnen binnen een uur meekijken.

Question 3

MFA-app verloren - nieuwe telefoon, geen backup-codes

Accepted Answer

1. Bel of app eerst de admin van je werk-Microsoft 365 (vaak een collega die het tenant beheert). Hij of zij kan een tijdelijke MFA-reset doen.
2. Geen interne admin? Bel je IT-leverancier (wij of een ander) - zij kunnen het in vijf minuten resetten met de juiste rechten.
3. Voor persoonlijke accounts (Google, Microsoft persoonlijk): gebruik de "ik ben mijn telefoon kwijt"-flow. Verlies van rechtszekerheid stelt soms een paar dagen recovery in.
4. Eenmaal weer ingelogd: zet MFA opnieuw op de nieuwe telefoon EN sla deze keer de backup-codes op in een veilige plek (wachtwoordmanager).

Wanneer ons inschakelen: 
Voor zakelijke accounts: niet vragen aan een random helpdesk om je MFA te resetten als ze niet bekend zijn. Een echte aanvaller doet zich graag voor als jou. Bel via een nummer dat je kent.

Question 4

Mijn telefoon staat vol met MFA-pushes die ik niet aanvroeg

Accepted Answer

1. Goedkeur niets. Sluit de Authenticator-app, laat de pushes lopen.
2. Wijzig direct je wachtwoord vanaf een ander apparaat. De aanvaller heeft het al, dat is de aanleiding van de spam.
3. Schakel number matching in voor je tenant (Entra > Security > Authentication methods > Microsoft Authenticator). Daarmee moet de gebruiker een nummer overtypen, blind goedkeuren kan niet meer.
4. Check sign-in logs in Entra op het tijdstip van de pushes. Noteer IP-adres en land voor het incidentrapport.
5. Meld het bij IT, ook als je niets goedkeurde. Vaak hoort dit bij een bredere campagne tegen meerdere collegas.

Wanneer ons inschakelen: 
Heb je per ongeluk goedgekeurd: behandel als account-overname. Sessies revoken, mailbox-rules checken, en ons bellen voor log-analyse.

Question 5

Onverwachte password-reset notificatie van een collega

Accepted Answer

1. Verifieer eerst via een ander kanaal: app of bel de collega. Vraag of zij/hij het zelf heeft aangevraagd. Veel kans dat het antwoord ja is.
2. Was het zij/hij niet, klik dan NIET op de link in de mail. Login direct via je gebruikelijke route (microsoft.com/login etc).
3. Check in je Microsoft 365 admin de "Sign-in logs" voor die gebruiker. Vreemde locaties of tijden? Eén signaal van een echte aanval.
4. Bij verdacht: forceer wachtwoord-wijziging, MFA opnieuw uitvoeren, sessies revoken voor de gebruiker. Daarna pas onderzoeken hoe het kon gebeuren.

Wanneer ons inschakelen: 
Geen sign-in logs kunnen lezen, of meerdere gebruikers tegelijk getroffen? Bel ons - dit is geen "los het op rustig" geval.

Question 6

Ex-medewerker - hoe blokkeer ik snel alle toegang?

Accepted Answer

1. Microsoft 365 admin: gebruiker > Block sign-in én Reset password. Niet alleen wachtwoord wijzigen - dat houdt actieve sessies open.
2. Forceer "Sign out all sessions" (Microsoft Entra > gebruiker > Authentication). Hierdoor zijn telefoon-tokens en Outlook-app-sessies ook ongeldig.
3. Verwijder gedeelde mailbox-toegang en SharePoint-permissies die ze hadden. Vergeet ook gedeelde drive-mappings niet.
4. Externe diensten met SSO via M365 worden automatisch geblokkeerd; tools met eigen logins (DocuSign, Trello, Hubspot) niet. Loop die langs.
5. Wachtwoorden van gedeelde accounts (Wi-Fi voor gasten, hoofd-LinkedIn, etc.) wijzigen.

Wanneer ons inschakelen: 
Bij vertrek met conflict, of wanneer toegang tot klantgegevens cruciaal was, is een audit nuttig: wat heeft die persoon recent gedownload? Wij kunnen dat in M365 Audit Log voor je doen.

Question 7

Iemand heeft een onbekende USB-stick aangesloten

Accepted Answer

1. Verwijder de USB-stick fysiek. Niet "veilig verwijderen", gewoon trekken is hier prima.
2. Voer een Microsoft Defender Full Scan uit (niet Quick). Duurt 30-60 minuten, maar laat hem afmaken.
3. Schrijf op: wie heeft de USB aangesloten, op welke laptop, hoe laat. Voor evt. onderzoek.
4. Niet de USB-stick weggooien. Bewaar in een afgesloten zakje. Een specialist kan hem analyseren.
5. Als de gebruiker bestanden heeft geopend van de USB: Quick Scan op die specifieke bestanden via rechtermuis > "Scannen met Microsoft Defender".

Wanneer ons inschakelen: 
Voor laptops die toegang hebben tot klantgegevens of betalingsverkeer: bel ons na het scannen. Een schone scan betekent niet automatisch geen risico - we kijken naar Sign-in logs en verdacht netwerkverkeer.

Question 8

PC vergrendelt niet automatisch als ik weg loop

Accepted Answer

1. Windows-toets + L vergrendelt direct. Maak er een gewoonte van bij elk weglopen, ook al is het maar een minuut.
2. Stel automatische vergrendeling in: Instellingen > Accounts > Aanmeldingsopties > "Vereis aanmelding" op "Wanneer de pc actief is". En screensaver-instellingen > "Bij hervatten weergeven met aanmeldingsscherm" aan.
3. Stel screensaver-tijd in op max 5 minuten (Instellingen > Persoonlijke instellingen > Vergrendelingsscherm > Schermbeveiligingsinstellingen).
4. Op kantoor: Bluetooth Dynamic Lock koppelen aan je telefoon. Als de telefoon uit Bluetooth-bereik is, lockt de PC automatisch.

Wanneer ons inschakelen: 
Voor klanten kunnen wij dit als groepsbeleid uitrollen, dan staat het op alle laptops binnen vijf minuten goed. Niet meer afhankelijk van wat individuele gebruikers vergeten in te stellen.

Question 9

Vermoeden dat een vertrekkende medewerker data heeft gekopieerd

Accepted Answer

1. Schakel het account direct uit (block sign-in) als de medewerker al weg is. Als ze nog werken: doe niets zichtbaars tot je advies hebt.
2. Kijk in Microsoft 365 Audit Log (Audit Standard zit sinds eind 2023 in alle Business/Enterprise-tenants met 180 dagen retentie; 1 jaar of meer vereist Audit Premium / E5): zoek op activiteiten als FileDownloaded, FileSyncDownloadedFull, MailItemsAccessed in het laatste maand voor vertrek.
3. Check OneDrive en SharePoint sharing-logs: heeft de medewerker recent links extern gedeeld?
4. Voor zware vermoedens: bewaar het apparaat (laptop, telefoon) zonder erop te wijzigen. Een forensisch onderzoek heeft een onaangetaste schijf nodig.

Wanneer ons inschakelen: 
Dit is geen DIY-territorium. Bel ons of een advocaat. Wij doen het audit-log-onderzoek en bewaren bewijs op een correcte manier; advocaat regelt eventueel juridisch traject.

Question 10

We willen eindelijk een wachtwoordmanager invoeren - waar beginnen we?

Accepted Answer

1. Kies tussen team-managers (1Password Business, Bitwarden Business, Keeper) - alle drie prima. Bitwarden is het goedkoopst, 1Password het beste UX. Vermijd losse persoonlijke accounts voor zakelijk gebruik.
2. Eerste week: alleen jij en één vertrouwde collega. Importeer eigen wachtwoorden, leer hoe shared vaults werken. Niet meteen uitrollen.
3. Maak vaults per team (Sales, Finance, IT-shared). Niet één grote vault waar iedereen alles ziet.
4. Roll uit per team met 30 minuten uitleg. Niet via mail. Mensen die het niet snappen blijven plakkers met wachtwoord op laptop houden.
5. Schakel MFA in op de wachtwoordmanager zelf. Dit is nu de kluis - die moet zwaar beveiligd zijn.

Wanneer ons inschakelen: 
Voor invoer in een team groter dan 15 of als er gedeelde klant-credentials in moeten: laat ons de structuur meedenken. Eén keer goed opzetten scheelt later veel rommel.

Question 11

We willen MFA verplicht maken voor alle Microsoft 365-accounts

Accepted Answer

1. Check eerst wie momenteel geen MFA heeft: Microsoft 365 admin > Active users > kolom MFA Status, of via Entra > Users > per Authentication Methods.
2. Communiceer twee weken vooraf naar het hele team. Geef de instructie en wijs een vaste dag aan voor enrollment.
3. Schakel Security Defaults in (Entra > Properties > Security defaults) als je nog geen Conditional Access hebt. Dit forceert MFA voor alle gebruikers.
4. Voor uitzonderingen (kassasysteem, gedeelde mailbox-account, scanners): gebruik service-accounts met strakke Conditional Access policies, of plaats die accounts onder een aparte CA-uitzondering. App passwords NIET gebruiken: Microsoft heeft basic auth uitgezet en sinds eind 2024 kun je geen nieuwe app passwords meer aanmaken. Bestaande app passwords moet je richting OAuth-flow vervangen voordat Microsoft ze definitief uitschakelt.
5. Plan een terugvalmoment in voor mensen die op enrollment-dag uitvallen. Voorkom dat iemand op een dinsdagmorgen zijn werk niet in kan.

Wanneer ons inschakelen: 
Heb je Conditional Access-licenties (Entra ID P1/P2): laat ons een nettere policy schrijven dan Security Defaults, bijvoorbeeld geen MFA op kantoor-IP maar wel buiten. Dat is nét comfortabeler.

Question 12

Wat is Conditional Access en hebben wij dat nodig?

Accepted Answer

1. Check je licentie: Conditional Access vereist Entra ID P1 of hoger (zit in Microsoft 365 Business Premium en hoger). Op Business Standard heb je alleen Security Defaults.
2. Begin met één policy: 'MFA verplicht voor alle gebruikers, behalve vanaf trusted IP'. Dit is meestal voldoende voor een MKB.
3. Voeg toe: 'Block sign-in vanaf landen waar we niet werken'. Beperkt tot bijvoorbeeld NL, BE, DE. Vakantie-uitzonderingen zijn één keer per zes maanden, dat is overkomelijk.
4. Test eerst in 'Report-only' mode (Entra > Conditional Access > policy aanmaken > 'Report-only'). Dat logt wat er zou gebeuren zonder echt te blokkeren.
5. Pas na twee weken Report-only zonder rare hits zet je hem op 'On'.

Wanneer ons inschakelen: 
Conditional Access kan je hard buitensluiten als je een fout maakt - inclusief admins. Eerste keer opzetten doe je niet alleen. Wij maken een baseline-set policies die voor 90% van MKB werkt.

Question 13

Hoe krijg ik een alert bij verdachte logins?

Accepted Answer

1. Entra admin center > Protection > Identity Protection > Sign-in risk policy. Schakel die aan en bepaal of je medium- of high-risk wil afdwingen (MFA of block).
2. Bekijk de live status onder 'Risky users' en 'Risky sign-ins'. Daar zie je impossible travel, anonymous IP, infrequent country en andere signalen.
3. Stel ontvangers in voor de notificaties: jij plus één back-up. Niet alleen één persoon, want die is wel eens op vakantie.
4. Test door zelf in te loggen via een VPN naar een ander land. Verschijnt de sign-in binnen 30 minuten in 'Risky sign-ins'? Klopt de configuratie.
5. Bouw een routine: 'Risky users' checken aan begin van elke werkdag. 30 seconden werk.

Wanneer ons inschakelen: 
Identity Protection vereist Entra ID P2. Heb je dat niet, dan zit je vast aan beperktere signalen. Defender for Office dekt een ander stuk (mailflow, phishing) en is een apart onderwerp. Wij kunnen meedenken welke licentie het waard is voor jouw situatie, lang niet altijd nodig.

Question 14

Te veel oude apparaten gekoppeld aan onze accounts

Accepted Answer

1. Entra > Devices > All devices. Sorteer op 'Activity' of 'Last sign-in'. Apparaten die meer dan 90 dagen niets deden zijn kandidaten.
2. Voor elk verdacht apparaat: check de 'Owner' kolom. Klopt de gebruiker nog? Werkt die nog hier? Heeft die niet allang een nieuwe laptop?
3. Selecteer en disable (niet meteen delete - 30 dagen wachten geeft ruimte voor 'oh wacht, die laptop staat nog op zolder').
4. Hetzelfde voor MFA-methodes: per gebruiker (Entra > Users > Authentication methods) zie je alle telefoons en authenticator-apps. Verwijder ouwe nummers.
5. Plan deze actie elke drie maanden in. Niet jaarlijks - dan is de bult te groot.

Wanneer ons inschakelen: 
Geen idee welke apparaten 'echt' zijn? Wij kunnen samen met de owner-kolom kijken naar sign-in logs en uitzoeken wat veilig weg kan.

Question 15

We hebben nog app passwords - is dat nog veilig?

Accepted Answer

1. Inventariseer welke gebruikers app passwords gebruiken: Entra > Users > per gebruiker Authentication methods kolom, of via PowerShell-rapportage.
2. Per app password: zoek uit voor welke applicatie hij is. Vraag aan de gebruiker. Vaak is het een oude smartphone-mailapp of een legacy-tool.
3. Modern equivalent zoeken: Outlook mobile, nieuwe iOS/Android Mail-app, of de leveranciers-versie. Bijna alles ondersteunt nu OAuth.
4. Vervang en test. Pas wanneer de app werkt zonder app password, verwijder hem.
5. Schakel app passwords daarna helemaal uit (Entra admin center > Protection > Multifactor authentication > Additional cloud-based MFA settings, of via de oude MFA-portal op account.activedirectory.windowsazure.com).

Wanneer ons inschakelen: 
Heb je een legacy line-of-business app die echt geen modern auth doet? Dan is een service-account met sterke restricties veiliger dan app passwords. We kunnen meedenken.

Question 16

Welke externe apps hebben toegang tot ons Microsoft 365?

Accepted Answer

1. Entra > Enterprise applications > All applications. Hier staan alle apps waar gebruikers ooit op 'Accept' hebben geklikt.
2. Filter op 'Application type: Enterprise applications'. Microsoft-eigen apps mag je negeren. Externe apps zijn de interessante.
3. Per app: kijk welke permissions er zijn. 'Read all mail' of 'Send as user' op een app die je niet herkent is een rode vlag.
4. Apps die niemand meer gebruikt: verwijder via 'Properties > Delete'. Test eerst of niemand reageert door 'Enabled for users to sign-in' op No te zetten.
5. Stel admin-consent in voor risicovolle scopes (Entra > Consent and permissions). Dan kunnen gebruikers zelf geen mail-read scope meer goedkeuren.

Wanneer ons inschakelen: 
Apps met 'Mail.ReadWrite' of 'full_access_as_app' scopes door een onbekende leverancier: bel ons, niet zelf weghalen. Eerst checken of er actieve data-overdracht loopt voor je iets afsluit.

Question 17

Moeten wij een simulated-phishing tool gebruiken?

Accepted Answer

1. Onder 15 medewerkers: niet nodig. Een goed gesprek aan de koffietafel werkt beter en mensen voelen zich niet bekeken.
2. Boven 15: overweeg een tool zoals KnowBe4, Hoxhunt of Microsoft Attack Simulation Training (zit in Defender for Office 365 Plan 2 / M365 E5). Microsoft is geïntegreerd, dus simpelste start.
3. Communiceer vooraf: 'we gaan dit doen, niet om je te pakken'. Anders krijg je verzet en mensen die het persoonlijk opvatten.
4. Houd doelen redelijk: na drie maanden minder dan 5% klikt op simulaties. Niet 0%, dat is onhaalbaar.
5. Click-percentages publiceren als geanonimiseerde teamcijfers, niet als ranglijst. Anders krijg je rivaliteit in plaats van leren.

Wanneer ons inschakelen: 
Moeten jullie aantoonbaar 'security awareness training' kunnen laten zien voor een audit (klantcontracten, AVG-verwerkersovereenkomst)? Dan is een tool waardevol omdat je rapporten hebt. Wij helpen met de keuze.

Question 18

Hoe krijg ik link-bescherming aan in Microsoft 365?

Accepted Answer

1. Defender > Email & collaboration > Policies & rules > Safe Links. Bij Business Premium en hoger zit dit erin.
2. Maak een policy aan voor alle gebruikers. Activeer 'Action for unknown potentially malicious URLs in messages'.
3. Schakel ook 'Apply Safe Links to email messages sent within the organization' in. Phishing van een gehackt collega-account wordt zo ook gevangen.
4. Test: klik op een link uit een test-mail. URL hoort nu via safelinks.protection.outlook.com te lopen.
5. Bij gebruikersvragen 'mijn links zien er raar uit' uitleggen: dit is nu beveiligd. Niet uitzetten.

Wanneer ons inschakelen: 
Heb je geen Defender for Office 365 (zit niet in Business Standard)? Wij adviseren of het de upgrade waard is, of dat een andere oplossing past. Niet altijd noodzakelijk.

Question 19

Hoe markeer ik externe mails zodat collega's ze herkennen?

Accepted Answer

1. Exchange admin center > Mail flow > Rules > New rule.
2. Conditie: 'Sender is located' > 'Outside the organization'. Actie: 'Apply a disclaimer' > 'Prepend' met een HTML-banner. Vul 'EXTERN: deze mail komt van buiten - controleer de afzender' in.
3. Stel uitzonderingen in voor partner-domeinen waar je veel mee mailt - anders wordt iedere klant-mail van die banner voorzien en gaat het signaal verloren.
4. Test door zelf een mail vanaf een privé-Gmail naar je werkmail te sturen. Banner zichtbaar?
5. Communiceer naar collega's: 'als je deze banner ziet bij iets dat lijkt op een mail van een collega, klik niet'.

Wanneer ons inschakelen: 
Werkt mailflow-rule niet zoals verwacht of zie je hem alleen in sommige clients? Wij kunnen meekijken in Exchange Online en het netjes opzetten.

Question 20

Iemand registreert een domein dat lijkt op het onze

Accepted Answer

1. Search op je eigen merknaam: Google + 'site:' op variaties (vectel, vecte1, vectell). Vind je iets actief? Screenshot maken voor bewijs.
2. Check WHOIS-records (whois.nl, who.is) voor registratiedatum. Recent geregistreerd is verdacht.
3. Voor zakelijk hoog-risico: zet een monitoring-service op (DNSTwister, Sucuri Lookalike, of een commerciële zoals BrandShield). Stuurt een mail bij nieuw geregistreerd lookalike.
4. Waarschuw je team via Teams of mail: 'pas op voor mails van vectell.nl'. Liever vroeg dan na de eerste klik.
5. Bewaar bewijs: screenshots, WHOIS, eventuele mails. Als het ooit tot CEO-fraude leidt heeft de politie dat nodig.

Wanneer ons inschakelen: 
Domein gebruikt voor actieve oplichting (klanten ontvangen valse facturen)? Bel ons direct - we kunnen helpen met takedown-aanvraag bij de registrar en tijdelijke filterregels in jullie mailflow.

Question 21

Staat BitLocker wel aan op onze laptops?

Accepted Answer

1. Per laptop: Windows-toets > 'Manage BitLocker' typen. Zie je 'BitLocker on' bij C: drive? Klaar.
2. Voor centrale check: Microsoft Intune > Devices > Endpoint security > Disk encryption. Of Entra > Devices > BitLocker keys.
3. Niet aan? Klik 'Turn on BitLocker'. Geeft een herstelsleutel - die wordt automatisch in Entra opgeslagen als de laptop daar gekoppeld is.
4. Maakt de schijf eerst tijdens encryption merkbaar trager. Plan dit niet op een drukke werkdag.
5. Voor laptops zonder TPM-chip (oudere modellen): dit is een echte security-downgrade. Zonder TPM moet je via gpedit of Intune 'BitLocker zonder compatibele TPM toestaan' aanzetten en BitLocker vereist dan elke boot een USB-startsleutel of een wachtwoord. Werkbaar, maar de pre-boot factor is verplicht en de TPM-bescherming tegen offline brute-force ontbreekt. Voor productiehardware: vervang door een toestel met TPM 2.0.

Wanneer ons inschakelen: 
Heel het wagenpark moet aan BitLocker, allemaal tegelijk uitrollen via Intune of GPO? Niet zelf doen - één configuratiefout en je sluit gebruikers uit. Wij rollen dat gefaseerd uit met herstelsleutel-backup.

Question 22

Staat FileVault wel aan op onze Macs?

Accepted Answer

1. Op de Mac: Systeeminstellingen > Privacy en beveiliging > FileVault. Staat hij 'Aan'? Klaar.
2. Niet aan: klik 'Aanzetten'. Kiest tussen iCloud-recovery of een lokale herstelsleutel. Voor zakelijk: kies de lokale herstelsleutel en bewaar in 1Password of een veilige plek.
3. Encryption start direct, duurt 30-90 minuten op de achtergrond. Werk gewoon door.
4. Voor centraal beheer (meerdere Macs): in Apple Business Manager + MDM (Jamf, Mosyle, Intune) kan je FileVault forceren en sleutels ophalen.
5. Test door uit te loggen en weer in te loggen. Vraagt om wachtwoord? Goed.

Wanneer ons inschakelen: 
Geen MDM en meer dan 5 Macs? Lastig om centrale grip te houden. Wij helpen met basis-MDM-keuze en uitrol - hoeft niet duur.

Question 23

Hoe weet ik of antivirus op onze laptops nog actief is?

Accepted Answer

1. Op Windows: Windows Security openen (Start > 'Windows Security'). Tabblad 'Virus & threat protection' moet groen zijn. Geel of rood is onmiddellijk actie.
2. Voor centraal: Defender for Endpoint console (Microsoft 365 Defender > Endpoints > Device inventory). Per laptop zie je gezondheid en scan-historie.
3. Twee verschillende AV-producten op één laptop is een klassiek probleem - die zien elkaar als virus. Verwijder de oude (vaak een trial van Norton of McAfee).
4. Check 'Definitions' datum. Ouder dan 7 dagen is verdacht - betekent dat updates niet doorlopen.
5. Plan een fictieve test: download de EICAR-testfile (eicar.org/download-anti-malware-testfile). Een werkende AV slaat direct alarm. Geen alarm = niet werkend.

Wanneer ons inschakelen: 
Defender uitgeschakeld op meerdere laptops zonder duidelijke reden? Dat is verdacht - kan op malware wijzen die zichzelf beschermt. Bel ons voor onderzoek.

Question 24

Onze EDR-tool stuurt alerts - wat doe ik ermee?

Accepted Answer

1. Categoriseer per alert: 'Informational' (geen actie), 'Low' (later kijken), 'Medium/High' (vandaag) of 'Critical' (nu). De tool zelf classificeert al, gebruik dat.
2. Bij Medium of hoger: klik door naar de details. Welke gebruiker, welk apparaat, welk proces? Vaak zie je meteen of het herkenbaar werkverkeer is of niet.
3. Onbekend proces dat 'iets met PowerShell' deed: isoleer het apparaat (in Defender: 'Isolate device'). Niet uitzetten - blijf hem online voor onderzoek.
4. Verzamel context op een ander apparaat: heeft de gebruiker iets ongewoons gedaan? Een nieuwe tool geïnstalleerd? Vraag persoonlijk, niet via mail van het verdachte apparaat.
5. Sluit alerts niet zonder onderzoek. Beter een open alert die later 'false positive' wordt dan iets gemist.

Wanneer ons inschakelen: 
Critical alert + geen ervaring met EDR-onderzoek = bel ons direct. We kunnen mee-troubleshooten in jullie console binnen een uur. Niet zelf 'snelle conclusies' trekken.

Question 25

Hoe voorkom ik dat USB-sticks automatisch iets uitvoeren?

Accepted Answer

1. Per laptop snel: Instellingen > Bluetooth en apparaten > AutoPlay. Zet de hoofdschakelaar uit. Klaar voor die ene laptop.
2. Centraal via Intune: Devices > Configuration > Templates > Administrative Templates > 'Turn off Autoplay' op 'Enabled' voor 'All drives'.
3. Voor strikter beleid: helemaal blokkeren van USB-storage-toegang. In Intune onder 'Endpoint Security > Attack Surface Reduction'. Maakt USB-stick onbruikbaar - communiceer dit eerst.
4. Uitzonderingen: medewerkers die USB-sticks van klanten moeten lezen. Maak voor hen een uitzondering of werk met een geïsoleerde 'leestation'-laptop.
5. Test: stop een USB-stick erin. Krijg je geen autoplay-prompt meer? Werkt het.

Wanneer ons inschakelen: 
Volledige USB-blokkade op alle apparaten levert vaak verzet op (mensen willen presentaties op een stick meenemen). We adviseren een middenweg per rol.

Question 26

Iemand denkt iets verdachts te zien - wat is het stappenplan?

Accepted Answer

1. Stap 1: Niet uitzetten, niet rebooten, niet 'snel even iets proberen'. Gegevens in geheugen zijn waardevol voor onderzoek.
2. Stap 2: Maak een paar foto's of screenshots van wat je ziet. Tijd, scherm, prompts. Hoeft niet perfect.
3. Stap 3: Trek de netwerkkabel of zet Wi-Fi uit. Apparaat blijft aan, maar communiceert niet meer extern.
4. Stap 4: Bel jouw IT-aanspreekpunt of leverancier. Niet via mail vanaf het verdachte apparaat - bel via een telefoon of een ander apparaat.
5. Stap 5: Schrijf op wie wat wanneer gedaan heeft. Een eenvoudig logboek van 'om 14:32 zag X dit'. Helpt bij later onderzoek.

Wanneer ons inschakelen: 
Daadwerkelijk verdachte activiteit (vreemde processen, ransom-prompts, onbekende remote-tools) - wij komen meteen meekijken. Niet wachten tot je 'het zelf snapt'. De eerste twee uur zijn goud waard.

Question 27

Hoe isoleer ik een laptop die mogelijk besmet is?

Accepted Answer

1. Trek de UTP-kabel los, of schakel Wi-Fi uit (vliegtuigmodus is het simpelst). Niet de laptop afsluiten.
2. Heb je Defender for Endpoint of een andere EDR? Gebruik 'Isolate device' in de console. Dat blokkeert al het verkeer behalve het beheer-kanaal.
3. Plak een sticker of post-it op de laptop: 'NIET AANZETTEN, NIET INLOGGEN, IT-CONTACT'. Voorkom dat een welwillende collega 'even kijkt'.
4. Bewaar de laptop in een afsluitbare ruimte tot iemand met onderzoekservaring kan kijken. Niet thuis meenemen, niet aan een andere collega geven.
5. Documenteer wie de laptop heeft, vanaf wanneer, met serienummer. Bewaar het document op een ander apparaat.

Wanneer ons inschakelen: 
Bij vermoeden van actieve aanval (data-exfiltratie, ransomware): bel ons direct - niet eerst zelf onderzoeken. Tijd is het verschil tussen één laptop en het hele netwerk.

Question 28

Hoe bewaar ik logs voordat ik een verdacht apparaat opnieuw opstart?

Accepted Answer

1. Maak schermfoto's met je telefoon van wat je ziet: openstaande processen (Task Manager > Details), netwerkverbindingen, ongebruikelijke prompts.
2. Open Event Viewer (Windows-toets + 'Event Viewer'). Onder 'Windows Logs' > Security en System: exporteer beide naar een .evtx-bestand op een externe USB. Niet op het apparaat zelf.
3. Voor netwerkverbindingen: open een PowerShell als admin en run 'Get-NetTCPConnection' en 'netstat -ano' - kopieer de output.
4. Heb je tijd voor meer? Microsoft heeft een gratis tool 'Process Explorer' (Sysinternals) die meer detail geeft. Niet installeren als het apparaat al verdacht is - draai vanaf USB.
5. Pas dan, als je voldoende hebt: rebooten (of beter, isoleren - reboot is meestal niet de juiste eerste stap).

Wanneer ons inschakelen: 
Forensisch onderzoek is een vak. Voor een echte breach (fraude-bedrag, exfil van klantdata): wij werken samen met digitaal-forensische specialisten. Gewone IT-mensen kunnen daarmee bewijs vernietigen zonder het te weten.

Question 29

Welk wachtwoord wijzig ik eerst na een mogelijk lek?

Accepted Answer

1. Eerste: het Microsoft 365-account van de verdachte gebruiker. Daarmee blokkeer je de hoofdtoegang tot mail en SharePoint.
2. Tweede: gedeelde accounts en service-accounts die bij die persoon bekend zijn (admin-account voor de website, hosting-paneel, banking).
3. Derde: alles wat aan dat M365-account hing via SSO. Tools die OAuth gebruikten zijn ge-revoked als je sessies revoked, maar tools met losse logins (Hubspot, Trello, klant-portalen) niet automatisch.
4. Vierde: persoonlijke wachtwoorden van die gebruiker als zij dezelfde gebruikten. Vraag eerlijk: 'gebruikte je dit wachtwoord ook ergens privé?'.
5. Documenteer wat je hebt gewijzigd en wanneer. Niet alles mondeling. Een breach-incident kan maanden naspelen.

Wanneer ons inschakelen: 
Bij vermoeden dat de aanvaller al binnen een ander account zit: niet alleen wachtwoorden draaien - je moet ook sessies revoken en onderzoek doen. Wij helpen met de orde van operaties.

Question 30

Hoe communiceer ik een incident naar mijn team zonder paniek?

Accepted Answer

1. Eerlijk maar zonder details. 'Er is een mogelijk security-incident, we onderzoeken het. Ik laat tegen einde van de dag weten wat we weten.' Dat is genoeg.
2. Geef concrete acties: 'Voorlopig wachtwoord wijzigen, MFA opnieuw uitvoeren als gevraagd. Klik niet op nieuwe links totdat we groen licht geven.'
3. Eén vast aanspreekpunt aanwijzen voor vragen. Voorkomt dat 'ik heb gehoord van een collega' rondes ontstaan.
4. Update minimaal één keer per dag tot het is opgelost. Stilte = mensen verzinnen verhalen.
5. Bij afronding: korte uitleg wat er gebeurd is, wat we eraan hebben gedaan, en welke les we eruit trekken. Voorkomt herhaling.

Wanneer ons inschakelen: 
Bij grotere incidenten met klantcommunicatie of mogelijke meldplicht: niet zelf eerst de mail aan klanten schrijven. Wij helpen met formuleringen die juridisch en empathisch tegelijk werken.

Question 31

Wanneer moet ik een datalek melden bij de Autoriteit Persoonsgegevens?

Accepted Answer

1. Stap 1 - eerste 24 uur: bepaal of er persoonsgegevens zijn betrokken (namen, mailadressen, BSN, klantgegevens). Geen persoonsgegevens = geen AP-melding nodig.
2. Stap 2: bepaal het risico. Mailadres van een klant uitgelekt is iets anders dan medische gegevens of BSN. Bij twijfel: melden, niet niet-melden.
3. Stap 3: documenteer. Wat is er gebeurd, wanneer ontdekt, hoeveel betrokkenen, wat zijn de mogelijke gevolgen. Dit moet je sowieso bewaren in je interne datalek-register, ook bij niet-melden.
4. Stap 4: meld via autoriteitpersoonsgegevens.nl > 'Datalek melden'. Online formulier, ongeveer 30 minuten.
5. Stap 5: bepaal of je betrokkenen ook zelf moet informeren (verplicht bij hoog risico). Mail of brief - niet via een sociale-media-post.

Wanneer ons inschakelen: 
Twijfel je over melden of over de communicatie naar betrokkenen? Bel ons, we werken samen met een AVG-jurist voor de moeilijke gevallen. 72 uur is kort, niet uitstellen.

Question 32

Wat zet ik in een AP-melding van een datalek?

Accepted Answer

1. Aard van het lek: technisch (hack, malware), menselijk (verkeerde mail), fysiek (laptop kwijt). Wees feitelijk - niet 'we werden aangevallen door staatshackers'.
2. Aantal betrokkenen: schat een orde van grootte. 'Onbekend, naar schatting tussen 50 en 500'. Niet dramatiseren, niet bagatelliseren.
3. Type gegevens: lijst de categorieën. 'Naam, e-mailadres, telefoonnummer'. Bij gevoelige categorieën (gezondheid, financieel, BSN) extra benoemen.
4. Mogelijke gevolgen voor betrokkenen: identiteitsdiefstal, financieel nadeel, reputatieschade. Wees realistisch.
5. Maatregelen die je hebt genomen of gaat nemen: technisch (wachtwoord-rotatie, MFA forceren), procedureel (training), communicatie (mail aan betrokkenen).

Wanneer ons inschakelen: 
Voor een zwaardere melding (medische gegevens, kinderen, grote aantallen): laat een AVG-deskundige meelezen. Wij hebben een vaste partner; één avond werk en het scheelt later veel gedoe.

Question 33

Telt dit eigenlijk als een datalek?

Accepted Answer

1. Definitie: een inbreuk op de beveiliging die per ongeluk of opzettelijk leidt tot vernietiging, verlies, wijziging, ongewenste verstrekking van of toegang tot persoonsgegevens.
2. Voorbeelden die wel tellen: laptop verloren, mail naar verkeerde ontvanger met klantdata, gehackt account, ransomware op een fileserver met persoonsgegevens.
3. Voorbeelden die meestal niet tellen: een collega ziet per ongeluk een open mail van een collega, of een papier waait weg dat geen persoonsgegevens bevat.
4. Twijfelgevallen: een back-up tape kwijt waarvan je weet dat hij encrypted is. Geen risico = vaak geen meldingsplicht, wel registeren.
5. Sla het altijd op in je interne datalek-register. Ook 'kleine' lekken. AP kan dat opvragen bij een audit.

Wanneer ons inschakelen: 
Niet zeker of een specifiek geval telt? Niet gokken. Wij hebben een vaste AVG-jurist die kort kan meekijken tegen een schappelijk tarief. Veel goedkoper dan een boete.

Question 34

Welke leveranciers hebben nog toegang tot onze systemen?

Accepted Answer

1. Microsoft 365 admin: Active Users > filter op 'Guests'. Loop de lijst door. Past elke gast nog bij een actieve samenwerking?
2. Entra > External Identities > Cross-tenant access settings: zie je gastaccounts uit andere tenants. Verwijder wat oud is.
3. Voor leveranciers met losse logins (geen M365-gast): houd een eenvoudige lijst bij in een Excel of Notion - leverancier, contactpersoon, type toegang, einddatum samenwerking.
4. Per leverancier: check of zij MFA gebruiken. Vraag het direct: 'gebruiken jullie MFA op het account waarmee je in onze systemen werkt?'. Geen antwoord = risico.
5. Plan deze audit twee keer per jaar in. Niet langer wachten, dan zijn de bouwlagen te dik.

Wanneer ons inschakelen: 
Veel leveranciers, geen overzicht? Wij maken een leveranciers-toegangsregister samen met je tijdens een halve dag. Het kost minder dan een audit-boete.

Question 35

Bij de receptie hangen mensen USB-sticks aan de balie-pc

Accepted Answer

1. Inventariseer welke pcs publiek toegankelijk zijn. Receptie, vergaderzalen, gedeelde printers met touchscreen.
2. Schakel via Intune of GPO de USB Mass Storage class uit op die specifieke groep apparaten. Toetsenbord en muis blijven werken.
3. Voor toestellen waar bezoekers wel iets moeten kunnen aanleveren (bv. drukker met PDFs): zet er een aparte transfer-pc neer die niet in het bedrijfsdomein zit, met antivirus en netwerk-isolatie.
4. Dek ongebruikte USB-poorten fysiek af met een poort-blocker als de software-route niet kan. Goedkoop, en haalt het impulsgedrag eruit.
5. Communiceer naar receptie wat ze moeten doen als iemand toch een stick aanbiedt. Beleefd weigeren, mailen kan ook.

Wanneer ons inschakelen: 
Wij kunnen helpen met de Intune-policy en een transfer-pc opzetten als losse SKU. Receptie-pc met aparte VLAN, antivirus, en automatische reset na elke sessie.

Question 36

Een USB-stick lag op de parkeerplaats, mag iemand hem inplakken?

Accepted Answer

1. Niet inpluggen op een werk-laptop. Punt. Niet 'even kijken wat erop staat' op een eigen laptop ook.
2. Bewaar de stick in een afgesloten zakje. Niet weggooien - kan bewijs zijn.
3. Maak melding bij IT of leidinggevende. Schrijf op: waar lag de stick, wanneer gevonden, wie vond hem.
4. Heeft iemand hem al ingeplugd? Volg dan de 'verdachte USB' procedure: laptop offline, Defender Full Scan, eventueel isoleren.
5. Train je team: 'gevonden USB = afgeven, niet aansluiten'. Een paar minuten in een teamoverleg is genoeg.

Wanneer ons inschakelen: 
Stick is al ingeplugd én bestanden geopend? Bel ons. We willen dan de laptop in de eerste 24 uur grondig bekijken. Vroege detectie maakt veel verschil.

Question 37

Iemand belde alsof het de directeur was - met haar stem

Accepted Answer

1. Eerste reactie: niets doen wat geld kost of toegang verleent. Hangup of zeg 'ik bel je terug'.
2. Bel terug op het telefoonnummer dat je kent uit je eigen contacten - niet het nummer waar zij/hij vanaf belde. Vaak verschijnt het naam wel, maar dat kan vervalst zijn.
3. Stel een controlevraag die alleen de echte persoon kan beantwoorden. Niet 'wat is je geboortedatum' (staat in LinkedIn) - wel 'wat aten we vorige week op de teamlunch'.
4. Bij vermoeden van fraude: meld het bij collega's via Teams of mail (vanuit een veilig kanaal). Niet wachten met 'misschien was het echt' - liever achteraf gerust dan halverwege overgemaakt geld.
5. Schrijf het scenario uit voor je team: 'als iemand belt en zegt dat ik geld moet overmaken, doe dit'. Vier regels, op een interne wiki.

Wanneer ons inschakelen: 
Een echte poging tot CEO-fraude (verzoek om spoed-overboeking, dringende toon, ongebruikelijk kanaal) - bel ons direct, ook als er nog niets gebeurd is. We helpen met aangifte bij de politie en mogelijk takedown van het nummer.

Question 38

Medewerkers gebruiken privé-laptops, we willen geen volledige MDM

Accepted Answer

1. Entra > Conditional Access > nieuwe policy voor mobiele apps en desktop
2. Sessie: app-enforced restrictions, geen download buiten beheerde context
3. iOS/Android: Intune App Protection Policy, geen MDM-enroll vereist
4. Test met één tester voordat je breed uitrolt

Wanneer ons inschakelen: 
Twijfel over de scope of compliance-eisen, laat ons meekijken voor uitrol.

Question 39

We willen logins vanuit het buitenland blokkeren of extra checken

Accepted Answer

1. Entra > Security > Conditional Access > Named locations
2. Trusted: kantoor-IPs en VPN-uitgang
3. Country: alleen NL/BE/DE als jullie nooit elders werken
4. Policy: block of MFA-eis op alles buiten trusted/country

Wanneer ons inschakelen: 
Reizende collega's of remote-team, kom langs voor uitzonderingen.

Question 40

We willen automatisch reageren op verdachte logins

Accepted Answer

1. Entra > Identity Protection > Sign-in risk policy
2. Medium en hoger: MFA verplichten
3. User risk policy: high risk = password change verplicht
4. Eerst report-only mode, een week kijken, dan enforcement

Wanneer ons inschakelen: 
Vereist Entra ID P2-licentie, twijfel over licentie-mix bel ons.

Question 41

We willen af van wachtwoorden, of beginnen met passwordless

Accepted Answer

1. Entra > Authentication methods > FIDO2 security key inschakelen
2. Pilot: 2 sleutels per gebruiker, één in kluis
3. Windows Hello uitrollen via Intune voor company-devices
4. Wachtwoord pas verwijderen als FIDO2 stabiel werkt voor 100% taken

Wanneer ons inschakelen: 
Inkoop sleutels en uitrolplan, dat regelen we samen.

Question 42

Microsoft pusht passkey in Authenticator, moeten we mee?

Accepted Answer

1. Entra > Authentication methods > Passkey (Microsoft Authenticator) aan
2. Communiceer naar gebruikers wat ze in de app moeten doen
3. Push-MFA optioneel uitfaseren na 4 weken adoptie
4. Admins als eerste over, daarna pilot-groep, dan rest

Wanneer ons inschakelen: 
Mix met FIDO2-keys of legacy MFA, even sparren.

Question 43

Wat als alle admins zijn buitengesloten of MFA-systeem ligt plat?

Accepted Answer

1. Maak 1 cloud-only account, niet gekoppeld aan een persoon
2. Wachtwoord 64+ tekens, opgesplitst tussen 2 mensen in fysieke kluis
3. Uitsluiten van alle Conditional Access-policies
4. Alert op elke sign-in via Entra of SIEM

Wanneer ons inschakelen: 
Als jullie nog geen break-glass hebben, regel dit deze week.

Question 44

Te veel mensen permanent global admin

Accepted Answer

1. Entra > PIM > rol Global Admin op eligible zetten ipv active
2. Activatie-vereisten: MFA, motivering, max 4 uur
3. Approver instellen voor gevoelige rollen
4. Audit-log review elke maand

Wanneer ons inschakelen: 
Vereist Entra ID P2, eerste opzet doen we samen.

Question 45

We hebben honderden gasten in de tenant, niemand weet wie nog actief is

Accepted Answer

1. Entra > Identity Governance > Access Reviews
2. Review op alle guests, kwartaalfrequentie
3. Reviewer: de uitnodiger, fallback owner van de tenant
4. Auto-apply: verwijder als geen reactie binnen 14 dagen

Wanneer ons inschakelen: 
Eerst opschonen, dan governance instellen, dat doen we in 2 sessies.

Question 46

Een gebruiker heeft een verdachte app toegestaan op het account

Accepted Answer

1. Entra > Enterprise applications > vind de app, properties bekijken
2. User > Applications > consent intrekken
3. Refresh tokens revoke voor de gebruiker
4. Mail-regels en doorstuur-regels controleren, vaak misbruikt

Wanneer ons inschakelen: 
Bij twijfel over wat de app heeft gedaan, bel ons direct.

Question 47

Gebruikers kunnen zelf apps toestaan op M365-data

Accepted Answer

1. Entra > Consent and permissions > User consent: Do not allow
2. Admin consent requests: enable, kies reviewers
3. Documenteer welke apps standaard goedgekeurd zijn
4. Communicatie naar gebruikers, anders vragen ze zich blauw

Wanneer ons inschakelen: 
Bij veel SaaS-gebruik, eerst inventariseren wat al draait.

Question 48

We willen Office-macro-aanvallen en ransomware-kettingen blokkeren

Accepted Answer

1. Defender > Endpoints > ASR > rules op audit zetten
2. Een week verzamelen, false positives identificeren
3. Block-modus voor de standaard-set: 7 rules zonder veel impact
4. Uitzonderingen per pad, niet per executable

Wanneer ons inschakelen: 
Lijst kritieke rules verschilt per branche, sparren kan.

Question 49

We willen ransomware-bescherming voor Documenten en Bureaublad

Accepted Answer

1. Defender > Ransomware protection > Controlled folder access
2. Audit-modus eerst, kijk wat er allemaal schrijft
3. Eigen apps toevoegen aan allow-list
4. Block-modus en ondersteun gebruikers bij allow-requests

Wanneer ons inschakelen: 
Veel maatwerk-apps, helpen we met de allow-list.

Question 50

Gebruikers downloaden van alles, hoe houd ik onbekende exe's tegen?

Accepted Answer

1. Check Windows Security > App & browser control > Smart App Control
2. Status moet 'Evaluation' of 'On' zijn na clean install
3. Bij Off: alleen via reset terug aan, dat is een keuze
4. Combineer met SmartScreen voor browser-downloads

Wanneer ons inschakelen: 
Bij maatwerk-software die niet gesigneerd is, andere route.

Question 51

Windows Security meldt dat Memory Integrity uit staat

Accepted Answer

1. Windows Security > Device security > Core isolation
2. Memory integrity aan, herstart
3. Bij conflict: foutmelding noemt de driver, update of vervangen
4. Intune-policy om te enforced'en op fleet

Wanneer ons inschakelen: 
Bij oude bedrijfsdriver die HVCI breekt, beoordelen we samen.

Question 52

We willen risicovolle categorieën websites blokkeren zonder aparte proxy

Accepted Answer

1. Defender portal > Endpoints > Web content filtering
2. Categorieën kiezen, scope op device-groep
3. Tunable per groep, geen one-size-fits-all
4. Reports in Defender, niet in Edge zelf

Wanneer ons inschakelen: 
Concurrent met DNS-filter (NextDNS, Cloudflare), kies één hoofdtool.

Question 53

We willen lezen van USB toestaan, schrijven blokkeren

Accepted Answer

1. Intune > Endpoint security > Attack surface reduction > Device control
2. Removable storage policy: write deny, read allow
3. Approved USB-IDs op allow-list voor specifieke teams
4. Audit-log naar Defender voor afwijkingen

Wanneer ons inschakelen: 
Workflows waar schrijven nodig is, lossen we per uitzondering op.

Question 54

We willen impersonation van directie en domein blokkeren

Accepted Answer

1. Defender > Email & collaboration > Policies > Anti-phishing
2. Mailbox intelligence aan
3. Impersonation: directieleden expliciet beschermen
4. Spoof-mailtje: quarantine ipv junk

Wanneer ons inschakelen: 
False positives bij externe partners, allow-list bouwen we samen.

Question 55

Bijlagen vertragen mailbezorging door Safe Attachments-scan

Accepted Answer

1. Defender > Policies > Safe Attachments
2. Action: Dynamic Delivery
3. Redirect blocked attachments naar mailbox van security-team
4. Test met EICAR-bijlage of veilig sample

Wanneer ons inschakelen: 
Workflow met automation op bijlagen, dynamic delivery breekt soms.

Question 56

Gebruikers vragen continu of mail in quarantine echt phishing was

Accepted Answer

1. Defender > Email & collaboration > Quarantine policies
2. Spam: end-user release toestaan
3. Phish/malware: admin-only release
4. Quarantine notification dagelijks ipv per mail

Wanneer ons inschakelen: 
Fout-balans afstellen op jullie volume, doen we samen.

Question 57

Hoe melden gebruikers verdachte mail terug aan Defender?

Accepted Answer

1. Defender > Policies > User reported settings
2. Reporting mailbox instellen, ook Microsoft
3. Outlook: Built-in Report-knop activeren via mailtoetsen
4. Submissions-portal weekly checken

Wanneer ons inschakelen: 
Eigen reporting-tool gebruiken, integratie kan via header.

Question 58

We hebben geen idee welke SaaS-tools collega's gebruiken

Accepted Answer

1. Defender for Cloud Apps > Cloud Discovery
2. Log-uploader of integratie met Defender for Endpoint
3. Eerste rapport binnen 48 uur
4. Sanctioned/unsanctioned tagging op basis van risico

Wanneer ons inschakelen: 
Bij bevindingen die echt afgesneden moeten worden, blokkeren via DNS of policy.

Question 59

Iemand downloadt opeens 5GB van SharePoint, normaal of niet?

Accepted Answer

1. Defender for Cloud Apps > Policies > Anomaly detection
2. Mass download: drempel afstemmen op normaal gebruik
3. Auto-actie: account suspenderen bij high severity
4. Alert-receiver: SOC of IT-mailbox

Wanneer ons inschakelen: 
Bij echt incident: account suspenderen, dan onderzoek.

Question 60

Sensitivity-labels of DLP, wat past bij ons?

Accepted Answer

1. Begin met labels: Public, Intern, Vertrouwelijk
2. Auto-label op basis van kernpatronen (BSN, contractnummers)
3. DLP-policy: blokkeer extern delen van Vertrouwelijk-label
4. Pilot in 1 afdeling voor 4 weken

Wanneer ons inschakelen: 
Bij sectorale compliance (NEN 7510, ISO), regel labels-mapping samen.

Question 61

Onze sector valt onder NIS2, wat moet het bestuur doen?

Accepted Answer

1. Bepaal of jullie essential of important entity zijn
2. Risico-analyse op bestuursniveau, jaarlijks
3. Bestuurstraining cyberrisico, vastleggen
4. Incident-meldplicht binnen 24 uur naar CSIRT (DTC of NCSC)

Wanneer ons inschakelen: 
Compliance-traject opzetten, doen we met juridisch erbij.

Question 62

We willen een keer oefenen wat we doen bij een ransomware-aanval

Accepted Answer

1. Scenario: bv. financieel-systeem versleuteld op vrijdagmiddag
2. Deelnemers: directie, IT, communicatie, juridisch
3. Facilitator stuurt incidenten in fases
4. Eindverslag met 5-10 actiepunten en deadlines

Wanneer ons inschakelen: 
Wij faciliteren als het te dichtbij is om zelf te leiden.

Question 63

Hoe weet ik of onze leveranciers goed beveiligd zijn?

Accepted Answer

1. Inventariseer top-10 leveranciers naar data-toegang
2. Stuur korte questionnaire: certificering, MFA, incident-historie
3. Externe rating opvragen of zelf abonnement
4. Onvoldoende score = SLA-aanpassing of vervanging

Wanneer ons inschakelen: 
Bij twijfel over een specifieke leverancier, pakken we dat samen op.

Question 64

Wat zijn 'passende technische maatregelen' onder AVG art. 32?

Accepted Answer

1. Encryptie-at-rest en in-transit voor persoonsgegevens
2. MFA op alle accounts met persoonsgegevens-toegang
3. Backup met getest restore-proces
4. Document de overwegingen, AP vraagt erom bij incident

Wanneer ons inschakelen: 
Bij twijfel of jullie 'passend' zijn, externe audit-light.

Beveiliging