Stop met de jacht op 100%: waarom je mythe over de Microsoft Secure Score dood moet

By Mirko Peters · 2026-08-22

Welkom terug op de blog! Als je een Microsoft 365-tenant beheert, ken je bijna zeker dat knagende gevoel van onrust wanneer je het Microsoft Defender-portaal opent. Je navigeert naar de sectie Exposure Management, kijkt naar de Microsoft Secure Score van je organisatie en voelt meteen een golf van paniek. Is 42% slecht? Moeten we aan het eind van het kwartaal op 90% zitten? Waarom heeft Bob van IT

Automatically translated with AI from the original post. Read the English original

Welkom terug op de blog! Als je een Microsoft 365-tenant beheert, ken je bijna zeker dat knagende gevoel van onrust wanneer je het Microsoft Defender-portaal opent. Je navigeert naar de sectie Exposure Management, kijkt naar de Microsoft Secure Score van je organisatie en voelt meteen een golf van paniek. Is 42% slecht? Moeten we aan het eind van het kwartaal op 90% zitten? Waarom heeft Bob van IT die resterende aanbevelingen nog niet opgelost door op de knop te klikken? Laten we eerlijk zijn: veel IT-beheerders en security-verantwoordelijken trappen in de gevaarlijke val om de Secure Score te behandelen als een schoolcijfer. We gaan ervan uit dat alles wat lager is dan een negen betekent dat ons netwerk kwetsbaar is, onze banen op het spel staan en hackers actief onze verdediging omzeilen.

Deze mindset is niet alleen onjuist; ze kan de operationele efficiëntie en de beveiligingspositie van je organisatie actief schaden. In deze post gaan we de mythe van de perfecte Secure Score van 100% ontkrachten, uitleggen hoe de berekening werkelijk werkt, de kernpijlers bespreken en laten zien hoe je dit hulpmiddel gebruikt als praktische routekaart in plaats van als ijdelheidsmetriek. Wil je dieper ingaan op dit onderwerp en een uitleg van de kernconcepten horen? Luister dan naar de bijbehorende podcastaflevering, Microsoft Secure Score - Simply Explained.

Wat is Microsoft Secure Score eigenlijk?

Om te begrijpen waarom het najagen van een score van 100% een zinloze onderneming is, moeten we eerst definiëren wat Microsoft Secure Score precies is. Te veel mensen behandelen het als een kwetsbaarheidsscanner of een geautomatiseerde penetratietest. Dat is het niet. Secure Score is in essentie een meetinstrument voor configuratie dat evalueert hoeveel van de aanbevolen beveiligingsmaatregelen van Microsoft zijn ingeschakeld binnen je Microsoft 365-tenant. Het kijkt naar je instellingen, niet naar echte dreigingen.

Zie het als een interactieve, slimme checklist die is afgestemd op jouw specifieke Microsoft-licentieomgeving. Het beantwoordt fundamentele vragen over architectuur en governance, zoals of Multi-Factor Authentication wereldwijd wordt afgedwongen, of verouderde authenticatieprotocollen zijn geblokkeerd en of beveiligingsbeleid actief is voor je gebruikers en apparaten. Het biedt een continu bijgewerkt beeld van de staat van je beveiligingsconfiguratie en fungeert als een uitgangsmeting, geen garantie dat je nooit een cyberincident zult meemaken.

Hoe Secure Score daadwerkelijk wordt berekend

Inzicht in de wiskunde achter Secure Score helpt begrijpen waarom de cijfers schommelen en waarom perfectie zelden haalbaar is. De onderliggende formule is eenvoudig: behaalde punten gedeeld door het totaal aantal beschikbare punten is je Secure Score-percentage. De manier waarop punten worden toegekend, verschilt echter per type aanbeveling.

Organisaties verdienen punten via twee hoofdmechanismen:

• Binaire maatregelen: Dit zijn alles-of-niets-aanbevelingen. Het blokkeren van verouderde authenticatie of het afdwingen van de standaard beveiligingsinstellingen gebeurt bijvoorbeeld wel of niet. Als de maatregel volledig is ingeschakeld, krijg je alle beschikbare punten. Blijft hij uitgeschakeld, dan krijg je nul punten.
• Proportionele maatregelen: Deze aanbevelingen kennen gedeeltelijke punten toe op basis van het gebruik. Als BitLocker-versleuteling bijvoorbeeld is uitgerold en actief is op 80% van je beheerde apparaten, kent Secure Score ongeveer 80% van de beschikbare punten voor die specifieke maatregel toe. Dit mechanisme laat organisaties incrementele voortgang zien terwijl ze beveiligingsbeleid uitrollen over grote gebruikersgroepen of apparaatparken.

Waarom een score van 100% een mythe is

Hier is de harde waarheid die elke IT-directeur moet horen: als je organisatie een Secure Score van 100% heeft, doe je waarschijnlijk iets verkeerd, of werk je in een bizar eenvoudige, homogene omgeving. Microsoft zelf verwacht niet dat organisaties 100% halen. Een perfecte score over de hele linie is voor de overgrote meerderheid van moderne ondernemingen praktisch onmogelijk, door verschillende onvermijdelijke factoren.

Ten eerste spelen licentievoorwaarden een grote rol. Veel geavanceerde beveiligingsaanbevelingen vereisen specifieke licentieniveaus, zoals Microsoft 365 E5, of speciale add-ons. Als je organisatie voornamelijk op Business Standard- of E3-abonnementen draait, blijven bepaalde aanbevelingen met een hoge waarde permanent buiten bereik, waardoor je maximale score wordt beperkt.

Ten tweede botsen zakelijke eisen vaak met strikte beveiligingsconfiguraties. Je hebt misschien oudere line-of-business-applicaties die op verouderde protocollen draaien, of externe partnereisen die het inschakelen van bepaalde basisbeleidsregels onmogelijk maken. Bovendien betekenen geaccepteerde zakelijke risico's en operationele complexiteit dat het blindelings aanvinken van elk vakje de productiviteit kan verstoren en eindgebruikers frustreren. Een gezonde organisatie vindt een balans tussen beveiliging en gebruiksgemak, en dat leidt er vanzelf toe dat er gaten ontstaan in je Secure Score.

De vier pijlers van Secure Score

Om je beveiligingspositie effectief te beheren, groepeert Microsoft de Secure Score-aanbevelingen in vier hoofdpijlers. Als je deze categorieën begrijpt, kunnen beveiligingsteams hun inspanningen prioriteren waar ze er het meest toe doen.

Identiteit

Identiteit blijft de perimeter in moderne cloudarchitectuur. Deze pijler richt zich sterk op Multi-Factor Authentication (MFA), Conditional Access-beleid, sterke wachtwoordbeschermingsregels en het volledig uitschakelen van verouderde verificatie. Omdat gecompromitteerde inloggegevens de meest voorkomende aanvalsvector zijn voor kwaadwillenden, weegt deze categorie meestal zwaar mee in je totale score.

Apparaten

Endpointbeveiliging is cruciaal nu werknemers steeds meer verspreid werken. Aanbevelingen voor apparaten gaan over het configureren van Microsoft Defender Antivirus, het inschakelen van Attack Surface Reduction (ASR)-regels, het afdwingen van BitLocker-versleuteling en het activeren van Tamper Protection. Dat voorkomt dat lokale gebruikers of kwaadaardige scripts beveiligingsfuncties uitschakelen op bedrijfslaptops en werkstations.

Gegevens

Gegevensbeheer wordt vaak pas belangrijk nadat er een datalek is geweest. Deze pijler draait om vertrouwelijkheidslabels, Data Loss Prevention (DLP)-beleid, geautomatiseerde versleuteling en de compliancefuncties van Microsoft Purview. Deze maatregelen helpen organisaties om gevoelig bedrijfseigendom en persoonsgegevens te classificeren, te beschermen en te volgen.

Apps

Beveiliging van cloudapplicaties beoordeelt app-governance, machtigingen van applicaties van derden, OAuth-toestemmingsbeleid en het gebruik van shadow IT. Omdat gebruikers third-party productiviteitstools vrijelijk koppelen aan hun M365-accounts, is het essentieel om toezicht te houden op applicatiemachtigingen om ongeautoriseerde toegang tot gegevens te voorkomen.

Veelvoorkomende misverstanden over M365-beveiligingsmetrics

Misverstanden over beveiligingsmetrics kunnen leiden tot slechte beslissingen en onterechte verwijten. Laten we een paar veelvoorkomende mythes uit de wereld helpen:

Mythe 1: Een hoge score betekent dat je onkraakbaar bent. Absoluut niet. Een hoge Secure Score betekent dat je configuratie aansluit op de best practices van Microsoft. Het beschermt je niet tegen geavanceerde zero-day-exploits, insider threats of medewerkers die slachtoffer worden van geraffineerde phishingcampagnes.

Mythe 2: Een lage score betekent dat je organisatie incompetent is. Veel organisaties die prima beveiligd zijn, scoren tussen 70% en 85%, terwijl kleine bedrijven die net beginnen vaak rond de 30% tot 45% zitten. Context doet er enorm veel toe.

Mythe 3: Je moet elke aanbeveling tot in detail implementeren. Zoals besproken, breken sommige aanbevelingen bestaande werkprocessen, vereisen ze licenties die je niet hebt of gaan ze in tegen het bedrijfsbeleid. Het documenteren van deze uitzonderingen is een normaal onderdeel van IT-beheer.

Secure Score gebruiken als praktische routekaart

In plaats van Secure Score te zien als een intimiderend rapportcijfer, gebruiken succesvolle beheerders het als een geprioriteerde werkwachtrij. Het gedeelte Aanbevolen acties in het Microsoft Defender-portaal biedt waardevolle technische details, waaronder de potentiële beveiligingsimpact, de vereiste configuratiestappen en directe links naar de exacte beheerpagina's in het beheercentrum.

Belangrijk is dat Microsoft beheerders toestaat de status van aanbevelingen te wijzigen. Als een bepaald besturingselement niet van toepassing is op jullie bedrijfsmodel, kun je het markeren als Risk Accepted of Resolved through Alternative Mitigation. Dat heeft twee effecten: het verwijdert de negatieve invloed op je score, en het legt permanent vast waarom een bepaalde beslissing is genomen. Deze documentatie is van onschatbare waarde voor toekomstige IT-medewerkers, interne auditors en verzekeraars van cyberbeveiliging.

Secure Score integreren in je bredere beveiligingsstrategie

Het is belangrijk om te onthouden dat Secure Score slechts één stukje van een complexe beveiligingspuzzel is. Het meet de naleving van statische configuraties, maar het vervangt geen actieve threat hunting en realtime monitoringoplossingen. Secure Score werkt het best in combinatie met geavanceerde telemetrietools zoals Microsoft Defender XDR, Microsoft Sentinel en Microsoft Entra ID Protection.

Secure Score zorgt ervoor dat je deuren en ramen de juiste sloten hebben, terwijl tools zoals Defender for Endpoint en Microsoft Purview uitkijken naar daadwerkelijke inbraakpogingen en verdacht gedrag binnen je perimeter in de gaten houden. Echte cyberbeveiliging vraagt om een holistische aanpak, met continue monitoring, beveiligingsbewustzijnstraining voor gebruikers, consequent patchbeheer en een veerkrachtig operationeel beleid.

Conclusie: focus op zinvolle verbeteringen in plaats van schijnbare statistieken

Uiteindelijk is je belangrijkste doel als IT-professional niet het behalen van een glanzende 100% op een Microsoft-dashboard. Je doel is het beschermen van de gegevens van je organisatie, het beveiligen van gebruikersidentiteiten, het waarborgen van operationele veerkracht en het mogelijk maken van zakelijke productiviteit zonder onnodige wrijving. Jagen op willekeurige schijnstatistieken leidt vaak tot overhaaste implementaties, verstoorde gebruikersprocessen en uitgeputte IT-teams.

In plaats van je druk te maken over elk ontbrekend procentpunt, richt je op continue, incrementele verbeteringen die je beveiligingspositie echt versterken. Pak eerst de identiteits- en apparaatbesturingselementen met de meeste impact aan, documenteer je zakelijke uitzonderingen zorgvuldig en gebruik Secure Score als leidraad en niet als baas.

Wil je een diepgaander, praktisch gesprek over dit onderwerp, compleet met praktijkadvies voor beheerders en architectuurinzichten? Luister dan zeker naar de bijbehorende podcastaflevering: Microsoft Secure Score - Simply Explained. Tot de volgende keer: houd je tenants veilig en je workflows soepel!