Shadow IT opsporen in je Microsoft 365-tenant

By Mirko Peters · 2026-08-11

Welkom terug bij de podcast en bij onze verdiepende blog! Als je ooit hebt afgevraagd wat er echt onder het oppervlak van je Microsoft 365-omgeving gebeurt, dan ben je niet alleen. Veel organisaties gaan ervan uit dat alles netjes, overzichtelijk en veilig is omdat ze in de cloud werken. Helaas lijkt de realiteit van moderne samenwerking in bedrijven vaak meer op een digitaal Wild West. Medewerker

Automatically translated with AI from the original post. Read the English original

Welkom terug bij de podcast en bij onze verdiepende blog! Als je ooit hebt afgevraagd wat er echt onder het oppervlak van je Microsoft 365-omgeving gebeurt, dan ben je niet alleen. Veel organisaties gaan ervan uit dat alles netjes, overzichtelijk en veilig is omdat ze in de cloud werken. Helaas lijkt de realiteit van moderne samenwerking in bedrijven vaak meer op een digitaal Wild West. Medewerkers willen snel dingen afkrijgen en koppelen daarbij externe tools, delen links breed rond en verlenen machtigingen die ze niet zouden moeten geven. Dat zorgt voor grote blinde vlekken in het zicht en stelt gevoelige bedrijfsgegevens bloot aan onbekende dreigingen.

Vandaag bouwen we verder op onze recente gesprekken over het beveiligen van je moderne werkomgeving. Heb je de bijbehorende aflevering nog niet beluisterd? Bekijk dan zeker Connect Internal Data to Microsoft 365 Copilot Safely, waarin we uitleggen hoe niet-beheerde data en onzichtbare apps van derden je geweldige AI-uitrol kunnen veranderen in een beveiligingsnachtmerrie. In deze post lopen we stap voor stap een praktisch draaiboek door om onbekende apps op te sporen, riskante OAuth-scopes aan te pakken, door gasten geïnstalleerde connectors te beheersen en een overzichtelijke reviewlus op te zetten met Microsoft-eigen tools.

Hoe chaos eruitziet

Om een probleem op te lossen, moet je het recht in de ogen kijken. Wanneer wij Microsoft 365-tenants controleren, treffen we zelden een brandschoon ecosysteem aan. We zien meestal een specifieke mix van digitale chaos die zich in de loop van maanden en jaren vanzelf opstapelt. Zo ziet die chaos er in de praktijk uit:

• Verrassende Teams-bots en Power Automate-connectors die gekoppeld zijn aan persoonlijke diensten.

• Te ruim gedeelde SharePoint-links (“iedereen kan bekijken”) en onbekende externe gasten.

• Brede OAuth-scopes (bijvoorbeeld Read all mailboxes) die door goedbedoelende gebruikers zijn verleend.

• Verweesde apps van ex-medewerkers die nog steeds gevoelige gegevens synchroniseren.

Wanneer gebruikers een handige agenda-tool of een geautomatiseerde workflowapp koppelen om hun dag makkelijker te maken, denken ze zelden na over de achterliggende beveiligingsgevolgen. Ze klikken gewoon op “Accepteren” bij een toestemmingsvraag. Vermenigvuldig dat met honderden of duizenden medewerkers en je hebt een enorm onzichtbaar aanvalsoppervlak.

🔎 De zoektocht: systeemeigen tools die shadow IT zichtbaar maken

Het goede nieuws is dat je niet per se dure platforms van derden hoeft aan te schaffen om deze blootstelling op te sporen. Microsoft biedt krachtige systeemeigen tools die shadow IT direct out-of-the-box zichtbaar kunnen maken. Dit zijn de kerntools waarmee je je onderzoek kunt starten:

• Microsoft Defender for Cloud Apps (MCAS) Shadow IT-detectie: verkeer, risicoscores van apps, gebruikstrends.

• Entra ID (Azure AD) aanmeldings- en auditlogboeken: wie toestemming heeft gegeven, wanneer, vanaf waar en voor welke scopes.

• Enterprise Apps → Machtigingen: inventariseer apps met door beheerder goedgekeurde en door gebruiker goedgekeurde toestemming.

• Power Platform Admin Center: niet-beheerde Power Automate-connectors en flows.

• SharePoint/OneDrive-rapporten: anonieme links en hotspots voor extern delen.

Pro-tip: begin met apps die tenantbrede scopes aanvragen (Mail.Read, Files.Read.All, Sites.Read.All, offline_access) en apps die door gasten zijn geïnstalleerd.

🧱 Trek de grens (zonder workflows te breken)

Zodra je de shadow IT in je tenant hebt blootgelegd, is je eerste impuls misschien om op een enorme knop “Alles blokkeren” te drukken. Doe dat niet. Als je van de ene op de andere dag gebruikersworkflows volledig breekt, krijg je een opstand tegen de adoptie en zoeken medewerkers simpelweg slimmere, minder zichtbare manieren om je maatregelen te omzeilen. Implementeer in plaats daarvan slimme vangrails die de organisatie beschermen en tegelijk de productiviteit hoog houden.

• App-toestemmingsbeleid

  • Blokkeer standaard toestemming door gebruikers; sta alleen geverifieerde uitgevers en scopes met lage impact toe.

  • Stuur verzoeken met een hoger risico door naar een IT-goedkeuringsworkflow (ServiceNow/Power Automate).

• Voorwaardelijke toegang voor apps

  • Vereis MFA, compliant apparaten en vertrouwde locaties voor riskante app-toegang.

  • Blokkeer verouderde en niet-ondersteunde clienttypen; sluit vergaderruimten en serviceaccounts waar nodig uit.

• Power Platform beheren

  • Data Loss Prevention (DLP)-beleid: splits zakelijke en niet-zakelijke connectors.

  • Schakel oplossingsbewuste flows in en beperk aangepaste connectors.

• Waarborgen voor extern delen

  • Stel mensen in je organisatie in als standaard; vereis een vervaldatum voor gastlinks; hanteer een sponsormodel voor gasten.

🛠️ Sprint van één week om te herstellen (praktisch draaiboek)

Alles tegelijk aanpakken kan leiden tot analyseverlamming. Volg daarom deze gestructureerde sprint van één week om grip te krijgen op de beveiliging van je tenant:

Dag 1–2: Ontdekken

• Haal het MCAS Shadow IT-rapport en de export van Entra ID-appmachtigingen op.

• Markeer apps met door een beheerder goedgekeurde toestemming, tenantbrede scopes en apps die eigendom zijn van gasten.

Dag 3: Insluiten

• Stel Gebruikerstoestemming = Uitgeschakeld in (of alleen geverifieerde uitgevers, en dan alleen voor apps met laag risico).

• Maak voorwaardelijke toegang (per app) aan: MFA + compliant apparaat voor riskante scopes.

Dag 4: Opschonen

• Trek ongebruikte en verweesde apps in; neem contact op met eigenaren van kritieke flows; migreer waar nodig.

• Verscherp het externe delen in SharePoint en de standaardinstellingen voor de vervaldatum van links.

Dag 5: Beheren

• Rol een aanvraag- en goedkeuringsworkflow uit voor nieuwe apps.

• Publiceer een catalogus met toegestane apps en een formulier “een uitzondering aanvragen”.

Dag 6–7: Monitoren & communiceren

• Schakel anomaliewaarschuwingen in (nieuwe toestemming met hoog risico, ongebruikelijke aanmeldingen).

• Stuur een vriendelijke gids “Zo vraag je een app aan” en zet geblokkeerd gedrag met alternatieven op een rij.

🧪 Beleidssjablonen (snelstarts)

Om je configuratiewerk een vliegende start te geven, volgen hier twee snelstart-beleidssjablonen die je vandaag al in je testomgevingen kunt implementeren:

• Beleid voor app-toestemming:

  • Toestaan: geverifieerde uitgever + scopes in de basislijst (alleen openid, profile, email, offline_access).

  • Goedkeuring vereist: elke Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite en Directory.Read.All.

  • Weigeren: Mail.ReadWrite, Files.ReadWrite.All, full_access_as_app.

• Voorwaardelijke toegang (per app):

  • Doelcloud-apps = riskante OAuth-app.

  • Toegang verlenen = MFA + compliant apparaat; blokkeren bij aanmeldingen met hoog risico of vanuit onbekende landen.

📊 KPI's die bewijzen dat het werkt

Beveiliging is een reis, geen bestemming, en het management wil vroeg of laat weten of jullie inspanningen resultaat opleveren. Gebruik deze kernprestatie-indicatoren om je voortgang te volgen en te rapporteren:

• Ontdekte shadow-apps → verhouding goedgekeurd/geblokkeerd (doel: >80% opgelost binnen 30 dagen).

• Nieuwe door gebruikers toegestane apps per maand (doel: bijna nul; allemaal via de workflow).

• Toegekende scopes met hoog risico (doel: 0).

• Extern delen met “iedereen”-links (doel: -90% binnen 60 dagen).

• Incidenten gekoppeld aan apps van derden (doel: -40% ten opzichte van vorig kwartaal).

🧾 Beoordelingsritme (houd het overzichtelijk)

Je tenant één keer opschonen is niet genoeg. Zonder een terugkerend operationeel ritme sluipt shadow IT binnen een paar maanden weer naar binnen. Verwerk deze controlelussen in je reguliere IT-beheer:

• Maandelijks: nieuwe toestemmingen, scopes met hoog risico, verweesde eigenaren, installaties van apps door gasten.

• Per kwartaal: afwijkingen in het DLP-beleid, audit van Power Platform-omgevingen, rapport over extern delen.

• Na organisatiewijzigingen: wijs het eigenaarschap van apps opnieuw toe en valideer het doel en de scopes van apps opnieuw.

🧯 Snelle kaart voor probleemoplossing

Wanneer er een waarschuwing verschijnt of een gebruiker tegen een blokkade aanloopt, heb je snel antwoorden nodig. Houd deze kaart bij de hand voor je helpdeskteam en je security operations-team:

• “Waar komt deze app vandaan?” → Entra ID > Enterprise-apps > Auditlogboeken (ConsentGranted).

• “Waarom is mail ineens gelekt?” → Controleer app-scopes voor Mail.* en audit MailItemsAccessed.

• “Heeft een gast een tool gekoppeld?” → Filter apps op Eigenaar = Gast; trek de toestemming in en volg het aanvraagtraject voor sponsors.

• “Flow stuurt persoonlijke services aan?” → DLP-beleid vangt de Non-Business-connector op; migreer of keur goed.

🧠 Change management waar gebruikers geen hekel aan hebben

Technische controles zijn maar de helft van het verhaal. Succesvolle beveiliging steunt sterk op cultuur en draagvlak. Als je het gebruikers moeilijk maakt, gaan ze je controles actief omzeilen. Maak change management soepel door in te zetten op ondersteuning:

• Publiceer een App-catalogus (goedgekeurde tools en databegrenzingen).

• Bied veilige alternatieven aan voordat je populaire apps blokkeert.

• Houd een aanvraagwijzer van 1 pagina bij (welke informatie je moet aanleveren en de verwachte doorlooptijd).

• Vier “goedgekeurde successen” (bijvoorbeeld het vervangen van een risicovolle connector door een veilige, ondersteunde).

✅ Belangrijkste punten voor het management

Shadow IT ontdekken in Microsoft 365 kan in eerste instantie intimiderend lijken, maar het is een volledig oplosbare uitdaging als je het methodisch aanpakt. Houd deze kernpunten in gedachten wanneer je je plannen aan het management presenteert:

• Shadow IT is onvermijdelijk; ongecontroleerd risico is niet verplicht.

• Gebruik ingebouwde Microsoft-tooling voor 80% van de detectie & controle.

• Workflow > muur: goedkeuringen houden de productiviteit hoog en verlagen tegelijk het risico.

• Volg een paar KPI's en laat kwartaal na kwartaal de risicoreductie zien.

Door de app-toestemmingen in je tenant onder controle te houden, externe deelacties te auditen en duidelijke governance-trajecten in te richten, beveilig je de meest gevoelige gegevens van je bedrijf zonder innovatie te remmen. Wil je meer horen over hoe deze beveiligingsmaatregelen samenhangen met moderne productiviteitstools zoals AI? Luister dan zeker de volledige aflevering via Connect Internal Data to Microsoft 365 Copilot Safely. Blijf veilig, blijf testen, en tot in de volgende aflevering!