Chaos blootleggen: zo vind je Shadow IT in Microsoft 365

By Mirko Peters · 2026-08-11

Welkom terug bij de podcast en bij onze doorlopende deep dive over het veilig, beheersbaar en optimaal laten presteren van je omgevingen. Als je een Micr…

Automatically translated with AI from the original post. Read the English original

Titelbild: Uncovering the Chaos: How to Find Shadow IT in Microsoft 365

Welkom terug bij de podcast en bij onze doorlopende duik in het veilig, beheersbaar en optimaal presterend houden van je omgevingen. Als je een Microsoft 365-tenant beheert, weet je al dat absolute controle een bewegend doel is. Hoe strak je beveiligingsbaselines ook zijn, gebruikers vinden manieren om gaten te overbruggen, hun dagelijkse routines te optimaliseren en externe tools binnen te halen. Die creativiteit van gebruikers verhoogt de productiviteit, maar brengt ook een groot risico met zich mee: Shadow IT. Wil je dieper op dit onderwerp ingaan en een levendige discussie horen over hoe je de rommel in je tenant aanpakt? Luister dan zeker naar onze bijbehorende aflevering, Detect Shadow IT in Microsoft 365.

In deze bijbehorende blogpost bouwen we verder op dat gesprek. We lopen een uitgebreide strategie met je door om onbekende applicaties, riskante OAuth-machtigingen en onbeheerde connectors op te sporen die zich voor het oog verbergen. Met native Microsoft-tools kun je je aanpak veranderen van reactieve paniek naar proactief beheer, zonder de productiviteit van je organisatie stil te leggen.

Hoe chaos eruitziet

Voordat je het probleem kunt oplossen, moet je weten waar je naar op zoek bent. Shadow IT in Microsoft 365 lijkt zelden op een kwaadwillende hacker die de voordeur intrapt. Het ziet er eerder uit als gemak. Het marketingteam zet snel een automatiseringstool op, of een manager geeft brede machtigingen aan een gloednieuwe agenda-app.

Veelvoorkomende vormen van tenantchaos zijn:

Verrassende Teams-bots en Power Automate-connectors die gekoppeld zijn aan persoonlijke diensten.
Te ruim gedeelde SharePoint-links (iedereen kan bekijken) en onbekende externe gasten die blijven hangen lang nadat een project is afgerond.
Brede OAuth-scopes, zoals applicaties die toestemming krijgen om "Read all mailboxes" te lezen, goedgekeurd door goedbedoelende medewerkers die gewoon wilden dat een agenda-synchronisatietool werkte.
Verweesde apps die eigendom zijn van voormalige medewerkers en stilletjes gevoelige organisatiegegevens blijven synchroniseren.

De speurtocht: native tools die Shadow IT zichtbaar maken

Je hebt geen dure suites van derden nodig om zicht te krijgen op je tenant. Microsoft biedt een krachtig pakket aan native diagnose- en beveiligingsmogelijkheden, die waarschijnlijk al in je licentieniveau zijn inbegrepen. De kunst is te weten waar je moet kijken en wat je moet opvragen.

Microsoft Defender for Cloud Apps (MCAS), Shadow IT-detectie: Analyseer verkeerspatronen, risicoscores van apps en gebruikstrends in je netwerk.
Entra ID (Azure AD) aanmeldings- en auditlogboeken: Ontdek wie toestemming heeft gegeven aan een applicatie, wanneer, vanaf welke locatie en voor welke specifieke scopes.
Enterprise-apps > Machtigingen: Breng alle door beheerders en door gebruikers goedgekeurde apps in kaart die nu actief zijn in je tenant.
Power Platform Admin Center: Ontdek onbeheerde Power Automate-connectors en afwijkende geautomatiseerde flows.
SharePoint/OneDrive-rapporten: Identificeer anonieme links en hotspots voor extern delen voordat ze datalekken worden.

Pro-tip: begin je onderzoek met apps die om scopes voor de hele tenant vragen, zoals Mail.Read, Files.Read.All, Sites.Read.All en offline_access, en met apps die door externe gasten zijn geïnstalleerd.

Trek de grens (zonder workflows te breken)

Zodra je de omvang van het probleem ziet, is je eerste ingeving misschien om alle schakelaars op "Blokkeren" te zetten en de tenant volledig op slot te doen. Weersta die drang. Als je een te hoge muur bouwt, zoeken gebruikers gewoon een omweg en verdwijnt het Shadow IT-probleem nog dieper ondergronds. Trek daarom slimme operationele grenzen.

App-toestemmingsbeleid: Blokkeer standaard toestemming door gebruikers, maar sta uitzonderingen toe voor geverifieerde uitgevers met scopes met weinig impact. Stuur verzoeken met een hoger risico rechtstreeks naar een IT-goedkeuringsworkflow via ServiceNow of Power Automate.
Voorwaardelijke toegang voor apps: Vereis multifactorauthenticatie, compliant apparaten en vertrouwde locaties voor elke riskante app-toegang. Blokkeer verouderde of niet-ondersteunde clienttypen, en sluit vergaderruimten en serviceaccounts op de juiste manier uit.
Power Platform beheersen: Implementeer Data Loss Prevention (DLP)-beleid om zakelijke en niet-zakelijke connectors strikt te scheiden. Schakel oplossingsbewuste flows in en beperk het maken van aangepaste connectors.
Beveiligingsregels voor extern delen: Stel de standaardinstelling voor deellinks in op ‘mensen in je organisatie’, verplicht vervaldatums voor gastlinks en handhaaf een strikt sponsormodel voor externe gasten.

Een sprint van één week voor opschoning (praktisch draaiboek)

Het opschonen van je tenant hoeft geen IT-transformatieproject van meerdere jaren te zijn. Je kunt het risico aanzienlijk verkleinen in slechts vijf tot zeven dagen als je een gestructureerde, gefaseerde opschoningssprint volgt.

Dag 1–2: Inventarisatie

Haal je MCAS Shadow IT-rapport en je export van Entra ID-app-machtigingen op.
Markeer alle apps met admin-toestemming, toepassingsbrede scopes en apps die eigendom zijn van gasten.

Dag 3: Insluiten

Zet gebruikerstoestemming uit (of beperk die strikt tot geverifieerde uitgevers met scopes met een laag risico).
Maak per app Conditional Access-beleid dat MFA en compliante apparaten afdwingt voor riskante scopes.

Dag 4: Opschonen

Trek ongebruikte of verweesde apps in. Neem voor kritieke flows contact op met de oorspronkelijke eigenaren en migreer ze indien nodig naar serviceaccounts.
Verscherp de standaardinstellingen voor extern delen in SharePoint en de vervaltermijnen van links.

Dag 5: Beheren

Rol je geautomatiseerde aanvraag- en goedkeuringsworkflow voor nieuwe applicaties uit.
Publiceer een catalogus met toegestane apps, samen met een duidelijk formulier voor ‘een uitzondering aanvragen’.

Dag 6–7: Monitoren en communiceren

Schakel waarschuwingen voor afwijkingen in bij nieuwe toestemmingen met hoog risico en ongebruikelijk aanmeldgedrag.
Stuur je organisatie een vriendelijke handleiding ‘Hoe vraag je een app aan’, met een duidelijk overzicht van geblokkeerd gedrag naast goedgekeurde alternatieven.

Beleidssjablonen (snelstart)

Om je configuratiewerk een vliegende start te geven, volgen hier twee snelstartsjablonen voor beleid die je vandaag al in je Microsoft 365-omgeving kunt implementeren.

Beleid voor app-toestemming:
- Toestaan: geverifieerde uitgever plus scopes uit een strikte basislijst (alleen openid, profile, email en offline_access).
- Goedkeuring vereisen: alle verzoeken voor Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite of Directory.Read.All.
- Direct weigeren: Mail.ReadWrite, Files.ReadWrite.All en full_access_as_app.
Conditional Access (per app):
- Richt cloud-apps als doel in om riskante OAuth-applicaties op te nemen.
- Verleen alleen toegang als MFA en een compliant apparaat aanwezig zijn; blokkeer toegang volledig bij aanmeldingen met een hoog risico of vanuit onbekende landen.

KPI’s die bewijzen dat het werkt

Beveiligingsteams houden van cijfers, maar het management wil bewijs dat de inspanningen iets opleveren. Gebruik deze kernprestatie-indicatoren om je voortgang te volgen en aantoonbare risicoreductie te laten zien:

Verhouding tussen ontdekte shadow-apps en goedgekeurde of geblokkeerde apps (doel: meer dan 80% binnen 30 dagen opgelost).
Nieuwe door gebruikers goedgekeurde apps per maand (doel: bijna nul, waarbij alle nieuwe apps via de officiële workflow lopen).
Toegekende scopes met hoog risico (doel: absoluut nul).
Externe deellinks ingesteld op ‘iedereen’ (doel: een reductie van 90% binnen 60 dagen).
Beveiligingsincidenten die rechtstreeks zijn gekoppeld aan apps van derden (doel: een reductie van 40% kwartaal op kwartaal).

Beoordelingsritme (houd het schoon)

Het ontdekken en aanpakken van shadow IT is geen eenmalig project, maar een doorlopende hygiënepraktijk. Stel een vast beoordelingsritme in zodat je tenant niet weer in chaos vervalt.

Maandelijks: Beoordeel nieuwe toestemmingen, controleer op scopes met hoog risico, controleer verweesde eigenaren en inspecteer installaties van apps door gasten.
Per kwartaal: Beoordeel afwijkingen in DLP-beleid, controleer Power Platform-omgevingen en beoordeel rapporten over extern delen.
Na organisatiewijzigingen: Wijs het eigendom van apps tijdig opnieuw toe en valideer de doelen en scopes van applicaties opnieuw wanneer medewerkers vertrekken of van functie veranderen.

Kaart voor snelle probleemoplossing

Wanneer er iets misgaat of er een beveiligingsalert afgaat, heb je snel antwoorden nodig. Houd deze kaart voor probleemoplossing bij de hand voor je helpdesk- en security-operationsteams:

‘Waar komt deze app vandaan?’ Controleer in Entra ID > Enterprise-apps > Auditlogboeken op ConsentGranted-gebeurtenissen.
‘Waarom is er ineens mail gelekt?’ Controleer de applicatiescopes voor Mail.* en bekijk de auditlogboeken op MailItemsAccessed-gebeurtenissen.
"Heeft een externe gast een ongeautoriseerde tool verbonden?" Filter je enterpriseapps op Owner gelijk aan Guest, trek de app in en richt een verzoekproces met sponsor in.
"Raakt een Power Automate-flow persoonlijke diensten?" Zoek naar overtredingen van het DLP-beleid waarbij Niet-zakelijke connectors worden geblokkeerd, en migreer ze naar goedgekeurde zakelijke alternatieven.

Changemanagement waar gebruikers geen hekel aan hebben

Het succes van je governanceprogramma voor shadow IT hangt bijna volledig af van hoe je gebruikers het ervaren. Als je optreedt als de "security-politie", daalt de adoptie sterk en nemen omwegen juist toe. Richt je daarom op gebruikersgerichte ondersteuning.

Publiceer een toegankelijke appcatalogus waarin goedgekeurde tools en hun databegrenzingen duidelijk worden weergegeven.
Bied veilige, ondersteunde alternatieven aan voordat je populaire apps van gebruikers blokkeert.
Houd je aanvraaggids eenvoudig. Eén pagina met de informatie die je nodig hebt en de verwachte SLA maakt al veel verschil.
Vier succesvolle goedgekeurde oplossingen openlijk, bijvoorbeeld wanneer een riskante shadow IT-connector succesvol is vervangen door een veilige, officieel ondersteunde zakelijke workflow.

Belangrijkste punten voor het management

Wanneer je deze strategieën meeneemt naar je team of presenteert aan het management, houd dan deze vier kernpunten vooraan:

Shadow IT is volledig onvermijdelijk, maar ongecontroleerd organisatorisch risico is helemaal niet nodig.
Met de ingebouwde Microsoft-tools die je waarschijnlijk al hebt, kun je 80% van je ontdekking en beheer afdekken.
Workflows werken altijd beter dan muren: slimme goedkeuringsprocessen houden de productiviteit hoog en verminderen tegelijk het risico.
Volg een paar zinvolle KPI's om kwartaal na kwartaal duidelijk te maken aan je management hoe het risico daalt.

Bedankt dat je hebt meegeluisterd en de podcast hebt beluisterd. Vergeet niet de volledige aflevering Detect Shadow IT in Microsoft 365 te bekijken voor een nog diepgaandere audiotoelichting van deze aanpak. Blijf veilig, houd je tenants schoon en tot in de volgende aflevering!