Waarom governance en security topprioriteit zijn voor M365 in 2026

1. Sessies

Tijdens de belangrijkste sessiedagen werden in totaal 86 sessies georganiseerd. Ongeveer 25% hiervan richtte zich volledig op security en governance, variërend van governance in M365 en Power Platform tot geavanceerde onderwerpen zoals quantum cryptografie voor beveiliging. In vrijwel alle overige sessies kwam security eveneens aan bod, vaak gericht op informatiebeveiliging via Purview, maar ook met aanvullende beveiligingsinstellingen die van belang zijn bij het werken met Microsoft Foundry.

2. Marktpartijen

Elk jaar brengen we een bezoek aan de Expo om te zien welke bedrijven aanwezig zijn en welke nieuwe updates of producten zij presenteren. Hoewel er nog steeds nieuwe commerciële partijen de markt betreden met intranetoplossingen, viel dit jaar vooral de sterke focus op Governance, Assessments en Security op.

Dit varieerde van nieuwe modules van gerenommeerde partijen zoals ShareGate en AvePoint. Zij bieden uitgebreide assessmentmogelijkheden. Daarnaast waren er ook volledig nieuwe leveranciers. Zij lieten tools zien om een tenant eenvoudig uit te lezen, beveiligingsacties te genereren en inzichtelijke rapportages te leveren.

Met deze achtergrond rijst de vraag: welke inzichten uit de sessies sprongen er voor mij het meest uit?

Governance = guardrais

Tijdens een praktische sessie over governance in Power Platform, inclusief demo’s, werd een kernzin duidelijk: Governance = guardrails. Governance moet het werk van gebruikers niet belemmeren, maar hen juist een veilige speelruimte bieden waarin de regels op de achtergrond werken.

Een concreet voorbeeld zijn naming conventions. Wanneer een gebruiker “DEV” ziet in de naam van een environment, weet hij dat dit een testomgeving is en niet voor productie bedoeld. Hierdoor worden fouten voorkomen zonder de ervaring te belemmeren. De sessie bood meerdere voorbeelden van hoe Power Platform zo kan worden ingericht dat governance bijna onzichtbaar bijdraagt aan beter beheer. Bijvoorbeeld door de standaard DLP-policies correct toe te wijzen aan het juiste type omgeving.

En dit alles in een wereld van het wilde westen, waarin wij als Sherrif onze wilde Power Platform omgeving de baas konden worden. Erg vermakelijk.

Governance begint als het is afgerond

Buckley is al jaren een sterke aanjager van betere governance. Hij benadrukt niet alleen het belang van een goede inrichting, maar vooral voor heldere afspraken: wat doen we wel, wat doen we niet, en wie is waarvoor verantwoordelijk? Een goed ingerichte en afgedwongen RACI maakt hem het gelukkigst.

Daarnaast deelde hij praktische tips voor het afdwingen en monitoren van governance, zoals het gebruik van fysieke handtekeningen om afspraken te formaliseren. Hij gaf ook toe dat Microsoft standaardpakketten vaak niet voldoende tools bieden om governance volledig te monitoren, tenzij je een dedicated team hebt. Er is een reden waarom er zoveel commerciële partijen zijn met software.

Het belangrijkste inzicht: veel organisaties denken dat een governance-project klaar is zodra het is opgezet, maar in werkelijkheid begint het dan pas echt. Governance is continu beheer. Het vraagt om constant monitoren, controleren en updaten.

Quantum cryptografy

Een last-minute sessie over quantum computing bleek bijzonder interessant, vooral omdat het ging over cryptografie die nu al toepasbaar is. Dan gaan mijn oren spitsen.

De sessie ging over het toepassen van QKD en PQC in systemen en dus ook M365. QKD, Quantum Key Distribution is de technologie die ervoor zorgt dat op basis van quantum wetenschap een token gedeeld kan worden om écht volledig secure data uit te wisselen.

Deze sleutel kan niet gebroken worden zonder de wetten van de natuur te overtreden. Als voorbeeld werd de apparatuur getoond uit Denemarken waar dit al gebruikt kan worden. Het is nog een wetenschappelijke opstelling die erg prijzig is, maar de technologie werkt.

Doordat de sleutel 1-malig gecreëerd en gedeeld wordt, kan deze daar niet meer gebroken worden. Waarom? Omdat er naar de Super Position van een qubit gekeken wordt. In quatum fysica is het zo dat na observatie deze super position voor eeuwig verdwijnt en de qubit verandert naar 1 of 0. Zo krijg je elke keer als je een qubit bekijkt en de super position voor je sleutel wordt gebruikt, dat deze nooit meer opnieuw bekeken of gegenereerd kan worden.

En dan is er nog PQC, post quantum cryptogafy. Op dit moment zijn heel veel landen en hackersgroepen data aan het verzamelen, ondanks dat deze wellicht geëncrypt zijn. Ze gaan ervan uit dat met de komst van quantum computers de encryptie binnen no-time gedecrypt kan worden. Daar komt PQC vandaan. Wat kunnen we nu al doen om onze data te beschermen als de quantum computer zich aandient? We kunnen nu al werken met verbeterde encryptie waar quantum net zo lang mee bezig is om te kunnen kraken als computers nu met huidige technologie. Dat doe je door encryptie mee te geven waarbij de puzzel “un-winnable” is.

Een eenvoudig voorbeeld: we weten dat bij boter, kaas en eieren het vrijwel onmogelijk is voor de tegenstander om te winnen als je het goed speelt en jij begint. Dus zo kunnen we deze puzzel inzetten als encryptie en omdat “wij” gestart zijn met het spel, kan de quantum computer op zijn hoogst gelijkspelen en daarmee niet winnen. Fascinerend!

PQC is inmiddels beschikbaar voor TLS1.3 verbindingen en je kunt in Chrome en Firefox al het X25519Kyber768 algoritme instellen voor beveiligd verkeer.

Praktische beveiliging

Verschillende sessies richtten zich op best practices voor het inrichten van beveiliging binnen M365. Zo werden nieuwe opties binnen Conditional Access besproken waarmee je in één keer al je Agents kunt beveiligen, bijvoorbeeld via Disable Authentication Flow. Ook kwamen methoden aan bod waarmee MFA momenteel kan worden omzeild en hoe instellingen in Defender en EntraID dit kunnen voorkomen, zodat je direct kunt handelen. Het enorme stijgingspercentage van phishingaanvallen (+1265% afgelopen jaar) benadrukt dat deze maatregelen hard nodig zijn.

En het werkt omdat onze systemen toch niet altijd zo goed beveiligd zijn als we denken. Bijvoorbeeld wanneer je M365 beveiliging in orde is, kan men wel via een zwakke plek on-premises via EntraID connect toch M365 binnenkomen. Goed opletten! Eerste controle? “Seamless SSO” direct uitschakelen in EntraID Connect en gewoon werken met een primaire refresh token vanaf een beveiligd apparaat binnen EntraID.

Maar ook bijvoorbeeld het inzetten van MindGard, een repository op github om in te zetten om te “red-teamen”. Dit is dus software die jouw AI-agents “aanvallen” op zoek naar beveiligingslekken, maar ook mogelijkheden voor de AI om het antwoord te geven dat hij/zij helemaal niet mag geven. Via slim prompting ervoor zorgen dat je toegang krijgt tot data waar jij niet bij mag. Erg mooie ontwikkelingen.

Zoals je hebt gelezen, leeft het onderwerp in de community; “gij zult uw tenant beheren en beveiligen”. Deze sessies bij ESPC 2025 lieten zien waarom dit essentieel is en hoe organisaties dit effectief kunnen aanpakken.

Samenvatting ESPC 2025

EPSC 25 was geweldig. Het blijft hét event om de markt te verkennen, andere gelijkgestemden uit Europa te ontmoeten, en oude vrienden tegen te komen. Vooral het feit dat sessies vanuit het veld gegeven worden, ondersteund met use cases en concrete voorbeelden en ervaringen waar je je voordeel kan doen. ESPC26 is in Amsterdam, waar je ons zeker zult zien, wij jou ook?

Wil je weten wat deze ontwikkelingen voor jouw organisatie betekenen? XTRM biedt advies, implementaties en sessies op maat.

Meer weten over M365 governance en security?

Wil je meer weten over M365 governance en security , ontwikkelingen op ESPC 2025 of heb je een andere vraag? Neem dan contact op met XTRM development door het formulier onderaan de pagina in te vullen en wij helpen je graag verder.

Door je in te schrijven op onze nieuwsbrief kun je als eerste op de hoogte blijven van alle nieuws en ontwikkelingen rondom Microsoft 365. Of volgen ons op LinkedIn!