Hoe kan je downloaden van Office 365 bestanden blokkeren op een onbekend toestel

Van 20 miljoen naar 44 miljoen dagelijkse Microsoft Teams gebruikers in mei 2020.

In 61% van alle vergaderingen in Nederland gebruikt met video.

Er is een groei van 560 miljoen naar 2.7 miljard minuten per dag met Microsoft Teams bellen. bron

Maar we gebruiken Microsoft Teams onveilig… Op een eigen computer, of onze mobiele toestellen..

We gebruiken allemaal Microsoft Teams

Samenwerken kan heel goed met Microsoft Teams. Echt samenwerken, veilig samenwerken op bestanden blijft een enorme uitdaging nu we meer van thuis werken, of op eigen computers.

Sinds de covid-19 crisis hebben meerdere organisaties zich aangepast om af te stappen van corporate-devices naar privé-toestellen. Op zich een goede beweging voor mensen die liever op hun eigen toestellen werken.

Helaas zijn we tot een punt gekomen waarop organisatie-documenten ook op elk toestel terecht komen. En dat wil je als bedrijf liever niet. In deze blog geef ik een praktische handleiding om dit gedrag bij te sturen.

Hoe kan je veilig omgaan met bestanden in Microsoft Teams?

Hoe kan je documenten veilig behouden op organisatie-toestellen?

• Wat je in deze screenshot ziet is 2x een Microsoft Edge browser.
• Links zie je een browser die ‘verbonden’ is met een Windows 10 toestel. (conditie)
• Rechts een ‘browser’ die we niet vertrouwen. Een toestel vreemd van de organisatie.

Korte demo-video van conditional access voor documenten in Teams

• in de klinkerkant werk ik met je vertrouwde web-browser in een word document. Ik mag dit downloaden omdat het toestel bekend is. (op conditie, voorwaarde dat — conditional access)
• Als het toestel niet bekend is, zoals in de rechtse weergave, dan kan ik dit niet downloaden – wel online bewerken.

Gepersonaliseerde weergave van de beveiligingswaarschuwing in Teams

Je kan best duidelijk communiceren zodat gebruikers begrijpen wat er verkeerd loopt wanneer je nieuwe policies wenst te activeren.

Gebruikers werken op een toestel dat niet beschermd is door de organisatie. Ze mogen werken aan documenten, ze kunnen samenwerken. Maar op basis van het afsprakenkader.

Niet downloaden. Kan een afspraak zijn die je maakt om documenten nooit te kunnen lekken op toestellen vreemd van de organisatie.

Hoe verloopt werken met documenten met deze beveiligde inrichting?

Gebruikers die inloggen op een syteem dat niet door de organisatie in beheer zit krijgen deze weergave als ze inloggen in Microsoft Teams via de webbrowser.

Het is nog steeds mogelijk om online te werken, het document te bewerken of te delen binnen de organisatie. Maar downloaden dat kan niet meer.

Voor de IT-Administrators zijn er inzichten

Microsoft is goed in samenbrengen van mogelijkheden van de meerdere platformen.

In het portaal van Microsoft Cloud App Security zie je de pogingen om het document te downloaden. Hier kan je later automatische acties aan koppelen indien gewenst.

Licentie vereisten voor deze blokkering van document downloaden in Microsoft Teams

Om Conditional Access of voorwaardelijke toegang te gebruiken heb je minimum een Azure AD Premium P1 licentie nodig.

Cloud App Security heb je nodig om de inzichten te vergaren zoals afgebeeld hierboven.

In sommige licenties zit Cloud App Security Discovery.

Met Microsoft 365 E3, Microsoft 365 E5 zit je altijd goed. Met minder licenties kan het ook.

In Android de Intune Company Portal installeren

Als je een document wenst te openen in Android zal je Android toestel vragen om de Intune Company Portal te installeren.

Toestel enrollen

De beveiligingsroadmap voor documenten beveiliging in 5 stappen

Multi-Factor Authentication – Het is onlogisch dat gebruikers een veilig toestel hebben zonder dat je gebruikt maakt van MFA. Als een hacker of een collega het wachtwoord bezit kan hij ook inloggen op Office 365.

Conditional Access of voorwaardelijke toegang – op basis van condities kan je automatisch beslissingen maken en extra security lagen toevoegen naarmate het veiligheids risico verhoogt.

Self-service wachtwoord reset – om gebruikers te helpen zodat ze hun wachtwoord zelf kunnen resetten. Maar ook om ervoor te zorgen dat je de extra veiligheden voor Teams kan gebruiken. Gebruikers kunnen dankzij deze feature zichtzel helpen. Gebruikers kunnen passwordless (zonder invoeren van wachtwoord) inloggen met hun smartphone en daar zijn ze blij mee.

EndPoint Security – bescherm je mobiele toestellen en je Windows 11 toestellen. Het is vrij eenvoudig om een pincode + data controle (MAM) op BYOD aan te zetten. Dit heeft geen invloed op de persoon en vraagt geen beheer van het toestel. Wel van de organisatie-applicatie. Zoals Teams, OneDrive, SharePoint,..

Information protection – Natuurlijk heb je wel gemerkt dat je documenten nog steeds kan doorsturen naar collega’s of externe contacten. Als je dat wil oplossen is het nodig om voor nog meer extra beveiliging te gaan. Je kan hiervoor information protection gebruiken.