Een medewerker werkt thuis, onderweg of op een klantlocatie. De laptop is beheerd, de gebruiker heeft multifactorverificatie ingesteld, maar de verbinding met bedrijfsapplicaties loopt nog via een traditionele VPN. Dat kan veiliger en overzichtelijker. Met deze Microsoft Global Secure Access handleiding krijg je grip op de voorbereiding, inrichting en dagelijkse beheersing van veilige toegang.
Microsoft Global Secure Access is een cloudgebaseerde oplossing binnen Microsoft Entra. Het helpt je om toegang tot Microsoft 365, internet en private bedrijfsapplicaties te beveiligen op basis van identiteit, apparaatstatus en beleid. In plaats van gebruikers standaard toegang tot je hele netwerk te geven, bepaal je veel gerichter wie waarvoor toestemming krijgt.
Wat is Microsoft Global Secure Access?
Global Secure Access brengt verschillende onderdelen samen onder één beveiligingsaanpak. Voor mkb-organisaties zijn vooral Microsoft Entra Internet Access en Microsoft Entra Private Access relevant. Internet Access beschermt de toegang tot Microsoft 365-diensten en geselecteerd internetverkeer. Private Access biedt een modern alternatief voor brede netwerktoegang via een traditionele VPN, bijvoorbeeld voor een interne webapplicatie, fileserver of applicatieserver.
De kern is het Zero Trust-principe: nooit automatisch vertrouwen, altijd controleren. Een medewerker krijgt dus niet toegang omdat hij op kantoor of thuis werkt, maar omdat zijn identiteit, aanmeldmethode, apparaat en context aan jouw voorwaarden voldoen.
Dat betekent niet dat iedere VPN direct moet verdwijnen. Voor sommige oudere toepassingen, specifieke netwerkprotocollen of externe partijen kan een VPN voorlopig nodig blijven. Global Secure Access is vooral sterk wanneer je toegang wilt beperken tot concrete applicaties en gebruikersgroepen, zonder dat je complete interne netwerk daarvoor openstaat.
Voor je begint: maak eerst de juiste keuzes
Techniek werkt alleen goed als het beleid erachter helder is. Begin daarom niet met connectoren en verkeersprofielen, maar met een overzicht van je gebruikers, apparaten en applicaties. Welke applicaties zijn bedrijfskritisch? Wie heeft er toegang nodig? Werken mensen alleen met beheerde Windows-apparaten, of ook met privéapparatuur en mobiele apparaten?
Controleer ook je Microsoft-licenties. De beschikbare functies hangen af van je Entra-licenties en van de onderdelen van Global Secure Access die je wilt gebruiken. Licenties en functionaliteit kunnen wijzigen, dus toets dit vooraf in je eigen Microsoft-tenant. Zo voorkom je dat je een ontwerp maakt rond een functie die niet binnen je huidige licentie beschikbaar is.
Een goede basis bestaat uit Microsoft Entra ID, multifactorverificatie en voorwaardelijke toegang. Voorwaardelijke toegang is de plek waar je regels vastlegt, zoals: alleen aanmelden vanaf een compatibel apparaat, extra verificatie buiten vertrouwde locaties of toegang blokkeren bij een hoog risico. Gebruik je Intune voor apparaatbeheer, dan kun je de apparaatstatus direct meenemen in je toegangsbeleid.
Maak daarnaast onderscheid tussen drie soorten verkeer: Microsoft 365-verkeer, algemeen internetverkeer en verkeer naar private applicaties. Die vragen niet allemaal om dezelfde aanpak. Een boekhoudportaal op internet beveilig je anders dan een intern pakket dat alleen vanaf het bedrijfsnetwerk bereikbaar is.
Microsoft Global Secure Access handleiding: inrichting in stappen
1. Start met een beperkte pilotgroep
Begin met IT-beheerders en een kleine groep gebruikers uit verschillende rollen. Kies mensen die zowel op kantoor als extern werken en bereid zijn feedback te geven. Zet nieuwe beleidsregels niet direct voor de hele organisatie aan. Een fout in toegangsbeleid kan namelijk betekenen dat medewerkers plotseling niet meer bij e-mail, Teams of een bedrijfsapplicatie kunnen.
Maak voor je pilot aparte Entra-groepen aan. Bijvoorbeeld een groep voor testgebruikers, een groep voor applicatiebeheerders en groepen per applicatie. Dat houdt je beleid leesbaar. Voorkom dat je uitzonderingen direct aan individuele accounts koppelt, want die worden na verloop van tijd lastig te beheren.
2. Activeer het juiste verkeersprofiel
In het beheerportaal van Microsoft Entra configureer je Global Secure Access en kies je welk verkeer je wilt verwerken. Voor Microsoft 365 kun je een verkeersprofiel gebruiken dat gericht is op de relevante Microsoft-diensten. Voor internettoegang bepaal je welke categorieën, domeinen of webverkeer onder het beleid vallen.
Wees terughoudend met een brede uitrol van internetverkeer. Sommige webdiensten gebruiken afwijkende verbindingen, eigen certificaten of specifieke netwerkvereisten. Test daarom eerst de toepassingen die je organisatie dagelijks gebruikt, zoals externe portalen, vergadersoftware, boekhoudsoftware en leveranciersomgevingen.
Leg meteen vast welk verkeer je bewust uitsluit. Denk aan lokale apparaten zoals printers, apparaten op een gastnetwerk of toepassingen die niet via de beveiligde toegang hoeven te lopen. Een duidelijk uitzonderingsbeleid voorkomt onnodige storingen en maakt troubleshooting later een stuk eenvoudiger.
3. Plaats private applicaties achter Private Access
Voor interne applicaties installeer je een Global Secure Access-connector op een geschikte server in je eigen netwerk of cloudomgeving. De connector legt een uitgaande verbinding met de Microsoft-cloud. Je hoeft daardoor meestal geen inkomende firewallpoorten open te zetten voor externe gebruikers.
Daarna publiceer je de applicatie of het interne doel via een applicatiesegment. Werk zo specifiek mogelijk. Geef bijvoorbeeld toegang tot de naam en poort van één interne webapplicatie, niet tot een volledig subnet als dat niet nodig is. Dit verkleint de impact wanneer een account of apparaat toch wordt misbruikt.
Controleer de naamresolutie zorgvuldig. Gebruikers moeten de interne applicatie via de juiste DNS-naam kunnen bereiken, zowel op kantoor als extern. Bij veel organisaties zit de grootste uitdaging niet in de connector zelf, maar in interne DNS, certificaten of oude applicaties die nog met IP-adressen werken.
4. Installeer de Global Secure Access-client
Op beheerde apparaten installeer je de Global Secure Access-client. Die zorgt ervoor dat het gekozen verkeer volgens jouw instellingen via de beveiligde toegang wordt geleid. Verspreid de client bij voorkeur centraal met Intune of je bestaande werkplekbeheeroplossing. Zo houd je versiebeheer, installatie en ondersteuning onder controle.
Test na installatie niet alleen of de gebruiker kan aanmelden. Controleer ook of de juiste verkeersprofielen actief zijn, of Microsoft 365 goed blijft werken en of de private applicatie bereikbaar is. Laat pilotgebruikers daarbij werken zoals ze normaal werken: thuis via wifi, op kantoor en eventueel via een mobiele verbinding.
5. Koppel beveiligingsbeleid aan de toegang
Global Secure Access vervangt voorwaardelijke toegang niet, maar werkt er juist mee samen. Gebruik Entra-beleid om te bepalen onder welke voorwaarden toegang is toegestaan. Je kunt bijvoorbeeld eisen dat medewerkers multifactorverificatie gebruiken en dat apparaten door Intune als compatibel zijn aangemerkt.
Pas op met één groot beleid voor alle applicaties. De risico’s verschillen. Voor een interne HR-applicatie met persoonsgegevens wil je mogelijk strengere eisen dan voor een algemene kennisbank. Door beleid per toepassingsgroep op te bouwen, kun je beveiliging beter afstemmen zonder het werk onnodig moeilijk te maken.
Gebruik waar mogelijk eerst de rapportage- of alleen-rapporterenmodus van voorwaardelijke toegang. Daarmee zie je welke gebruikers geraakt zouden worden voordat je een blokkade actief maakt. Zeker bij organisaties met veel uitzonderingen is dit een praktische veiligheidsstap.
Beheer, controle en ondersteuning na livegang
Na de uitrol begint het echte beheer. Controleer regelmatig de aanmeldingslogs, verkeersinformatie en meldingen in Microsoft Entra. Zoek niet alleen naar geblokkeerde gebruikers, maar ook naar opvallende patronen: herhaalde mislukte aanmeldingen, toegang vanaf onverwachte locaties of applicaties die buiten kantooruren intensief worden gebruikt.
Houd je applicatieoverzicht actueel. Als een server verdwijnt, een applicatie verhuist naar SaaS of een medewerker van rol verandert, moeten de bijbehorende groepen en toegangsregels mee veranderen. Toegang die ooit tijdelijk is gegeven, blijft anders ongemerkt bestaan.
Zorg ook voor een duidelijke route bij storingen. Medewerkers moeten weten wat ze kunnen controleren: internetverbinding, aanmelding, status van hun apparaat en de bereikbaarheid van één specifieke applicatie. Je beheerder heeft vervolgens een vaste controlevolgorde nodig: gebruikersgroep, voorwaardelijke toegang, clientstatus, connectorstatus, DNS en de applicatie zelf. Dat voorkomt dat je bij elk probleem tegelijk aan alle instellingen gaat draaien.
Documenteer ten minste welke applicaties via Private Access beschikbaar zijn, wie eigenaar is van iedere applicatie, welke groepen toegang hebben en welke uitzonderingen bewust zijn gemaakt. Dit is geen administratieve bijzaak. Het is nodig voor continuïteit wanneer een beheerder afwezig is, wanneer je groeit of wanneer je een beveiligingsincident moet onderzoeken.
Wanneer is Global Secure Access een goede keuze?
Global Secure Access past goed bij organisaties die al met Microsoft 365 en Entra werken, hybride medewerkers hebben en de toegang tot interne applicaties nauwkeuriger willen regelen. Ook als je minder afhankelijk wilt worden van een brede VPN-verbinding, is het een logische richting.
De oplossing vraagt wel om een nette basis. Zonder goed identiteitsbeheer, actuele apparaten en heldere applicatie-eigenaars blijft het lastig om beleid betrouwbaar toe te passen. Heb je veel verouderde software, complexe netwerkafhankelijkheden of geen centraal apparaatbeheer, pak die onderdelen dan gefaseerd aan.
Veilige toegang hoeft voor medewerkers geen extra obstakel te zijn. Als je de inrichting opbouwt vanuit hun dagelijkse werk en de techniek daar zorgvuldig op afstemt, ontstaat een omgeving waarin mensen veilig kunnen werken zonder steeds na te denken over waar een applicatie draait. Dat is precies het moment waarop beveiliging ook echt bijdraagt aan rust en continuïteit.