Beveiliging in Google Workspace : praktische gids voor beheerders (2026)

1Verplichte tweestapsverificatie, zonder iemand buiten te sluiten

Tweestapsauthenticatie blijft de maatregel met de beste verhouding tussen inspanning en bescherming. Twee nuances die het verschil maken:

Geef voorrang aan passkeys en fysieke beveiligingssleutels. Ze zijn bestand tegen phishing, precies de aanvalsmethode die het vaakst tegen Workspace wordt gebruikt. Apps voor codes zijn acceptabel als back-up. Het is raadzaam om sms als methode uit te schakelen: dit is de zwakste methode en de aanwezigheid ervan vermindert de algehele beveiliging.

En activeer het niet meteen als verplicht. Stel een inschrijvingsperiode vast waarin mensen zich kunnen registreren, creëer een tijdelijke uitzonderingsgroep voor gevallen die meer tijd nodig hebben, en bepaal vooraf de herstelprocedure. Als je de verplichting activeert zonder deze maatregelen, komen gebruikers de eerste maandag al buitenspel te staan.

2Minder superbeheerders en een noodaccount

Superbeheerdersaccounts zijn het belangrijkste doelwit voor aanvallers, en in de meeste organisaties zijn er meer van dergelijke accounts dan nodig is. Beperk het aantal tot een minimum, wijs gedelegeerde rollen met specifieke rechten toe voor dagelijkse taken en meld de overige superbeheerders aan voor het Google-programma voor geavanceerde beveiliging of verplicht hen tot het gebruik van fysieke beveiligingssleutels.

Het punt dat bijna niemand in overweging neemt: Houd een noodaccount voor superbeheerders aan., waarbij de herstelcodes buiten het systeem en op een fysiek veilige locatie worden bewaard. Het aanscherpen van de beveiliging zonder dit vangnet brengt het risico met zich mee dat je de toegang tot je eigen tenant verliest; dit is een incident dat net zo ernstig is als een inbraak, maar aanzienlijk vaker voorkomt.

3Strikte beleidsregels voor delen in Drive

Beperk het extern delen tot het meest restrictieve niveau dat binnen je bedrijfsvoering mogelijk is. Als je met specifieke klanten of leveranciers moet samenwerken, gebruik dan een lijst met vertrouwde domeinen in plaats van het delen open te stellen voor het hele internet. Controleer ook de vervaldata van toegangsrechten en of gebruikers openbare links kunnen aanmaken.

Hier is het verstandig om realistisch te zijn: Een te restrictief beleid zonder praktisch alternatief zorgt ervoor dat mensen hun persoonlijke account gebruiken.. Ontwerp het beleid samen met de workflow die het moet vervangen.

4Geavanceerde bescherming tegen phishing in Gmail

Schakel de bescherming in tegen het nabootsen van afzenders binnen je eigen domein, de detectie van domeinen die sterk op elkaar lijken, de analyse van verdachte links en bijlagen, en zichtbare waarschuwingen voor externe ontvangers. Dit zijn instellingen die niet allemaal standaard zijn ingeschakeld en waarvan de configuratie slechts enkele minuten in beslag neemt.

5SPF, DKIM en DMARC

Dit is niet langer een optionele goede werkwijze. Sinds 2024 eisen grote e-mailproviders authenticatie van verzenders van grote volumes., dus zonder geconfigureerde DMARC kan legitieme communicatie in de spam terechtkomen. Begin met een monitoringsbeleid, bekijk de rapporten gedurende enkele weken om te voorkomen dat je je eigen e-mail blokkeert, en scherp het beleid geleidelijk aan.

6Applicaties van derden met OAuth -toegang auditen

Elke applicatie die door een gebruiker is geautoriseerd, vormt een open toegangspoort tot de gegevens van de organisatie. Controleer welke applicaties zijn gekoppeld, trek de toegang in voor applicaties die niet worden gebruikt en stap over op een model met een toegestane-applicatielijst, in plaats van toe te staan dat elke gebruiker zomaar alles autoriseert.

Besteed extra aandacht aan apps met uitgebreide rechten voor Gmail of Drive, en aan de serviceaccounts met domeindelegatie: deze kunnen optreden namens elke gebruiker in het domein. Als je organisatie eigen integraties ontwikkelt, wordt het identiteitsmodel bepaald voordat er code wordt geschreven — we behandelen dit in de gids over Google Workspace integreren met je systemen.

7Contextuele toegang

Dit is de meest onderschatte functie in het aanbod. In plaats van toegang uitsluitend op basis van inloggegevens te bepalen, laat je deze afhangen van de context: via welk netwerk de gebruiker verbinding maakt, of het apparaat beheerd en versleuteld is, en vanuit welk land de toegang plaatsvindt. Zo kun je bijvoorbeeld vereisen dat er een zakelijk apparaat wordt gebruikt voor toegang tot Drive, terwijl e-mail vanaf elke locatie toegankelijk blijft.

Dit is wat een statische beveiligingsconfiguratie verandert in een configuratie die speelt in op het werkelijke risico van elke toegang.

8Apparaatbeheer

Het vereist versleuteling, schermvergrendeling en de mogelijkheid om het zakelijke profiel op afstand te wissen. Op privéapparaten wordt gebruikgemaakt van beheer van uitsluitend het werkprofiel: hiermee worden bedrijfsgegevens beschermd zonder de persoonlijke gegevens van de werknemer aan te tasten, wat bovendien vermindert de weerstand tegen de invoering ervan.

9Gegevensbeschermingsregels (DLP)

DLP-regels detecteren gevoelige inhoud — zoals kaartnummers, fiscale identificatienummers of zelfgedefinieerde patronen — en ondernemen actie: ze waarschuwen de gebruiker, blokkeren het delen of genereren een melding.

Begin altijd in de modus 'alleen audit'. Laat de regels enkele weken draaien, controleer op fout-positieven en ga pas daarna over tot blokkeren. Een slecht afgestelde DLP-regel die legitiem werk blokkeert, wordt binnen een week uitgeschakeld en komt niet meer terug.

Als je een Business editie gebruikt, beschik je over de DLP-rapporten: ze geven aan welke gevoelige inhoud zich in Drive en in uitgaande e-mails bevindt, zonder dat er automatisch actie kan worden ondernomen. Ze vormen een goed uitgangspunt om intern de overstap naar een andere editie te rechtvaardigen, omdat ze het risico in cijfers uitdrukken.

10Zichtbaarheid: Security Center of Controle en onderzoek

Het Security Center brengt drie zaken samen: een dashboard met een overzicht van je beveiligingsstatus, de pagina met de beveiligingsstatus die je configuratie vergelijkt met de aanbevelingen van Google, en de onderzoekstool om incidenten te analyseren en in bulk actie te ondernemen, bijvoorbeeld door een kwaadaardige e-mail uit alle postvakken tegelijk te verwijderen.

Onthoud de nuance van de matrix: Toegang hebben tot de tool betekent niet dat je over de volledige functionaliteit beschikt.. Voor het bekijken van de gevoelige inhoud van een bericht tijdens een onderzoek is Enterprise Plus, Frontline Plus of Education Standard of Plus vereist.

Als je editie geen Security Center bevat, biedt de pagina 'Audit en onderzoek' de logs voor onderzoek achteraf. Het is minder handig, maar de informatie is wel beschikbaar.