Een instelling en de werking zijn twee verschillende vragen
Dat een gebruiker een MFA-methode heeft geregistreerd, betekent niet automatisch dat MFA bij alle relevante toegang wordt afgedwongen. Controleer de doelgroepen, uitzonderingen, voorwaarden en status van toegangsbeleid. Een policy in rapportagemodus laat mogelijke effecten zien, maar dwingt de maatregel niet af. Beoordeel samen wat de verschillende policies afdekken.
Beoordeel aanmeldingen met de juiste context
Een gebruiker hoeft niet bij iedere aanmelding opnieuw een MFA-code in te voeren. Eerder voldane authenticatie kan in de sessie worden gebruikt. Een ontbrekende prompt is daarom op zichzelf geen bewijs dat MFA ontbreekt. Bekijk de authenticatiedetails en toegepaste policies om vast te stellen wat bij een aanmelding daadwerkelijk is gebeurd.
Kijk verder dan alleen MFA
Welke apparaten mogen bestanden openen en synchroniseren? Welke accounts hebben beheerrechten? Zijn gastaccounts nog nodig en welke applicaties mogen gegevens benaderen? Deze vragen bepalen mede wat er kan gebeuren wanneer toegang wordt misbruikt. Ook mailbeveiliging, werkplekbeveiliging en afspraken voor uitdiensttreding horen bij een beoordeling.
Van bevinding naar een werkbare maatregel
Stel vast wie of wat buiten het beoogde beleid valt en waarom. Bespreek noodzakelijke uitzonderingen, test wijzigingen met een beperkte groep en controleer noodtoegang. Daarna beoordeelt u of de wijziging het bedoelde effect heeft. Daarmee verbindt u configuratie, dagelijks gebruik en controle, in plaats van alleen een vinkje in het beheerportaal te beoordelen.