Microsoft Secure Score: uitleg en verbeteren in 2026

IT-beheerder analyseert Microsoft Secure Score

Microsoft Secure Score is het cijfer dat Microsoft geeft aan de beveiliging van je Microsoft 365-omgeving. Hoe hoger het percentage, hoe meer aanbevolen beveiligingsmaatregelen je hebt doorgevoerd. Je vindt de score in de Microsoft Defender-portal. Bij elk onderdeel staat welke acties de meeste winst opleveren. In dit artikel lees je hoe de score werkt en hoe je hem leest. Je ziet ook in welke volgorde je je tenant het beste beveiligt, en waar het cijfer je op het verkeerde been kan zetten.

Astia

Houd je Microsoft 365 veilig

ASTIA IT beheert werkplekken, netwerken en telefonie voor het MKB, zodat teams veilig kunnen doorwerken zonder zich met techniek bezig te houden.

Bekijk IT-beheer

Kort samengevat

📊 Secure Score meet hoeveel van de beveiligingsaanbevelingen van Microsoft je hebt doorgevoerd. Het cijfer zegt niet dat je onkwetsbaar bent.
🔐 De score bestaat uit vier categorieën: identiteit, apparaten, apps en gegevens. Bij identiteit haal je meestal het snelst de meeste winst.
⏱️ Wijzigingen zie je pas na 24 tot 48 uur terug in je score. Na een aanpassing hoef je dus niet meteen te kijken.
✅ Past een aanbeveling niet bij je bedrijf? Dan mag je het risico bewust accepteren. Dat is een legitieme keuze, zolang je hem vastlegt.
🧱 Een vaste basisinrichting (baseline) houdt je score stabiel, ook als er nieuwe medewerkers, apparaten en apps bijkomen.

Inhoudsopgave

Wat is Microsoft Secure Score precies?
Waar vind je je score?
Hoe wordt de score berekend?
Wat is een goede Secure Score?
Je score verbeteren: een praktisch stappenplan
Van losse acties naar een vaste baseline
Valkuilen: waar het cijfer je misleidt
Meer dan één Secure Score
Zo kijken wij naar Secure Score
Je Microsoft 365-beveiliging uit handen geven
Veelgestelde vragen
Bronnen

Wat is Microsoft Secure Score precies?

Volgens Microsoft is Secure Score een meting van de beveiligingspostuur van je organisatie. Een hoger getal betekent dat je meer aanbevolen acties hebt uitgevoerd. Het cijfer is dus een maat voor hoe ver je bent met de beveiligingsinstellingen die Microsoft aanraadt. Het is geen eindcijfer voor hoe veilig je bedrijf is.

Microsoft vergeleek de score bij de introductie met een soort kredietscore voor beveiliging. Je ziet wat je al hebt gedaan om risico’s te verkleinen en wat je nog kunt doen. Die vergelijking klopt nog steeds. De score helpt je kiezen wat je eerst aanpakt. Hij beoordeelt niet streng goed of fout.

Wat je in de praktijk krijgt:

Eén percentage voor je hele omgeving, met een verdeling per categorie.
Een lijst met aanbevelingen, elk met een puntwaarde en een uitleg over de impact op gebruikers.
Een geschiedenis, zodat je ziet of je score stijgt of daalt.
Een vergelijking met organisaties van vergelijkbare grootte.

Waar vind je je score?

Je opent de score in de Microsoft Defender-portal via security.microsoft.com/securescore. Daarvoor heb je een account met de juiste rechten nodig, zoals een beveiligingsbeheerder of een globale lezer. Zie je niets? Vraag dan aan je IT-beheerder welke rol je account heeft.

In het overzicht zie je drie dingen:

Je huidige score als percentage van het maximaal haalbare aantal punten.
Aanbevolen acties, gesorteerd op hoeveel punten ze opleveren.
Geschiedenis en trends, met een grafiek van je score over tijd. Microsoft laat hier ook zien hoe je score zich verhoudt tot die van andere organisaties. Je kunt zelf vastleggen wat jullie een goede, redelijke of slechte score vinden.

Hoe wordt de score berekend?

De score is de optelsom van punten voor uitgevoerde aanbevelingen. Microsoft deelt die aanbevelingen in vier categorieën in:

Categorie	Waar gaat het over?	Voorbeelden van aanbevelingen
Identiteit	Accounts en rollen in Microsoft Entra ID	MFA voor alle gebruikers, minder globale beheerders, verouderde aanmeldmethoden blokkeren
Apparaten	Laptops en pc’s via Microsoft Defender for Endpoint	Schijfversleuteling, firewall aan, beveiligingsupdates bijwerken
Apps	E-mail en cloud-apps zoals Office 365	Anti-phishingbeleid, controle op bijlagen en links, regels voor doorsturen naar buiten
Gegevens	Informatiebeveiliging met Microsoft Purview (voorheen Information Protection)	Gevoeligheidslabels, regels tegen datalekken

Elke aanbeveling heeft een vaste puntwaarde. Soms krijg je de volledige punten pas als alles voldoet. Bij andere acties krijg je een deel van de punten als een deel van je gebruikers of apparaten goed is ingesteld. Heeft maar de helft van je team MFA? Dan zie je dat terug in een gedeeltelijke score voor die actie.

Daarnaast kun je de status van een aanbeveling zelf aanpassen. Je kunt aangeven dat je het risico accepteert, of dat je het via een andere oplossing hebt geregeld. Een geaccepteerd risico telt niet meer als openstaande actie.

Wat is een goede Secure Score?

Dit is de vraag die iedereen stelt, en het eerlijke antwoord is: dat hangt af van je omgeving. Het maximale aantal punten verschilt per tenant, omdat het afhangt van je licenties en de diensten die je gebruikt. Een bedrijf met Microsoft 365 Business Premium heeft meer aanbevelingen op de lijst dan een bedrijf met alleen e-mail. Een percentage van de ene organisatie kun je daardoor niet zomaar naast dat van een ander leggen.

Kijk liever naar deze drie dingen:

De trend. Stijgt je score elke maand een beetje, dan ben je goed bezig. Daalt hij ineens, dan is er iets veranderd: een nieuw beleid dat uit staat, of een nieuwe aanbeveling van Microsoft.
De vergelijking in de portal met organisaties van vergelijkbare omvang. Dat zegt meer dan een getal uit een forum.
De categorie identiteit. Staat die laag, dan ligt de deur naar je omgeving nog op een kier. Hoe hoog je totaal ook is.

Je score verbeteren: een praktisch stappenplan

De lijst met aanbevelingen kan lang zijn. Dit is de volgorde die voor de meeste MKB-bedrijven het meeste oplevert met de minste overlast voor medewerkers.

Stap 1: zet MFA aan voor iedereen

Multifactorauthenticatie is de belangrijkste maatregel op de lijst. Een gestolen wachtwoord alleen is dan niet meer genoeg om in te loggen. Begin bij beheerdersaccounts en ga daarna door naar alle medewerkers. In ons artikel over MFA instellen voor Microsoft 365 lees je hoe je dat aanpakt zonder dat je team vastloopt.

Stap 2: ruim beheerdersrechten op

Tel hoeveel accounts globale beheerder zijn. Vaak zijn dat er meer dan nodig, bijvoorbeeld een oud account van een vorige leverancier of van een medewerker die allang weg is. Houd het aantal klein en geef mensen alleen de rol die ze echt nodig hebben. Hoe rollen en licenties in Entra ID samenhangen, lees je in Entra ID in 5 stappen voor het MKB.

Stap 3: blokkeer verouderde aanmeldmethoden

Oudere protocollen ondersteunen geen MFA. Zolang ze open staan, kan een aanvaller daar alsnog langs. Microsoft blokkeert ze in de standaardinstellingen voor beveiliging van Entra ID. Let op: oude scanners of multifunctionals die e-mail versturen hebben soms een andere instelling nodig. Test dat eerst.

Stap 4: versterk je e-mailbeveiliging

Phishing komt nog altijd vooral binnen via de mailbox. Met de vooraf ingestelde beveiligingsbeleidsregels van Defender for Office 365 zet je met een paar klikken een standaard- of een strikt beschermingsniveau aan. Je regelt dan anti-spam, anti-phishing en anti-malware in één keer. Microsoft baseert die instellingen op wat het in de eigen datacenters ziet.

Stap 5: beheer je apparaten

Zijn laptops en telefoons aangemeld bij Intune en Defender for Endpoint? Dan gaan de aanbevelingen in de categorie apparaten meetellen. Denk aan BitLocker-versleuteling, een actieve firewall en automatische updates. Bij een kwijtgeraakte laptop maakt dat het verschil tussen een vervelend incident en een datalek.

Stap 6: bescherm je gegevens

Met gevoeligheidslabels en regels tegen datalekken voorkom je dat bijvoorbeeld een bestand met klantgegevens per ongeluk naar buiten gaat. Dat hangt nauw samen met de AVG. Lees meer in AVG en Microsoft 365.

Stap 7: beoordeel wat overblijft

Ga de rest van de lijst langs en maak per aanbeveling een keuze: doorvoeren, plannen of het risico accepteren. Schrijf bij een geaccepteerd risico kort op waarom. Zo weet je over een jaar nog waarom je die keuze maakte.

💡 Tip: voer per week één of twee aanbevelingen door in plaats van alles in één middag. Zo zie je of er iets misgaat bij gebruikers en weet je ook welke wijziging het veroorzaakte.

Van losse acties naar een vaste baseline

Secure Score vertelt je wat er openstaat. Een baseline zorgt dat het dicht blijft. Bij Microsoft 365-hardening gaat het om een vaste set instellingen die je voor de hele tenant vastlegt en bewaakt.

Microsoft biedt hiervoor een paar bouwstenen:

Standaardinstellingen voor beveiliging (security defaults). Een gratis basispakket in Entra ID met onder meer verplichte MFA-registratie en het blokkeren van verouderde aanmeldmethoden. Gebruik je voorwaardelijke toegang? Dan stel je die regels zelf in en gaan de standaardinstellingen uit.
Standaard beveiligd in Office 365. Een aantal beschermingen staat voor alle cloudmailboxen standaard aan, zoals de behandeling van malware en phishing met hoge betrouwbaarheid.
Beveiligingsbaseline voor Microsoft 365 Apps. Microsoft publiceert een aanbevolen configuratie voor Word, Excel, Outlook en de andere apps, bijvoorbeeld voor macro’s en het openen van bestanden van internet.
Baselines voor beheerders van meerdere tenants. IT-dienstverleners kunnen met Microsoft 365 Lighthouse-baselines een standaardinrichting herhaalbaar uitrollen over meerdere klantomgevingen.

Het voordeel van een baseline is dat nieuwe medewerkers, laptops en mailboxen automatisch goed worden ingericht. Je score zakt dan niet weg zodra je bedrijf groeit. Zet je net een nieuwe omgeving op? Neem de baseline dan meteen mee in je Microsoft 365-implementatie. Achteraf rechtzetten kost meer tijd.

Valkuilen: waar het cijfer je misleidt

De score verandert niet direct

Na een aanpassing duurt het meestal 24 tot 48 uur voordat je score bijwerkt. Zie je na een uur niets veranderd? Dan heb je waarschijnlijk niets fout gedaan.

Je score blijft op 0%

Soms toont de portal 0% en geen aanbevelingen, ook met geldige licenties. Volgens een antwoord op Microsoft Q&A is de evaluatie dan nog niet gestart voor je tenant. Wat vaak helpt: open in de Defender-portal bijvoorbeeld de apparateninventaris of de identiteitsinstellingen en wacht daarna 24 tot 48 uur.

Een hoge score is geen garantie

Microsoft zegt het zelf: de score is een samenvatting van ingestelde maatregelen. Hij is geen bewijs dat je niet gehackt kunt worden. Hij ziet bijvoorbeeld niet of je back-ups werken, of je medewerkers een phishingmail herkennen of hoe je netwerk op kantoor is ingericht.

Punten jagen kost gebruiksgemak

Niet elke aanbeveling past bij elk bedrijf. Een maatregel die je buitendienst elke dag uitlogt, levert misschien punten op. Maar je medewerkers gaan er dan omheen werken. Microsoft benadrukt dat beveiliging en gebruiksgemak in balans moeten zijn. Een bewust geaccepteerd risico is daarom geen falen.

Meer dan één Secure Score

Kom je verschillende scores tegen? Dat klopt, Microsoft gebruikt de term op meerdere plekken:

Microsoft Secure Score in de Defender-portal: de totaalscore voor je Microsoft 365-omgeving, waar dit artikel over gaat.
Identity Secure Score in Microsoft Entra: een percentage voor alleen je identiteitsinstellingen.
Secure Score voor apparaten in Defender Vulnerability Management: hoe goed je endpoints beschermd zijn tegen bedreigingen.
Cloud Secure Score in Microsoft Defender for Cloud: de score voor je Azure- en cloudomgeving, los van Microsoft 365.

Voor de meeste MKB-bedrijven zonder eigen Azure-servers is de eerste score de belangrijkste. De andere twee zijn deelscores die erin terugkomen.

Zo kijken wij naar Secure Score

We gebruiken Secure Score elke dag, maar we sturen er niet blind op. Voor ons is het een checklist en een vroege waarschuwing. Het is geen doel op zich. Een ondernemer heeft niets aan een mooi percentage als het team daardoor elke ochtend tien minuten kwijt is aan inloggen.

Zo kijken wij naar Secure Score — overview diagram

Onze aanpak is daarom eenvoudig. Eerst regelen we de basis die altijd klopt: MFA voor iedereen, weinig beheerders, oude aanmeldmethoden dicht en goede e-mailbescherming. Daarna kijken we samen met de klant welke aanbevelingen bij het bedrijf passen. Wat niet past, leggen we vast als bewuste keuze. Zo weet iedereen waarom iets uit staat.

Wat we vaak zien bij nieuwe klanten: de score is in de loop der jaren weggezakt. Niet door slordigheid, maar omdat niemand er echt verantwoordelijk voor was. De ene leverancier deed de telefonie, de ander de laptops, en Microsoft 365 was van niemand. Daarom nemen we het hele IT-fundament in beheer en houden we de omgeving 24/7 in de gaten. Zo zien we een daling in de score voordat er iets misgaat. En als je een vraag hebt, bel je ons gewoon direct. Zonder ticketsysteem.

— Mick

Je Microsoft 365-beveiliging uit handen geven

Wil je niet zelf elke maand de aanbevelingen langs? Bij ASTIA nemen we het beheer van je Microsoft 365-omgeving volledig over. We doen de inrichting, houden de baseline bij en bewaken de omgeving. Met IT-beveiliging voor het MKB combineer je dat met monitoring, back-ups en beveiliging van je werkplekken. Je betaalt een vast bedrag per werkplek en hebt één aanspreekpunt voor je hele IT.

Veelgestelde vragen

Kost Microsoft Secure Score geld?

Nee, Secure Score is onderdeel van de Microsoft Defender-portal en je betaalt er niet apart voor. Welke aanbevelingen je ziet, hangt wel af van je licenties. Met een uitgebreider pakket krijg je meer acties en dus meer punten die je kunt behalen.

Hoe vaak moet ik naar mijn score kijken?

Eén keer per maand is voor de meeste MKB-bedrijven genoeg, plus direct na grote wijzigingen. Microsoft voegt geregeld nieuwe aanbevelingen toe, waardoor je score kan dalen zonder dat jij iets hebt veranderd. Een vast maandelijks moment voorkomt dat je dat mist.

Waarom daalt mijn score terwijl ik niets heb veranderd?

Meestal heeft Microsoft nieuwe aanbevelingen toegevoegd, of zijn er gebruikers of apparaten bijgekomen die nog niet aan het beleid voldoen. Een nieuwe medewerker zonder MFA verlaagt bijvoorbeeld de gedeeltelijke punten voor die actie. In de geschiedenis zie je welke actie de daling veroorzaakte.

Moet ik naar 100% streven?

Nee, dat is voor bijna geen enkel bedrijf zinvol. Sommige aanbevelingen passen niet bij je manier van werken of vragen licenties die je niet nodig hebt. Focus op een hoge score bij identiteit en e-mail. Leg bij de rest bewust vast wat je wel en niet doet.

Wat is het verschil tussen Secure Score en security defaults?

Secure Score is een meetinstrument: het laat zien wat er openstaat. Security defaults zijn een set instellingen die je aanzet en die een deel van die punten direct oplevert. Je gebruikt ze dus samen: de standaardinstellingen als basis, de score om te zien wat er daarna nog te doen is.

Bronnen