Zo stelt u MSP-vriendelijke compliance-rapporten op met Microsoft Secure Score

Microsoft Secure Score is een essentiële tool voor security-analytics binnen Microsoft 365. De tool geeft organisaties een meetbaar beeld van hun huidige beveiligingsbeleid en levert concrete, uitvoerbare aanbevelingen voor verbetering. Voor managed service providers (MSP’s) is Secure Score meer dan een intern dashboard: het vormt de basis voor transparante, datagedreven klantrapportages en gestandaardiseerde compliance-tracking over meerdere tenants heen.

Wanneer u Secure Score-gegevens in een helder, gebrandmerkt en uitvoerbaar format presenteert, kunnen MSP’s de waarde die ze leveren tastbaar maken. Klanten zien verbeteringen in de loop van de tijd, lopen voor op beveiligingsrisico’s ruim voordat er een audit of inbreuk plaatsvindt en kunnen hun organisatie met vertrouwen afstemmen op toonaangevende frameworks zoals CIS, NIST en ISO 27001. Efficiënte en herhaalbare Secure Score-rapportage helpt MSP’s bovendien om interne processen te stroomlijnen, prioriteiten voor herstel proactief te bepalen en de beveiligingsvolwassenheid te documenteren.

Wat is het Microsoft Secure Score-rapport?

Microsoft Secure Score is een tool voor beveiligingsbeoordeling binnen Microsoft 365 die het beveiligingsbeleid van een organisatie evalueert aan de hand van de huidige configuraties, het gedrag van gebruikers en de ingevoerde controles in de Microsoft-cloudomgeving. De gegenereerde score laat zien hoe nauw de tenant aansluit op de door Microsoft aanbevolen beveiligingspraktijken en geeft gedetailleerde verbeteracties om risico’s te verkleinen.

Wat is het verschil tussen de Compliance Score en de Secure Score?

Het verschil tussen de “Compliance Score” en de “Secure Score” in Microsoft 365 zit in wat elke metriek meet en rapporteert:

Microsoft Secure Score richt zich op het technische beveiligingsbeleid van een organisatie. De tool evalueert de huidige beveiligingsinstellingen, configuraties en gedragingen binnen Microsoft 365 en geeft een numerieke score plus uitvoerbare aanbevelingen om de bescherming tegen dreigingen te versterken. Het hoofddoel is IT-teams en MSP’s helpen beveiligingscontroles te kwantificeren, te benchmarken en continu te verbeteren om risico’s te verkleinen.

Microsoft Compliance Score beoordeelt daarentegen in hoeverre uw organisatie voldoet aan wettelijke en branchespecifieke compliance-eisen (zoals GDPR, HIPAA of ISO 27001). De Compliance Score weerspiegelt zowel technische instellingen als organisatorische maatregelen, waaronder gedocumenteerd beleid, gebruikerstraining en auditprocedures, en biedt daarmee een breder perspectief dat op governance is gericht.

Vereisten voor rapportage over MS Secure Score

Zorg dat het volgende op orde is voordat u Secure Score-gegevens exporteert en erover rapporteert:

• Licenties: Microsoft Secure Score is beschikbaar bij ondersteunde Microsoft 365-abonnementen. Welke beveiligingsbeoordelingen en aanbevelingen beschikbaar zijn, kan per licentie verschillen.
• Portaltoegang: u moet zich aanmelden bij de Microsoft Defender-portal en naar Microsoft Secure Score navigeren.
• PowerShell en SDK: de Microsoft Graph PowerShell SDK moet geïnstalleerd zijn op elke werkplek die voor automatisering of rapportage wordt gebruikt.
• Machtigingen: wijs het account dat voor gegevensverzameling wordt gebruikt de rol Microsoft Entra Global Reader of Security Reader toe.
• Visualisaties: stel optioneel Power BI in voor geavanceerdere gegevenstransformatie, analyse en rapportpresentatie.
• RMM/endpoint: zet NinjaOne of een vergelijkbaar RMM-platform (monitoring en beheer op afstand) in om beveiligingsinformatie van endpoints te verzamelen die Secure Score-gegevens aanvult en gedetailleerdere beveiligingsrapportage ondersteunt.

Secure Score bekijken via de Microsoft Defender-portal

De meest directe manier om Secure Score-gegevens te bekijken is via de Microsoft Defender-portal. Nadat u zich met de juiste machtigingen hebt aangemeld, gaat u naar het Secure Score-dashboard, waar u een compleet beeld krijgt van het beveiligingslandschap van uw tenant.

Hier ziet u:

• Totale beveiligingsscore: weergegeven als ruwe puntenwaarde én als behaald percentage ten opzichte van de best-practicebaseline van Microsoft.
• Uitsplitsing per categorie: bekijk hoe uw organisatie scoort op Identiteit, Apparaten, Apps, Gegevens en Infrastructuur, zodat u hiaten op specifieke gebieden opspoort.
• Exportmogelijkheden: gebruik de exportfunctie om de Secure Score-gegevens in CSV-formaat te downloaden, inclusief beschikbare scores, verbeteracties en hun status, afhankelijk van de gekozen weergave.

Filter en bewerk deze CSV-gegevens na het exporteren met Excel of Power BI voor de presentatie. Orden ze op belang, recente verbetering of risicogebied om klantvriendelijke samenvattingen te maken die het proactieve werk van uw MSP tastbaar maken en de voortgang richting beveiligingsdoelen volgen.

Secure Score exporteren met PowerShell en Microsoft Graph

Voor herhaalbaarheid, schaal en automatisering zetten MSP’s PowerShell in combinatie met de Microsoft Graph API in. Zo haalt u Secure Score-gegevens op een veilige, programmatische manier op voor meerdere klanten en tenants.

Voorbeeldworkflow:

1. Maak verbinding met Microsoft Graph:

Connect-MgGraph -Scopes "SecurityEvents.Read.All", "Reports.Read.All"

2. Vraag de huidige Secure Score op:

Get-MgSecuritySecureScore

3. Vraag verbeteracties en controleprofielen op:

Get-MgSecuritySecureScoreControlProfile

4. Exporteer het volledige rapport:

Get-MgSecuritySecureScore | Export-Csv -Path "C:\Reports\SecureScore.csv" -NoTypeInformation

Met opgeslagen referenties en een veilige app-registratie plant u deze scripts zo in dat ze periodiek voor meerdere tenants draaien. Door het verzamelen van Secure Score-gegevens te automatiseren, beschikken MSP’s altijd over de meest actuele risicobeoordelingen voor rapportage en herstel.

Gebrandmerkte MSP-rapporten voor klanten opbouwen

Ruwe beveiligingsgegevens zijn pas echt effectief wanneer u ze omzet in heldere, uitvoerbare rapporten die op elke klant zijn afgestemd. Bundel de Secure Score-resultaten in:

• Managementsamenvattingen: Geef een overzicht op hoofdlijnen van de huidige beveiligingstrend van de organisatie, met een bondig verhaal en goed leesbare visuals.
• Uitsplitsingen per categorie: Licht de prestaties op belangrijke gebieden uit (identiteiten, apparaten, apps enzovoort) en benoem zowel sterke als zwakke punten.
• Concrete vervolgstappen: Presenteer de belangrijkste nog niet geïmplementeerde controles of aanbevelingen, met hun mogelijke effect op de totaalscore.
• Historische grafieken: Visualiseer het verloop van de Secure Score in de tijd om continue verbetering en blijvende MSP-waarde aan te tonen.

Voorzie elk rapport van de naam en het logo van de klant, van uw eigen MSP-huisstijl en van persoonlijke aanbevelingen. Gebruik hulpmiddelen zoals aanpasbare Excel-sjablonen, Word-samenvoegdocumenten of Power BI-dashboards om rapporten visueel aantrekkelijk en consistent te houden. Archiveer de afzonderlijke rapporten op beveiligde, gedeelde locaties zoals SharePoint of NinjaOne Documents voor eenvoudige klanttoegang en compliance-documentatie.

Secure Score verrijken met registerwaarden van endpoints

Een beperking van Microsoft Secure Score is dat niet altijd alle beveiligingsconfiguraties van apparaten worden weerspiegeld, zeker niet wanneer die buiten Microsoft 365 worden beheerd. Om een vollediger beeld van endpointbeveiliging te geven, kunnen MSP’s hun Secure Score-rapporten aanvullen door belangrijke beveiligingsinstellingen rechtstreeks op Windows-apparaten te controleren met PowerShell.

Bijvoorbeeld:

BitLocker-status:

Voer de volgende PowerShell-opdracht uit om de versleutelings- en beschermingsstatus van de systeemschijf te controleren:

Get-BitLockerVolume -MountPoint C: | Select-Object MountPoint, VolumeStatus, ProtectionStatus

• De waarde ProtectionStatus = ON geeft aan dat BitLocker actief is.
• De waarde VolumeStatus = FullyEncrypted geeft aan dat de schijf volledig versleuteld is.

Controleer beide waarden om te bepalen of de schijf versleuteld is en of de bescherming is ingeschakeld.

Status van Windows Firewall:

Voer de volgende PowerShell-opdracht uit om te controleren of Microsoft Defender Firewall voor elk netwerkprofiel is ingeschakeld:

Get-NetFirewallProfile | Select-Object Name, Enabled

• Bij de waarde Enabled = True: de firewall is ingeschakeld voor het betreffende profiel.
• Bij de waarde Enabled = False: de firewall is uitgeschakeld voor dat profiel.

Door deze configuratiegegevens op afstand te verzamelen en in Secure Score-rapporten op te nemen, geven MSP’s klanten een vollediger beeld van hun beveiligingsbeleid. Zo komen beveiligingshiaten aan het licht die Microsoft Secure Score mogelijk niet laat zien en onderbouwt u herstelaanbevelingen beter.

Beveiligingsinstellingen op endpoints afdwingen met Group Policy

Met Group Policy Objects (GPO’s) configureren MSP’s beveiligingsinstellingen centraal op Windows-apparaten die lid zijn van een domein. Door die instellingen toe te passen en te verifiëren, versterken MSP’s de bescherming van endpoints en ondersteunen ze verbeteringen in Microsoft Secure Score wanneer de bijbehorende controles worden beoordeeld:

BitLocker-beleid:

1. Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > BitLocker-stationsversleuteling
2. Open Extra verificatie bij opstarten vereisen en selecteer Ingeschakeld.
3. Configureer voor apparaten die alleen TPM-verificatie gebruiken de volgende opties:
   • BitLocker toestaan zonder compatibele TPM: niet aangevinkt.
   • TPM-opstart configureren: TPM toestaan.
   • TPM-opstartpincode configureren: opstartpincode met TPM niet toestaan.
   • TPM-opstartsleutel configureren: opstartsleutel met TPM niet toestaan.
   • TPM-opstartsleutel en -pincode configureren: opstartsleutel en pincode met TPM niet toestaan.
4. Klik op Toepassen en daarna op OK om het beleid op te slaan.
5. Open PowerShell als beheerder nadat u BitLocker hebt uitgerold en voer de volgende opdracht uit om de versleutelings- en beschermingsstatus van de systeemschijf te verifiëren:
6. `Get-BitLockerVolume -MountPoint C: | Select-Object MountPoint, VolumeStatus, ProtectionStatus

💡Let op: deze Group Policy-instellingen configureren de opstartverificatie van BitLocker, maar schakelen de stationsversleuteling niet automatisch in. BitLocker moet apart worden uitgerold voordat de beschermingsstatus kan worden geverifieerd.

Met deze GPO’s voldoen alle apparaten aan de Secure Score-criteria en levert u een gevalideerde, meetbare verbetering ten opzichte van decentraal beheer. Door de Group Policy-instellingen regelmatig te bekijken en bij te werken, standaardiseert u de beveiliging verder binnen een gevarieerd SMB-klantenbestand.

Beleid voor antivirus en Defender AV:

1. Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Microsoft Defender Antivirus.
   1. Realtime bescherming inschakelen: zet onder Realtime-beveiliging de instelling Realtime-beveiliging uitschakelen op Uitgeschakeld.
   2. Cloud-based bescherming inschakelen: schakel onder MAPS de optie Deelnemen aan Microsoft MAPS in en selecteer Geavanceerde MAPS.
   3. Lokale uitsluitingen beperken: configureer onder Uitsluitingen de instelling Samenvoeggedrag van lokale beheerders voor lijsten configureren zo dat lokaal gedefinieerde uitsluitingen niet worden samengevoegd met centraal beheerde uitsluitingen, waar dat wordt ondersteund.

Met deze GPO’s standaardiseert u de beveiligingsinstellingen op beheerde Windows-apparaten. Door dit beleid regelmatig te bekijken en bij te werken, houdt u de beveiligingspraktijken in klantomgevingen consistent.

Apparaatspecifieke beveiligingsinstellingen valideren met CMD

Gebruik de ingebouwde tools van de opdrachtprompt om de bevindingen van Microsoft Secure Score te bevestigen en de configuratie op endpointniveau te controleren:

• Controleer de BitLocker-status met: manage-bde -status
• Bekijk de Windows Defender-service met: sc query Windefend
• Verifieer de firewallstatus met: netsh advfirewall show allprofiles

Documenteer de uitvoer van deze opdrachten of gebruik scripts om resultaten van uw hele beheerde apparaatpark te verzamelen. Door deze endpointverificatie in compliance-rapporten op te nemen, onderbouwt u de Secure Score-gegevens en bewijst u dat de controles daadwerkelijk op de werkvloer worden afgedwongen – en niet alleen in de cloud worden gerapporteerd.

Aanvullende overwegingen

Bij het gebruik van Secure Score voor compliance-rapportage verdienen enkele punten extra aandacht:

• Secure Score versus Compliance Score: onthoud dat Secure Score technische beveiligingsconfiguraties volgt, terwijl Compliance Score gaat over het naleven van regelgeving en beleid.
• Scoreverschillen bij oplossingen van derden: gebruikt u beveiligingstools die niet van Microsoft zijn, dan worden sommige maatregelen mogelijk niet door Secure Score herkend. Dat leidt tot een lagere score ondanks afdoende bescherming. Documenteer deze gevallen duidelijk voor de klant.
• Klantvoorlichting: neem altijd een korte samenvatting in uw rapport op waarin u de reikwijdte en beperkingen van Secure Score uitlegt, zodat klanten weten wat er wel – en niet – wordt gemeten.
• Procesautomatisering: plan periodieke Secure Score-beoordelingen in en gebruik de scoreverschillen (die in de loop van de tijd veranderen) om terugkerende herstelprocessen te starten. Deze proactieve aanpak stelt klanten tevreden en vereenvoudigt het doorlopende beveiligingsbeheer.

Problemen oplossen

U loopt onvermijdelijk tegen obstakels aan. Zo pakt u veelvoorkomende problemen met Secure Score-rapportage aan:

• Score wordt niet bijgewerkt: houd er rekening mee dat het tot 24 uur kan duren voordat Secure Score recente configuratiewijzigingen of afgeronde verbeteracties weergeeft.
• Lege API-query’s: levert de Microsoft Graph API lege resultaten op, controleer dan of alle vereiste machtigingen zijn verleend en of het verificatietoken nog geldig is.
• Ontbrekende controles in de export: gebruik Get-MgSecuritySecureScoreControlProfile om de beschikbare Secure Score-controleprofielen op te halen en exporteer de relevante resultaten vervolgens met Export-Csv.
• GPO wordt niet toegepast: worden GPO-wijzigingen niet doorgevoerd, voer dan gpresult /h uit om problemen met bereik, filtering of OU-targeting te diagnosticeren en te zorgen dat het beleid op alle vereiste apparaten wordt toegepast.

NinjaOne-diensten

NinjaOne vult Microsoft Secure Score-rapportage aan door MSP’s te helpen beveiligingscontroles op endpoints te automatiseren, relevante apparaatgegevens te verzamelen en herstelworkflows te stroomlijnen.

• Geplande scriptuitvoering: automatiseer de uitvoering van aangepaste scripts die Secure Score-gegevens via Microsoft Graph ophalen, met passende verificatie en machtigingen voor terugkerende rapportage.
• Beveiligingscontroles op endpoints: gebruik NinjaOne om scripts uit te voeren die beveiligingsconfiguraties van endpoints verifiëren, zoals BitLocker-bescherming en de status van Windows Firewall, en vul de Secure Score-bevindingen zo aan met informatie op apparaatniveau.
• Beleidsautomatisering: gebruik wijzigingen in de Secure Score om mogelijke beveiligingsachteruitgang te signaleren en stel vervolgens NinjaOne-beleid en herstelscripts in om de bijbehorende endpointproblemen aan te pakken. Om Secure Score-gegevens als automatische trigger te gebruiken, is een aangepaste integratie nodig.
• Aangepaste dashboards: combineer Secure Score-resultaten uit Microsoft Graph met NinjaOne-endpointgegevens zoals back-upstatus, patching en apparaatgezondheid in een aangepast rapportagedashboard voor een vollediger beeld van de beveiliging bij uw klanten.
• Aggregatie over tenants heen: verzamel Secure Score-gegevens uit meerdere Microsoft 365-tenants via Microsoft Graph en combineer die met de rapportage over meerdere organisaties in NinjaOne om beveiligingsprestaties te benchmarken, risico’s te signaleren en bevindingen met al uw beheerde klanten te delen.

Door de inzichten uit Microsoft Secure Score te koppelen aan de mogelijkheden van NinjaOne voor Endpoint management, scripting en rapportage, krijgen MSP’s meer zicht op beveiligingsconfiguraties, ondersteunen ze herstelwerkzaamheden en leveren ze klanten een completere beveiligingsrapportage.

Vul compliance-rapporten aan met inzichten uit Microsoft Secure Score

Uw Microsoft Secure Score opnemen in compliance-rapporten is onmisbaar om het beveiligingsbeleid van Microsoft 365-tenants te beoordelen en te verbeteren. Voor MSP’s is het ophalen van deze gegevens en het omzetten ervan in uitvoerbare, klantgerichte compliance-rapporten dé manier om waarde aan te tonen, continue verbetering te stimuleren en operationeel transparant te blijven. Door handmatige exports, API-gestuurde verzameling, PowerShell-automatisering, endpointvalidatie en stevige beleidshandhaving te combineren, kan elke MSP heldere, gebrandmerkte inzichten leveren die klanten vertrouwen geven.

Wanneer u deze werkwijzen integreert met NinjaOne en geavanceerde tools inzet voor beveiligingscontroles op endpoints, scripting en rapportage, kunnen MSP’s de Secure Score-bevindingen aanvullen met bewijs op endpointniveau en herhaalbare, op bewijs gebaseerde beveiligingsbeoordelingen ondersteunen.