Document · PDF

11 bijlage 1 20210721 Gem MiddenDelfland HLD Modern Workplace v1.0.pdf

Gemeenteraad 20 december 2022, gemeente Midden-DelflandBij agendapunt: Voorstel tot het instemmen met de roadmap transitie Office 36513.818 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 2 van 2

Page | 33 of 54

Er moet een ‘break glass’ account aanwezig zijn. Dit is een cloud-only account.

In geval van calamiteiten kan met dit account altijd volledige toegang tot de tenant verkregen worden. Dit account is niet bedoeld voor dagelijks beheer en zal op een veilige plek in bewaring worden genomen (bijvoorbeeld een kluis).

Architectuur tekening In de onderstaande tekening zijn twee servers met Azure AD Connect weergegeven.

Page | 34 of 54

Enterprise Applicaties binnen de Azure AD biedt de mogelijkheid om autorisatie te verzorgen voor eindgebruikers op een andere methode dan middels AD FS waar momenteel gebruik van wordt gemaakt. Door inzet van de Azure AD en Enterprise Applicaties melden gebruikers zich eenmaal aan voor een veilige en naadloze toegang tot deze toepassingen. Applicaties en de aanmelding op applicaties zijn middels Conditional Access en MFA beter te beveiligen. Vanuit dezelfde portaal zijn er veel meer inzichten in het gebruik, of misbruik, van de applicaties. Een voorbeeld van de voor gemeente Midden-Delfland belangrijkste applicaties welke AD FS gebruiken is hieronder benoemd. › › ›

JIM Social Intranet SmartDocuments Web Zaaksysteem.nl

Per applicatie kan bepaald worden of MFA wordt ingeschakeld, die gebeurt op basis van conditional access. Dit zal altijd in overleg moeten gaan de applicatieleverancier. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Applicaties worden opgenomen als Enterprise applicaties

Applicaties worden centraal beheerd, beveiligd en gemonitord vanuit de cloud

MFA wordt voor alle applicaties ingeschakeld

Voor een betere beveiliging wordt geadviseerd om MFA voor alle applicaties in te schakelen.

Elke gebruiker te voorzien van een Azure AD Premium P1 licentie.

Azure AD Premium P1 licentie is benodigd om Enterprise apps te mogen gebruiken. Azure AD Premium P1 is een onderdeel van de EM+S E3 suite dat daarbij onderdeel is van Microsoft 365 E3/E5.

Page | 35 of 54

Standaard wordt voor het authenticatie proces van elke gebruiker één verificatie stap gebruikt, namelijk de combinatie van gebruikersnaam en wachtwoord. Deze verificatie stap is erg kwetsbaar doordat medewerkers wachtwoorden hergebruiken, ergens noteren of slechte wachtwoorden kiezen. Deze verificatie stap is niet meer van deze tijd en door veel leveranciers, waaronder Microsoft, wordt geadviseerd om hiervan af te stappen. Alternatief voor het wachtwoord is een biometrische verificatie stap waarbij bijvoorbeeld een irisscan of gezichtsherkenning wordt toegepast. Deze mag voor mobiele apparaten worden ingezet binnen gemeente Midden-Delfland. Op dit moment ondersteunt veel hardware en software deze verificatie methode nog niet. Waardoor het op dit moment beste keuze is om een tweede verificatie stap toe te voegen aan het wachtwoord. Dit wordt Multi-Factor Authentication (MFA) genoemd. Het authenticatie proces van de gebruiker ziet er dan als volgt uit. › ›

Stap 1: Gebruikersnaam en wachtwoord (iets wat je weet) Stap 2: SMS / Telefoonoproep / Push notificatie op Microsoft Authenticator App (iets wat je hebt)

Microsoft levert een MFA Clouddienst genaamd Azure MFA. Azure MFA is toepasbaar op de volgende systemen. ›

Microsoft Cloud Apps (Office 365): werken rechtstreeks met Azure MFA › On-Premises App (VPN, Citrix, NetScaler, Ivanti) werken via een NPS server of MFA Server. Het gebruik van Azure MFA vereist minimaal een Azure AD Premium P1 licentie per gebruiker. Om Azure MFA toe te passen op Microsoft Cloud Apps is geen extra server benodigd. Voor de implementatie van Azure MFA op On-Premises Apps is een on-premises Microsoft Network Policy Server (NPS) benodigd. Deze NPS server wordt voorzien van de Azure MFA Extensie om aan te sluiten op de Azure MFA omgeving. De koppeling tussen de On-Premises App en de NPS server vindt plaats op basis van het RADIUS protocol. De Microsoft NPS server kent geen clustering mogelijkheid voor redundantie. Er zijn twee methodes om NPS hoog beschikbaar aan te bieden. › ›

Twee NPS servers ontsluiten via een load balancer. Twee NPS servers opgeven als RADIUS server in de Om-Premises App. De applicatie zorgt hierbij zelf voor load balancing.

Een gevolg van de keuze voor de NPS server i.c.m. Azure MFA is dat alleen een telefoonoproep en de Microsoft Authenticator Push Notificatie verificatie opties worden ondersteund. Azure MFA kent een aantal generieke configuratie opties die het gedrag voor de gebruiker bepalen. Hieronder staat een overzicht van de opties en een toelichting. Custom Voice Message: Bij een telefoonoproep heeft Microsoft de teksten ingesproken. Indien gewenst is het mogelijk om zelf teksten in te spreken in de huisstijl van de gemeente Midden-Delfland .

Page | 36 of 54

Trusted IP: Trusted IP stelt gemeente Midden-Delfland in staat om altijd de tweede verificatiestap te omzeilen indien een authenticatie verzoek komt van een specifiek publiek IP-adres. App Passwords: Sommige (vaak oudere) applicaties kunnen met maar één verificatiestap omgaan. Indien Azure MFA wordt ingeschakeld voor een gebruiker die gebruik maak van deze legacy applicaties is het niet meer mogelijk om van deze legacy applicaties gebruik te maken. Om dit te omzeilen, en toch een twee verificatiestap aan te kunnen bieden heeft Microsoft App Passwords geïntroduceerd. Een App Password is een éénmalig, willekeurig gegenereerd wachtwoord van 16 karakters. Dit wachtwoord kan worden ingezet voor legacy applicaties. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Azure MFA wordt ingeschakeld voor alle gebruikers, inclusief externe leveranciers.

gemeente Midden-Delfland beleid vereist dat elk account is voorzien van een tweede verificatie methode. En gebruikt hiervoor reeds Azure MFA

Elke gebruiker is voorzien van een Azure AD Premium P1 licentie.

Azure AD Premium P1 licentie is benodigd om Azure MFA te mogen gebruiken. Azure AD Premium P1 is een onderdeel van de EM+S E3 suite of de Microsoft M365 E3/5 licenties.

De aangeboden verificatie methodes zijn telefoonoproep en Microsoft Authenticator App push notificatie

Alleen telefoonoproep en de Microsoft Authenticator push notificatie worden ondersteund door de NPS server.

Self-Service Password Reset (SSPR) zal worden ingezet om wachtwoorden in de cloud te laten herstellen.

SSPR heeft als voordeel dat gebruikers zelf wachtwoorden in op het Microsoft platform kunnen veranderen, hiermee wordt de druk bij een ondersteuningsafdeling verlicht.

Fraude Alert notificatie is ingesteld op:

Dit e-mail adres is conform de wens van de klant.

EMAILADDRESS 32

Custom Voice Message word niet ingeschakeld

De standaard Microsoft Voice Message is toereikend voor gemeente Midden-Delfland .

Page | 37 of 54

Trusted IP is niet ingeschakeld

Het omzeilen van Azure MFA op basis van Publieke IP is niet de wens van gemeente Midden-Delfland . Het omzeilen van Azure MFA dient te worden uitgevoerd op basis van een ‘Trusted’ device gemarkeerd door Intune. Dit wordt mogelijk gemaakt door een Conditional Access policy.

App Passwords zijn niet ingeschakeld

gemeente Midden-Delfland beleid vereist dat er alleen van moderne applicaties gebruik wordt gemaakt. Dit komt ook ten goede aan de gebruikers ervaring.

Conditional Access (CA) is een functie van Azure AD. Met deze oplossing is het mogelijk om gedetailleerd toegangsbeheer te configureren met behulp van een voorwaardelijk toegangsbeleid om bedrijfsgegevens van de organisatie te beveiligen, terwijl eindgebruikers de mogelijkheid wordt geboden om op elk apparaat en op elke locatie optimaal te presteren. Door middel van een voorwaardelijk toegangsbeleid kunnen voorwaarden opgegeven worden die de toegang tot bedrijfsgegevens beperken op basis van de locatie, de apparaat- en gebruikersstatus en de gevoeligheid van een toepassing.

Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Conditional access wordt geïmplementeerd.

Conditional access helpt bij het flexibel geven van toegang tot Microsoft cloud resources.

MFA wordt afgedwongen voor alle eindgebruikers welke zich buiten het netwerk van

Bij de inrichting van CA en de MFA policy voor eindgebruikers wordt gezorgd dat deze altijd ingesteld zijn wanneer er gewerkt wordt met het Microsoft platform buiten het gemeente MiddenDelfland netwerk.

Page | 38 of 54

gemeente Midden-Delfland bevinden. 37

MFA wordt altijd afgedwongen voor beheer rollen

Indien een account beschikt over beheer rollen zal deze gedwongen worden voor elke sessie een MFA actie te voltooien.

Compliant Intune Windows 10 apparaten hebben volledige toegang.

Dit zijn apparaten waar gemeente Midden-Delfland eigenaar van is.

Niet-compliant Intune apparaten hebben ‘nietdownload’ toegang en vereisen Azure MFA.

Voorkomt dat informatie van gemeente Midden-Delfland (per abuis) opgeslagen wordt op apparaten die niet van gemeente Midden-Delfland

iOS en Android apparaten hebben alleen toegang via MAM.

gemeente Midden-Delfland wil alle iOS en Android apparaten beheren via MAM.

Legacy protocollen zijn niet toegestaan.

Conform Microsoft best practices wordt basic authenticatie niet toegestaan.

Company branding binnen Azure Active Directory zorgt ervoor dat de gemeente Midden-Delfland huisstijl aan de medewerker wordt getoond bij alle authenticatie pogingen op Microsoft Cloud diensten. Dit heeft als voordeel dat het de herkenbaarheid voor de medewerker vergroot. Ontwerp keuzes: # 42

Ontwerp keuze

Motivatie

Company branding is geïmplementeerd.

Company branding verhoogd de herkenbaarheid voor de medewerker.

Page | 39 of 54

Role Based Access Control (RBAC) stelt gemeente Midden-Delfland in staat om beter beveiligingsbeheer mogelijk te maken voor administratieve toegang tot componenten zoals Azure AD, Office 365 en Intune. De administratieve toegang wordt verleend op basis van rollen. Een beheerder kan één of meerdere rollen hebben. Microsoft levert een standaard set aan rollen welke direct in gebruik genomen kunnen worden. Daarnaast is het voor sommige componenten ook mogelijk om nieuwe (aangepaste) rollen te definiëren. Dankzij RBAC heeft een beheerder alleen administratieve toegang tot componenten welke nodig zijn voor de werkzaamheden. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Role Based Access Control is geïmplementeerd voor de producten Azure, Intune, Exchange Online, SharePoint Online (OneDrive for Business) en Skype for Business Online

Administratieve rechten worden gekoppeld aan beheer rollen. Op deze manier heeft een beheerder alleen toegang tot de componenten welke nodig zijn om de werkzaamheden uit te voeren.

Privileged Identity Management (PIM) is een service in Azure AD waarmee een organisatie de toegang tot belangrijke resources in de organisatie kan beheren, controleren en bewaken. Deze resources omvatten resources in Azure AD, Azure en andere Microsoft Online Services zoals Microsoft 365 of Microsoft Intune. Privileged Identity Management biedt op tijd gebaseerde en/of op goedkeuring gebaseerde rolactivering om de risico's van buitensporige, onnodige of misbruikte toegangsrechten voor resources te beperken. Hier zijn enkele van de belangrijkste kenmerken van Privileged Identity Management: ›

Just-in-time toegang bieden tot Azure AD- en Azure-resources;

›

Tijdgebonden toegang tot resources toewijzen met behulp van start- en einddata;

›

Goedkeuring vereisen om geprivilegieerde rollen te activeren;

›

Multi-factor authenticatie afdwingen om een beheer rol te activeren;

›

Gebruik motivering om te begrijpen waarom gebruikers de rol activeren;

›

Ontvang meldingen wanneer bevoorrechte rollen zijn geactiveerd;

›

Voer toegangsbeoordelingen uit om ervoor te zorgen dat gebruikers nog steeds rollen nodig hebben;

›

Download auditgeschiedenis voor interne of externe audit.

Om accounts met veel privileges beter te beschermen tegen kwaadwillenden en cyberaanvallen, kan Azure Active Directory Privileged Identity Management (PIM) worden gebruikt om de blootstellingstijd van

Page | 40 of 54

bevoegdheden te verlagen en de zichtbaarheid van het gebruik ervan te vergroten door middel van rapporten en waarschuwingen. PIM helpt bevoorrechte accounts te beschermen door just-in-time bevoorrechte toegang tot Azure AD- en Azure-resources te bieden. Toegang kan tijdgebonden zijn, waarna privileges automatisch worden ingetrokken. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

PIM is een gewenst onderdeel van binnen de Azure AD tenant, echter zal dit niet bij het moderne werkplek project worden geïmplementeerd

Administratieve rechten uitdelen op regels is een wens van de gemeente Midden-Delfland organisatie, echter tijdens de workshop is besproken dat deze implementatie eerst bij het IAM project zal worden getrokken en dus buiten het MW project valt.

Page | 41 of 54

Windows 10 werd voor het eerst uitgebracht in 2015 en is meest recente Microsoft besturingssysteem voor desktops, laptops, tablets, mobiele telefoons en IoT-apparaten (Internet of Things). Windows 10 wordt geleverd met sterk verbeterde beveiligingsfuncties, een nieuwe browser en tal van functies om het werken productiever en efficiënter te maken. Beveiligingsrisico's worden steeds belangrijker voor bedrijven. Windows 10 biedt volledig nieuwe methoden voor de beveiliging van systemen en gegevens. Het is ontwikkeld om gegevens, apparaten en identiteiten van de grootste en meest veeleisende bedrijven en overheden over de hele wereld te beschermen. Windows 10 heeft ook een geïntegreerd verdedigingsmechanisme voor het beschermen van kritieke bedrijfsgegevens tegen indiscretie, diefstal en scheidt bedrijfsgegevens van persoonlijke gegevens. Technologieën zoals Secure Boot en Device Guard en Credential Guard zorgen voor bescherming vanaf het inschakelen van uw apparaat tot het weer wordt uitgeschakeld. Vóór Windows 10 bracht Microsoft om de paar jaar nieuwe versies van Windows uit. Dit traditionele implementatieschema legde gebruikers een trainingsbelasting op omdat de functierevisies vaak aanzienlijk waren. Het betekende ook lang wachten zonder nieuwe functies - een scenario dat niet werkt in de snel veranderende wereld van vandaag.

Windows as a service levert twee keer per jaar kleinere functieupdates. Het implementeren van Windows 10 is eenvoudiger dan bij eerdere versies van Windows. Wanneer u migreert van eerdere versies van Windows, kunt u eenvoudig een lokaal upgradeproces uitvoeren om alle apps, instellingen en gegevens automatisch te behouden. Nadat Windows 10 is uitgevoerd, is de implementatie van Windows 10 Feature Updates eenvoudig. Windows 10 is compatibel met de meeste hardware en software die op Windows 7 of later kunnen worden uitgevoerd. Vanwege deze hoge mate van compatibiliteit kan het testen van de app-compatibiliteit aanzienlijk worden vereenvoudigd. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Windows 10 wordt geïnstalleerd op alle moderne werkplek apparaten.

Windows 10 is de huidige standaard in de markt en bij gemeente Midden-Delfland wanneer de full-clients beschikbaar komen zullen deze ook worden voorzien van Windows 10.

Page | 42 of 54

Er zijn diverse installatie methodes mogelijk voor Windows 10 Pro. › › › ›

Windows 10 Pro geleverd door hardware leverancier (OEM) Installatie met OEM installatie media (USB-stick) Light-Touch installatie met behulp van Microsoft Deployment Toolkit Zero-Touch installatie met behulp van Microsoft System Center Configuration Manager (SCCM)

In alle gevallen is het advies om OEM (probeer) software te verwijderen. Dit resulteert in een uniforme inrichting van alle werkplekken. Indien nodig kan een computer opnieuw geïnstalleerd worden. Dit kan door de gebruiker zelf geïnitieerd worden, hiervoor zijn wel beheerdersrechten op de werkplek benodigd. Een beheerder kan deze actie ook uitvoeren via de Intune Portaal. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Windows 10 wordt uitgerold via een light touch installatie wanneer Autopilot niet mogelijk is.

De gemeente Midden-Delfland beschikt niet over een Microsoft deployment tool zoals SCCM. Uitrol van Windows 10 images gebeurt momenteel via VMware Horizon. Uitrol van nieuwe fullclient werkplekken zal via autopilot plaats vinden. Voor de tussenfase is de meest praktische oplossing om MDT te gebruiken.

Windows 10 maakt gebruik het Windows as Service model en Windows Update for Business voor het gecontroleerd verspreiden van updates voor Windows 10. Windows 10 krijgt twee keer per jaar, in maart en september een nieuwe Feature Update. In deze Feature Update implementeert Microsoft nieuwe mogelijkheden in Windows 10. Elke Feature Update wordt voor 18 maanden ondersteund door Microsoft. Elke maand wordt Windows 10 voorzien van een Quality Update welke beveiliging-, betrouwbaarheid- en probleemoplossingen (bugfixes) bevat in één cumulatief updatepakket. Microsoft brengt alleen Quality Updates uit voor Feature releases welke in ondersteuning zijn. Met behulp van Windows Update for Business is het mogelijk om Feature en Quality Updates te verspreiden over alle Windows 10 werkplekken. Om de Feature Updates in een Pilot vorm te kunnen aanbieden zijn er twee Service Channels beschikbaar: • •

Semi-Annual Channel (Targeted): bevat de Windows 10 Feature Update release vanaf moment van uitgifte tot en met 4 maanden daarna. Semi-Annual Channel: bevat de Windows 10 Feature Update vanaf 5 maanden na uitgifte tot en met 18 maanden na uitgifte.

Page | 43 of 54

Schematische weergave Windows 10 updateproces:

Update: Vanaf de 1809 feature update zal de jaarlijkse september Feature update voor Windows 10 Enterprise en Windows 10 Education niet 18 maanden, maar 30 maanden ondersteund worden. Met behulp van de Service Channels is voor De Moderne Werkplek het navolgende Windows 10 updateschema opgesteld. Dit schema bestaat uit update ringen welke worden gekoppeld aan een groep van gebruikers. gemeente Midden-Delfland is zelf verantwoordelijk voor het aanleveren van deze gebruikers. Indien een Feature Update of een Quality Update zorgt voor problemen, dan kan verdere verspreiding voor een navolgende ring tijdelijk gepauzeerd worden. Dit geeft gemeente Midden-Delfland de mogelijkheid om het probleem op te lossen. Ring

Service Channel

Uitstellen Feature Updates

Uitstellen Quality Updates

Opmerking

Preview

SemiAnnual Channel (Targeted) SemiAnnual Channel (Targeted)

Inzet bij ICT-afdeling voor eerste De Moderne Werkplek testen en bevindingen.

Inzet bij een selectie van MW gebruikers. Dit zijn gebruikers welke actief meewerken aan De Moderne Werkplek zoals IT-coördinatoren, applicatiebeheerders en gebruikers met veel kennis van IT.

Inzet bij een aantal standaard gebruikers welke willen participeren in de Pilot. Deze gebruikers moeten actief betrokken zijn en bereidwillig zijn om incidenten te melden.

Pilot: Klein

Pilot: Standaard

SemiAnnual Channel (Targeted)

Page | 44 of 54

Productie: Klein

Productie: Middel

Productie: Groot

SemiAnnual Channel

Uitrol op productie, ongeveer 1% van de populatie.

SemiAnnual Channel

Uitrol op productie, ongeveer 10% van de populatie.

SemiAnnual Channel

Uitrol op productie, complete populatie.

Windows 10 Update zal worden aangevuld met de navolgende update instellingen. › › › › ›

Microsoft Product Update: toegestaan Windows Drivers: toegestaan Automatisch updategedrag: automatisch installeren binnen onderhoudsvenster. Productie uren (herstart voor updates wordt niet aanboden): 08.00 – 16.00 Download methode: HTTP blended with peering behind same NAT. - Deze optie reduceert het bandbreedte gebruik doordat computers de Windows Feature en Quality updates automatisch intern naar elkaar verspreiden.

Page | 45 of 54

Beveiliging is een integraal onderdeel van de Moderne Werkplek. De Moderne Werkplek is voorzien van de navolgende beveiligingsmaatregelen. In dit hoofdstuk staan de genomen beveiliging maatregelen en de bijbehorende instellingen.

De Windows Defender Firewall blokkeert ongeautoriseerd netwerkwerk verkeer van en naar de computer. Component

Instelling

Windows Defender Firewall Inbound notifications File Transfer Protocol Conditional Access

Enable Enable Block Windows Defender moet geactiveerd zijn ook op kantoor locaties van gemeente MiddenDelfland. Hierbuiten moet Windows Defender Firewall ingeschakeld zijn.

Windows Defender SmartScreen voorkomt het uitvoeren van bestanden en websites welke mogelijk nietlegitiem zijn, SmartScreen zal standaard worden ingesteld. Component

Instelling

SmartScreen for apps and files Unverified files execution SmartScreen for Microsoft Edge Malicious site access Unverified file download

Enable Block Require Block Block

Windows Defender Antivirus voorkomt dat bekende malafide software schade aan een computer van de gemeente kan veroorzaken. Component

Instelling

Real-time monitoring Behavior monitoring Network Inspection System (NIS) Scan all downloads Scan scripts loaded in Microsoft web browsers End-user access to Defender Signature update interval (in hours)

Enable Enable Enable Enable Enable Block 2

Page | 46 of 54

Days before deleting quarantined malware CPU usage limit during a scan Scan archive files Scan incoming mail messages Cloud-delivered protection Time extension for file scanning by the cloud Prompt users before sample submission Time to perform a daily quick scan Actions on detected malware threats Low severity Moderate severity High severity Severe severity

7 25 Enable Enable Enable 30 Send all data without prompting 12 PM Enable Quarantine Quarantine Quarantine Quarantine

BitLocker verzorgt de encryptie van alle informatie op de harde schijf / SSD. Hierdoor is het voor een ongeautoriseerd persoon niet mogelijk om de informatie welke lokaal staat opgeslagen in te zien. BitLocker vereist een encryptie sleutel voor het zichtbaar maken van alle informatie voor geautoriseerde personen. Deze encryptie sleutel wordt opgeslagen in de TPM-chip van de computer. Om deze reden is de aanwezigheid van een TPM-chip in de computer verplicht om gebruik te kunnen maken van BitLocker. BitLocker wordt standaard aangezet op De Moderne Werkplek. Component

Instelling

Encrypt devices Configure encryption methods Encryption for operating system drives Encryption for fixed data-drives Encryption for removable data-drives Additional authentication at startup BitLocker with non-compatible TPM chip OS drive recovery

Require Enable XTS-AES 128-bit XTS-AES 128-bit XTS-AES 128-bit Require Block Enable

Naarmate bedreigingen complexer en ingewikkelder worden, is het voor het IT team moeilijker om overzicht te houden en alle melding bij te houden. Microsoft 365 Defender maakt gebruik van het Microsoft 365-beveiligingsportfolio om automatisch bedreigingsgegevens over domeinen heen te analyseren en een compleet beeld van elke aanval op één dashboard te creëren. Microsoft Defender is er in drie varianten. ›

Identiteiten: Beheert en beveiligt hybride identiteiten en vereenvoudig de toegang voor werknemers, partners en klanten.

Page | 47 of 54

›

Endpoints : Bied preventieve bescherming, detectie na een inbreuk, geautomatiseerd onderzoek en respons voor W10 werkplekken.

›

E-mail en documenten: Beveilig e-mail, bijlagen en samenwerkingstools met Microsoft Defender voor Office 365.

Ontwerp keuze

Motivatie

Defender tools zullen worden uitgerold voor Office 365 en Endpoints.

Inzet van Defender for Endpoints en Office 365 biedt de gemeente Midden-Delfland de meeste kans om cyberbedreigingen te vermijden en inzicht te krijgen in eventuele besmettingen binnen de organisatie.

Met de grootschalige verschuiving naar gedistribueerde teams en volledig werken op afstand, is de mogelijkheid voor werknemers om samen te werken met anderen, zowel binnen de organisatie buiten de organisatie, als op verschillende apparaten, apps en services, van cruciaal belang om het werk gedaan te krijgen. Wanneer die gegevens gaan zwerven, zijn IT-beheerders verantwoordelijk om ervoor te zorgen dat dit op een veilige, beschermde manier gebeurt die voldoet aan het bedrijfsbeleid van de gemeente Midden-Delfland organisatie. Het punt is dat niet alle gegevens vertrouwelijk zijn en dus niet dezelfde controles toe te passen zijn op een lunchmenu van het bedrijfsrestaurant als op een zeer vertrouwelijke spreadsheet met informatie over bijvoorbeeld de kwartaalinkomsten. Het is zelfs zo dat het toepassen van onnodige beperkingen uiteindelijk averechts werken en een negatieve invloed hebben op de gebruikersacceptatie en ertoe leiden dat mensen zich tot andere, niet-goedgekeurde tools wenden voor collaboratie. Microsoft Information Protection (MIP) is de uniforme labeling tool in Microsoft 365 en biedt organisaties een meer geïntegreerde en consistente aanpak voor het maken, configureren en automatisch toepassen van uitgebreid beleid om uw gegevens te beschermen en te beheren, op verschillende apparaten, apps, cloudservices en on-premises. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

AIP-inrichting is gewenst voor de gemeente Midden-Delfland echter zal eerst een migratie van documenten moeten plaats vinden naar de cloud diensten zoals SharePoint

Inzet van sensitivity labels dient als basis voor het onder controle krijgen van data governance en retentie. De gemeente Midden-Delfland heeft de wens uitgesproken om stappen te willen zetten voor de implementatie van AIP/MIP binnen de moderne werkplek.

Page | 48 of 54

Data Loss Prevention (DLP) maakt gebruik van regels en beleid om te bepalen welke bestanden en gegevens als vertrouwelijk, kritiek of gevoelig worden beschouwd en vervolgens om te voorkomen dat deze bestanden worden gedeeld of verzonden. DLP detecteert gevoelige informatie en kan deze data identificeren (zoals een creditcard- of BSN-nummer) zonder dat dit gevolgen heeft voor mensen die met de rest van de inhoud werken. Zodra een DLPbeleidsregel is gemaakt wordt deze gesynchroniseerd met de volgende Office 365 diensten: ›

Exchange online

›

OneDrive for business

›

SharePoint Online

›

Microsoft Apps for Enterprise desktop-programma’s

De DLP Policy tips zijn meldingen in de desktopversie van Word, Excel of Outlook. Een policy tip wordt weergegeven in bijvoorbeeld de outlook cliënt op het moment dat een eindgebruiker mogelijk gevoelige informatie gaat versturen. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Inzet van DLP is gewenst op basis van het kunnen scannen van documenten op vertrouwelijke informatie

Voor het scannen van DLP matches op on-premises file servers word een scanner geïnstalleerd welke gebruikt kan worden voor inzet bij DLP governance.

Microsoft Cloud App Security (MCAS) is een Cloud die Office 365-audit gegevens kan opnemen en ernaar kan handelen. De huidige lijst ondersteunde apps omvat: ›

SharePoint Online.

›

OneDrive for Business.

›

Exchange Online.

›

Teams.

›

Dynamics365

Microsoft Cloud App Security werkt als een controletool, een firewall en een authenticatietool die gegevens en toepassingen te allen tijde beschermt.

Page | 49 of 54

Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Inrichting van MCAS is besproken tijdens de workshop en aangemerkt als gewenste technologie

De opzet van MCAS hangt deels samen met de inrichting van DLP/MIPS en met de uitrol van full client werkplekken. Daarnaast zal onderzocht moeten worden hoe discovery kan worden ingezet voor apps zoals toegang tot log collectors.

Microsoft Azure Sentinel is een schaalbaar, cloudeigen oplossing voor Security Information Event Management (SIEM) en Security Orchestration Automated Response (SOAR). Azure Sentinel levert intelligente beveiligingsanalyses en bedreigingsinformatie voor de hele onderneming en is daardoor één oplossing voor waarschuwingsdetectie, zichtbaarheid van bedreigingen, proactieve opsporing en reactie op bedreigingen. Met Azure Sentinel hebben IT-teams overzicht over de hele onderneming, waardoor geavanceerdere aanvallen en de toenemende hoeveelheden waarschuwingen en de lange duur voordat oplossingen worden gevonden. ›

Verzamel relevante gegevens op grote schaal voor alle gebruikers, apparaten, toepassingen en infrastructuur, zowel on-premises als in meerdere clouds.

›

Detecteer eerder “zero-day” bedreigingen en minimaliseer de kans op valse meldingen “zg. false positives” met behulp van de analyses en ongeëvenaarde bedreigingsinformatie van Microsoft.

›

Onderzoek bedreigingen met behulp van kunstmatige intelligentie en speur naar verdachte activiteiten voor gebruik in de cyberbeveiliging.

›

Snellere reactie op incidenten met automatisering van gestandaardiseerde taken.

Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Een SIEM inzetten is gewenst maar nog niet praktisch inzetbaar binnen gemeente Midden-Delfland

Een SIEM is momenteel nog een wens die op de roadmap staat, er is nog geen onderzoek naar gedaan en er heeft geen pakket selectie plaatsgevonden. Verwachting is dat dit eind 2021 als project zal worden opgepakt.

Page | 50 of 54

SoftwareONE kan de gemeente Midden-Delfland helpen bij alle aspecten van de transformatie naar de Moderne Werkplek en Microsoft 365. SoftwareONE heeft een 6-fasenaanpak ontwikkeld met behulp van onze gestructureerde projectmanagementmethodologie, die ervoor zorgt dat veranderingen worden beheerd via een gecontroleerde, logische, mijlpaal gedreven routekaart. Dit terwijl de focus ligt op het realiseren van de zakelijke voordelen van het project, waardoor het rendement op de investering van de gemeente Midden-Delfland wordt gemaximaliseerd. Als een organisatie wil overstappen naar een nieuwe technologie, is het belangrijk om de medewerkers bij dit proces te betrekken. Maar hoe doe je dat en waar moet je beginnen? SoftwareONE helpt u graag bij het succesvol uitvoeren van deze missie. Bij SoftwareONE werken Prosci & Microsoft gecertificeerde adoptieadviseurs met ruime ervaring. We maken gebruik van de bewezen veranderingsmethodiek van Prosci. De methodiek van Prosci maakt gebruik van het ADKAR-model. Het AKDAR-model is bedoeld als een coaching instrument om medewerkers te helpen en bij te staan tijdens veranderingsprocessen binnen organisaties. Het werken met nieuwe technologie heeft een grote impact op medewerkers. Het vraagt om een nieuwe manier van werken. Verandering vraagt om veerkracht en kan in sommige gevallen op weerstand stuiten.

Het ADKAR-model biedt houvast, structuur en de juiste instrumenten om verandering te begeleiden tijdens een verandering. De Prosci-methodologie heeft tot nu toe veel organisaties ondersteund bij succesvolle veranderingen. Het bijbehorende ADKAR-model maakt gebruik van vijf elementen, die samen het acroniem ADKAR vormen, wanneer de vijf elementen van verandermanagement met succes worden doorlopen. De vijf elementen van ADKAR staan voor: 

Awareness – zich bewust zijn van de noodzaak van verandering Deze stap is gericht op het bewust maken van de medewerkers van de noodzaak tot verandering. Waarom is gekozen voor Office 365? Het is belangrijk dat medewerkers een antwoord krijgen op deze vraag. Als er geen of te weinig aandacht wordt besteed aan het beantwoorden van de ‘waarom’-vraag, kan dit later in het project veel weerstand oproepen.



Desire – de wil en het besluit om deel te nemen aan de verandering Nadat de vraag waarom is beantwoord en de noodzaak van het project en de verandering is gecommuniceerd, is het tijd om ervoor te zorgen dat medewerkers tijdens de verandering bewuste keuzes kunnen maken. Dit kan worden bereikt door het beantwoorden van de vraag “wat brengt deze verandering mij persoonlijk op?



Knowledge – de kennis om te veranderen Vanaf het moment dat men een duidelijk idee heeft van wat de verandering zal brengen en men uitkijkt naar de verandering, is het tijd om te leren hoe de nieuwe functionaliteiten te gebruiken. Hoe werkt de nieuwe tool, waar klik je op, hoe werk je samen, hoe werken de verschillende onderdelen. Dit alles wordt uitgelegd in instructiemateriaal of trainingssessies.

Page | 51 of 54



Ability – de vaardigheden en competenties voor de nieuwe situatie Elke werknemer heeft andere behoeften en competenties. Daarom is het belangrijk om goed te kijken naar individuele behoeften. Deze stap is gericht op het krijgen van mensen die nog steeds in de weer zijn tegen verandering. Weerstand ontstaat vaak met een reden. Denk bijvoorbeeld aan de overstap van e-mail naar het bellen van klanten. Iemand met telefonische angst zal in het verzet blijven. Dit is het moment om te kijken naar de individuele competenties van medewerkers en, indien nodig, mensen individueel te begeleiden of te coachen.

 Reinforcement – de maatregelen om de verandering veilig te stellen De hele organisatie is nu volledig aan boord en kent het gewenste gedrag en heeft de juiste vaardigheden. De laatste fase, die gekenmerkt wordt door het veiligstellen van de verandering. Dit lukt wanneer successen worden gevierd, barrières worden weggenomen en medewerkers worden gevraagd hoe tevreden ze zijn met de verandering. Voor een succesvolle adoptie van nieuwe technologie is meer nodig dan alleen een goed ontwerp van de technologie. Minstens zo belangrijk is dat de medewerkers die deze technologie moeten gebruiken over de nodige kennis beschikken. Veel projecten zijn mislukt omdat medewerkers niet wisten hoe ze met de nieuwe oplossing moesten werken. Dit leidt tot ontevredenheid. En zeker nu er continu een stroom van nieuwe functionaliteiten en online diensten aan het Microsoft 365 platform wordt toegevoegd, is het belangrijk om veel aandacht te besteden aan de medewerkers die met Microsoft 365 werken. In ons partnership, met de adoptie- en verandermanagementactiviteiten, leggen we een stevige basis voor de start van de beoogde verandering. De activiteiten bestaan uit het volgende: 

   



Live Webinars: voor werknemers om de volledige mogelijkheden van Microsoft 365 te gebruiken om meer te doen in minder tijd. Webinars worden opgenomen en gedeeld met gemeente MiddenDelfland. In een tijdspan van één dag is dit inclusief 4 Webinars van elk 1 uur voor 2 verschillende onderwerpen. Onderwerpen om uit te kiezen zijn bijvoorbeeld OneDrive for Business, Teams, SharePoint Online of Outlook; Begeleiding van de organisatie: bij het verbeteren van het gebruik van de Microsoft 365toepassingen en -licenties; Diepgaande sessies: over nieuwe functies en werklast. Een enkele sessie heeft een tijdspan van een halve dag; Roadmap strategie en prioritering: van de vast te stellen werklast; VIEW sessies voor het champions team of eindgebruikers: op basis van de specifieke wensen van de eindgebruikers, besteden we tijdens de sessie aandacht aan de scenario’s die relevant zijn voor uw organisatie. Een VIEW-sessie kan door maximaal 10 medewerkers worden bijgewoond. Er kan rekening gehouden worden met een halve dag inzet per sessie; Creatie van een communicatiepakket: in het communicatiepakket is de communicatie voorzien waarmee de kampioenen en de organisatie de verandering kunnen communiceren. Dit zijn onder andere e-mailtemplates, one-pagers en flyers. De organisatie kan deze naar wens aanpassen en inzetten.

Page | 52 of 54

Een goed geplande cloud exit-strategie verlicht de druk van mogelijke vendor lock-in. Zelfs als een organisatie de cloud-workloads nooit daadwerkelijk terug op locatie verplaatst, kan een exit-strategie de onderhandelingen met providers begeleiden en het applicatieontwerp beïnvloeden. Dankzij de hybride connectiviteit tussen de on-premises Active Directory en Azure AD zijn postvakken over het algemeen gemakkelijk naar on-premises terug te zetten. De enige echte overweging is de hoeveelheid opslagruimte die mogelijk moet worden ingezet om inkomende mailboxen te accepteren, omdat gebruikers misschien gewend zijn geraakt aan grote mailboxquota die door Exchange Online worden toegewezen. Als vuistregel voor exit-strategieën zijn mailboxen en documenten meestal gemakkelijk te verplaatsen, maar al het andere is daarentegen moeilijk. Wanneer bijvoorbeeld document labels (via MIP) worden geïmplementeerd om Microsoft 365-gegevens te beschermen, kan het moeilijk worden om toegang te krijgen tot beveiligde inhoud die weer on-premises is verplaatst, omdat het niet langer mogelijk is om die inhoud te ontsleutelen. In dat geval helpt een hybride configuratie opnieuw om verbinding te houden met de Azure Information Protection-service.

Ook moet elke aanpassing die aan Exchange Online is gemaakt, weer on-premises worden verplaatst, zodat zaken als PowerShell-scripts, transportregels, regels voor preventie van gegevensverlies, bewaarbeleid en -tags, enzovoort. Met de keuze voor Microsoft Teams als samenwerkingsplatform met of zonder telefonie integratie zijn er limitaties bij het migreren naar een on-premise oplossing. Gewoonlijk kunnen deze communicatiekanalen worden verplaatst naar Skype voor Bedrijven Server of een oplossing van derden en kunnen documenten verplaatst worden naar SharePoint Server, maar het gespreks- en chatgedeelte van Teams is alleen in de cloud beschikbaar, inclusief opnames van Teams-gesprekken en vergaderingen. Veel van de functionaliteit die beschikbaar is in Microsoft 365 is alleen beschikbaar in de cloud en er zijn geen tools om gegevens te verplaatsen naar een formulier dat kan worden gebruikt door een on-premises toepassing. Het blijft mogelijk om de impact te minimaliseren door Microsoft 365 Groups te synchroniseren met een hybride on-premises omgevingen, waar ze verschijnen als standaard e-maildistributielijsten. Groepen bestaan echter niet on-premises (wat ook geldt voor andere gebruikersgerichte functies zoals MyAnalytics).

Het is moeilijk om te weten hoe de informatie in groepsgesprekken, gedeelde notebooks en documentbibliotheken kunnen worden opgehaald omdat er geen exporthulpprogramma's bestaan, daarom zal dit waarschijnlijk een aanzienlijke handmatige inspanning vergen om gegevens uit de cloud te herstellen. Over het algemeen is het raadzaam om een hybride connectiviteit te behouden, maar als dit niet de vereiste gegevens dekt of als de connectiviteit niet mogelijk is, moet de organisatie misschien overwegen dat sommige gegevens onherroepelijk verloren zijn gegaan of moet ze vooraf overwegen om het gebruik van deze workloads niet toe te staan.

Page | 53 of 54

This publication contains confidential and proprietary information that is protected by copyright. SOFTWAREONE reserves all rights thereto. SOFTWAREONE shall not be liable for obvious typing and arithmetic errors in any document provided by SOFTWAREONE. Liability for damages directly and indirectly associated with the supply or use of this document is limited in accordance with the supply or use of this document is excluded as far as legally permissible. The SOFTWAREONE Services Statement of Work presented herein is intended exclusively as a guide to enable [Company Name] 's representatives to evaluate the offering of SOFTWAREONE. It must not be copied, reproduced, passed to third parties or used for engineering purposes without the express permission of SOFTWAREONE. Copyright © 2018 by SOFTWAREONE. All rights reserved. SOFTWAREONE is a registered trademark of SoftwareONE AG. All other trademarks, service marks or trade names appearing herein are the property of their respective owners.

Page | 54 of 54

← Vorig deel

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=middendelfland&id=f86148e3-b7f5-4301-8d19-fa04ca0ba544