Elke koppeling is een deur: zo beoordeel je externe apps in Microsoft 365

Er zit waarschijnlijk een handjevol externe apps vast aan je Microsoft 365- of Google-omgeving. Een planningstool die in de agenda mag kijken. Een e-mailmarketingpakket dat je contacten uitleest. Een AI-assistent die met documenten mag meelezen. Stuk voor stuk aangezet omdat het handig was, met één klik op “Toestaan”.

Die klik is belangrijker dan hij eruitziet. Je geeft er geen wachtwoord mee weg, maar wel toegang — soms tot veel meer dan de app nodig heeft, en meestal voor onbepaalde tijd. Zo’n koppeling is geen apart hokje naast je omgeving; hij zit erin.

Dit artikel gaat over de koppeling zelf: welke rechten je weggeeft, hoe je een externe app beoordeelt voordat je hem aanzet, en hoe je opruimt wat er al hangt. Het contractuele en organisatorische deel — leveranciers registreren, classificeren en volgen — behandelen we in leveranciersrisico beheren. De beveiliging van software die je zelf laat bouwen of laat beheren staat in software supply chain beveiligen.

Waarom je die koppelingen toch wilt

Even voor de goede orde: koppelen is geen fout. Het is precies waarom moderne software werkt zoals hij werkt. Je urenregistratie die automatisch in de facturatie landt, offertes die vanuit je CRM in je mailbox verschijnen, een formulier op de site dat direct een taak aanmaakt — dat scheelt echt overtypwerk. Zie ook taken automatiseren in het MKB.

Het punt is niet dat je minder moet koppelen. Het punt is dat een koppeling een beslissing verdient, en niet alleen een klik.

Wat er in de praktijk misgaat

De rechten zijn ruimer dan de functie

Een app die alleen vergaderingen hoeft in te plannen, vraagt soms toegang tot je hele agenda én je mailbox. Een tool die één map nodig heeft, vraagt leesrechten op alle bestanden. Dat is niet altijd kwade wil — leveranciers vragen liever te veel dan te weinig, want dan werkt het in elk geval. Maar jij zit er wel aan vast.

Let vooral op het verschil tussen “lezen” en “lezen en schrijven”, en tussen toegang namens één gebruiker en toegang namens de hele organisatie. Dat laatste is een heel andere deur.

De proef stopte, de koppeling niet

Je probeert iets uit, het bevalt niet, je zegt het abonnement op. De koppeling blijft. Het account is dood, de betaling is gestopt, maar de toegangssleutel staat nog open in je omgeving. Dit is verrassend gewoon, juist omdat opzeggen voelt als afronden.

Niemand weet meer wie hem heeft aangezet

In veel MKB-omgevingen mag elke gebruiker zelf apps toestaan. Dat betekent dat er koppelingen kunnen hangen die niemand in de organisatie bewust heeft goedgekeurd, aan een account van iemand die er misschien niet eens meer werkt. Hetzelfde patroon zie je bij AI-tools die het team zelf aanschaft.

De leverancier verandert, jij hoort het niet

Een app wordt overgenomen, verhuist zijn opslag naar een ander land, of voegt een functie toe waarvoor extra rechten nodig zijn. Zolang jij niets doet, loopt de koppeling door onder de nieuwe omstandigheden. Bij een klein pakket krijg je daar zelden een fatsoenlijk bericht over.

De checklist: wat je nagaat vóór je toestemming geeft

• Welke rechten vraagt hij precies, en waarom? Lees het toestemmingsscherm in plaats van erop te klikken. Kun je niet uitleggen waarom een recht nodig is voor wat de app doet, vraag het dan aan de leverancier.
• Hangt hij aan één persoon of aan de organisatie? Een koppeling op een persoonlijk account verdwijnt of blijft ongemerkt hangen als die persoon vertrekt. Voor iets waar het bedrijf op draait, wil je bedrijfseigenaarschap.
• Is er een verwerkersovereenkomst, en waar staat de data? Verwerkt de app persoonsgegevens, dan schrijft de AVG een verwerkersovereenkomst voor. Vraag ook naar de opslaglocatie en naar welke onderaannemers er meekijken.
• Hoe logt hij in? Moderne koppelingen werken met tijdelijke tokens die je kunt intrekken. Vraagt een app om je gewone wachtwoord of om een account zonder tweefactor, dan is dat een slecht teken.
• Wat zegt de leverancier over beveiliging? Een certificering als ISO 27001 of SOC 2 is een indicatie, geen garantie: kijk waar de verklaring precies over gaat. Meer daarover in compliance in de cloud.
• Wat gebeurt er als hij eruit ligt? Ligt je werk dan stil, of is er een omweg? Voor koppelingen in je primaire proces hoort dat antwoord in je herstelplan.
• Hoe kom je er weer uit? Kun je je gegevens exporteren in een bruikbaar formaat, en wat gebeurt er met je data na opzegging?

En de koppelingen die er al hangen?

Begin met een overzicht. In het beheercentrum van Microsoft 365 of Google Workspace vind je een lijst van alle apps die toegang hebben gekregen, wie die toegang heeft verleend en welke rechten erbij horen. Voor de meeste bedrijven is dat een leerzame middag: de lijst is bijna altijd langer dan verwacht.

In Microsoft 365 staat die lijst bij de bedrijfsapplicaties in Microsoft Entra ID; in Google Workspace bij de app-toegangsinstellingen. Je ziet er per toepassing welke machtigingen zijn verleend, of het om toestemming van één gebruiker of om beheerderstoestemming gaat, en of de uitgever geverifieerd is. Dat laatste is geen keurmerk, maar het scheelt bij het beoordelen van namen die je niet herkent.

Loop hem daarna in drie stappen door. Weg wat niemand herkent of gebruikt. Beperken wat te ruime rechten heeft. Vastleggen wat blijft, met een eigenaar erbij, zodat er iemand is die het volgend jaar opnieuw bekijkt.

Zet daarna de knop om: laat toestemming voor nieuwe apps via een beheerder lopen, met een korte goedkeuringsroute zodat het geen blokkade wordt. En neem het loskoppelen van integraties op in je offboarding-checklist en in je jaarlijkse review. Zorg dat je in je logging terugziet wanneer een koppeling iets doet.

Een voorbeeld uit de praktijk

Een handelsbedrijf met 34 medewerkers liet de app-toegang op zijn Microsoft 365-omgeving nakijken. Er stonden 23 externe apps met toegang. Zeven daarvan kende de directie niet.

De opvallendste was een offertetool die twee jaar eerder was uitgeprobeerd door een verkoper die inmiddels was vertrokken. Het abonnement was netjes opgezegd. De koppeling niet: de app had nog steeds leesrechten op de gedeelde mappen van de verkoopafdeling. Daarnaast bleek een rapportagetool toegang te hebben tot alle postbussen, terwijl hij alleen agenda’s nodig had.

Er was niets gebeurd. Maar er hadden twee deuren openstaan waarvan niemand wist dat ze er waren, en dat is precies het soort risico dat pas zichtbaar wordt als het misgaat. Na het opruimen bleven er twaalf koppelingen over, allemaal met een eigenaar en een reden.

Veelgestelde vragen

Moet ik mijn medewerkers verbieden zelf apps te koppelen?

Verbieden zonder alternatief levert meestal omwegen op. Beter: zet goedkeuring aan, maar zorg dat een aanvraag binnen een dag wordt beoordeeld. Dan blijft het werkbaar en houd je zicht op wat er binnenkomt.

Hoe weet ik of een kleine leverancier betrouwbaar genoeg is?

Kijk niet alleen naar de website. Vraag naar een verwerkersovereenkomst, naar waar de data staat en naar hoe ze een storing of incident melden. Krijg je op die drie vragen geen concreet antwoord, dan weet je genoeg — ongeacht hoe de app eruitziet.

Geldt dit ook voor AI-tools?

Zeker, en daar telt het extra zwaar. Een AI-assistent die met je documenten mag meelezen, heeft per definitie brede toegang. Beoordeel die net zo streng als elke andere koppeling, en kijk bij het beoordelen ook naar wat er met je invoer gebeurt. Zie AI-tools kiezen.

Wat betekent NIS2 hiervoor?

Val je onder de Cyberbeveiligingswet, dan hoort het beheersen van risico’s in je toeleveringsketen bij je verplichtingen. Val je er niet onder, dan krijg je er waarschijnlijk alsnog mee te maken via grote klanten die vragenlijsten sturen. Meer daarover in wat NIS2 voor je betekent en de dataregels van 2026.

Hoe krijgt een externe app technisch gezien toegang?

Via OAuth. De app krijgt geen wachtwoord, maar een token met de machtigingen die jij of een beheerder hebt goedgekeurd. Dat token blijft geldig tot iemand het intrekt — vandaar dat een opgezegd abonnement de koppeling niet stopt. Intrekken doe je bij de bedrijfsapplicaties in Microsoft Entra ID of in de beveiligingsinstellingen van je Google-account. In je auditlog zie je terug wanneer de toepassing voor het laatst iets heeft gedaan, en dat is meestal het snelste antwoord op de vraag of iemand hem nog gebruikt.

Benieuwd welke externe apps er op dit moment toegang hebben tot jouw omgeving? We maken die lijst graag voor je en lopen hem samen door — meestal staat er meer op dan verwacht.