Een break-glass-account is een noodaccount met beheerdersrechten dat je normaal nooit gebruikt. De naam verwijst naar het kastje met “breek glas bij nood”. Je maakt het aan voor het geval je op geen enkele andere manier meer in je Microsoft 365-omgeving of je netwerk kunt, bijvoorbeeld als de MFA-dienst plat ligt, de enige beheerder is uitgevallen of een beleidsregel iedereen buitensluit.
Voor het MKB is dit belangrijker dan het lijkt. Steeds meer bedrijven sluiten hun tenant dicht met voorwaardelijke toegang en MFA. Dat is goed, maar één verkeerde regel en niemand komt er meer in. Ook de beheerder niet. Zonder noodaccount ben je dan afhankelijk van een herstelprocedure bij Microsoft die dagen kan duren.
Een goed break-glass-account is uitgezonderd van de normale toegangsregels, heeft een extra lang wachtwoord dat offline op een veilige plek ligt (bijvoorbeeld in een kluis, gesplitst over twee personen) en gebruikt liefst een FIDO2-sleutel in plaats van een app. Belangrijk: je bewaakt het account actief. Elke inlogpoging moet direct een melding geven, en je test een paar keer per jaar of het nog werkt.
Wat OkayICT hierin doet: We richten een break-glass-account in volgens de Microsoft-richtlijnen, inclusief alerts bij gebruik en een periodieke test.
Meer lezen: Wat is voorwaardelijke toegang (conditional access)? · Wat is privileged access management? · Wat is MFA (multifactor-authenticatie)?
