Wat zijn de stappen bij een noodgeval-toegang (break glass account) tot Exchange?

Een break glass account voor Exchange is een noodtoegangsaccount dat je inzet wanneer reguliere beheerdersaccounts niet meer bereikbaar zijn, bijvoorbeeld door een vergeten wachtwoord, een defecte multifactorauthenticatie of een storing in het identiteitsbeheer. Dit account geeft je als organisatie altijd een laatste toegangsroute tot je Exchange-omgeving, ongeacht wat er met de normale aanmeldinfrastructuur is gebeurd. In dit artikel beantwoorden we de meest gestelde vragen over het inrichten, gebruiken en beheren van een break glass account binnen Exchange.

Wanneer is een break glass account tot Exchange noodzakelijk?

Een break glass account voor Exchange is noodzakelijk wanneer alle reguliere toegangswegen tot de Exchange-omgeving zijn geblokkeerd of onbereikbaar zijn. Dit geldt bij een vergrendeld beheerdersaccount, een uitgevallen MFA-systeem, een storing in Azure Active Directory of een situatie waarbij de enige beheerder niet beschikbaar is. In zulke gevallen voorkomt het noodtoegangsaccount dat je organisatie volledig de controle verliest over de mailomgeving.

Concrete situaties waarin je een break glass account inzet voor Exchange zijn onder andere:

• Een storing in de MFA-provider waardoor reguliere admins zich niet kunnen aanmelden
• Een vergeten of verlopen wachtwoord van het enige globale beheerdersaccount
• Een aanval op de identiteitsinfrastructuur waarbij accounts zijn geblokkeerd of verwijderd
• Onbeschikbaarheid van de beheerder bij een acute technische storing
• Problemen met federated identity providers die aanmeldingen blokkeren

Het gaat dus niet om een account dat je dagelijks gebruikt, maar om een vangnet dat je inzet als al het andere faalt. Zonder dit vangnet riskeer je dat je organisatie tijdelijk geen toegang heeft tot e-mailservices met Exchange, distributielijsten of beveiligingsinstellingen binnen Exchange.

Hoe verschilt een break glass account van een regulier beheerdersaccount?

Een break glass account verschilt van een regulier beheerdersaccount doordat het bewust buiten de normale beveiligingsinfrastructuur valt. Waar een standaard beheerdersaccount verplicht is gekoppeld aan MFA, Conditional Access-beleid en andere beveiligingslagen, is een break glass account juist vrijgesteld van deze vereisten. Dit maakt het account bruikbaar op het moment dat die beveiligingsinfrastructuur zelf het probleem is.

De belangrijkste verschillen op een rij:

• MFA: Reguliere admins gebruiken altijd MFA. Een break glass account heeft geen MFA-koppeling, zodat je er altijd bij kunt zonder afhankelijk te zijn van een authenticatie-app of telefoonnummer.
• Conditional Access: Normale beheerdersaccounts vallen onder Conditional Access-beleid. Het break glass account is hiervan uitgezonderd.
• Gebruik: Een regulier account gebruik je dagelijks. Het noodtoegangsaccount gebruik je uitsluitend in noodsituaties en activeer je nooit voor routinebeheer.
• Monitoring: Aanmeldingen op het break glass account worden altijd gelogd en gemonitord, zodat ongeoorloofd gebruik direct opvalt.
• Opslag van inloggegevens: De inloggegevens worden offline bewaard, vaak op papier in een fysieke kluis, gescheiden van digitale systemen.

Dit onderscheid is bewust aangebracht. Een break glass account is een nooduitgang, geen alternatieve beheertool. Gebruik je het buiten noodsituaties, dan ondermijn je de beveiligingswaarde ervan direct.

Wat zijn de vereisten voor het inrichten van een break glass account?

Voor het correct inrichten van een break glass account voor Exchange gelden een aantal technische en organisatorische vereisten. Het account moet voldoende rechten hebben om Exchange-beheer te kunnen uitvoeren, maar tegelijk zo ingericht zijn dat het niet kwetsbaar is voor de storingen die het juist moet opvangen.

Technische vereisten:

• Het account heeft een globale beheerdersrol of ten minste de Exchange Administrator-rol toegewezen
• Het account is niet gekoppeld aan een persoon, maar is een functioneel account zonder persoonlijke identiteit
• Het account is uitgesloten van alle Conditional Access-beleidsregels
• Het account heeft geen MFA-koppeling via een authenticator-app of telefoonnummer
• Het wachtwoord is lang, complex en willekeurig gegenereerd, bij voorkeur meer dan 16 tekens
• Het account maakt gebruik van een beheerd domein (zoals .onmicrosoft.com) en niet van een gefedereerd domein, zodat aanmelden niet afhankelijk is van een externe identiteitsprovider

Organisatorische vereisten:

• De inloggegevens worden offline opgeslagen, bijvoorbeeld in een fysieke kluis of een afgeschermd papieren document
• Toegang tot de gegevens is beperkt tot een kleine groep vertrouwde personen
• Er zijn minimaal twee break glass accounts aangemaakt, zodat je bij problemen met het ene account kunt terugvallen op het andere
• Er is een duidelijke procedure vastgelegd die beschrijft wanneer en hoe het account wordt gebruikt
• Aanmeldactiviteit op het account wordt actief gemonitord via auditlogs of een SIEM-systeem

Hoe verloopt de toegangsprocedure stap voor stap bij een noodgeval?

Bij een noodgeval waarbij je een break glass account voor Exchange moet inzetten, volg je een vaste procedure om de toegang gecontroleerd te activeren en te documenteren. De procedure bestaat uit voorbereiding, toegang en herstel, en voorkomt dat het account ongecontroleerd of onnodig wordt gebruikt.

1. Stel vast dat reguliere toegang niet werkt. Bevestig eerst dat alle normale aanmeldopties zijn uitgeput. Probeer meerdere beheerdersaccounts en controleer of het probleem bij MFA, Conditional Access of het account zelf ligt.
2. Autoriseer het gebruik van het break glass account. Volg de interne procedure voor autorisatie. In de meeste organisaties vereist dit goedkeuring van minimaal twee verantwoordelijke personen.
3. Haal de inloggegevens op uit de beveiligde opslag. Ga naar de fysieke kluis of de afgeschermde locatie waar de gegevens offline zijn opgeslagen.
4. Meld je aan bij het Exchange Admin Center of de Microsoft 365-beheerportal. Gebruik het break glass account om in te loggen. Gebruik bij voorkeur een apparaat dat niet afhankelijk is van de getroffen infrastructuur.
5. Los het onderliggende probleem op. Herstel de toegang voor reguliere beheerdersaccounts, reset MFA-instellingen of herstel Conditional Access-beleid.
6. Meld je af en documenteer het gebruik. Zodra de normale toegang is hersteld, meld je het break glass account direct af. Leg vast wanneer het account is gebruikt, door wie, voor welk doel en welke acties zijn uitgevoerd.
7. Wijzig het wachtwoord van het break glass account. Na elk gebruik genereer je een nieuw wachtwoord en sla je dit veilig op in de offline opslag.

Welke risico’s kleven er aan het gebruik van een break glass account?

Een break glass account voor Exchange brengt specifieke risico’s met zich mee, juist omdat het is vrijgesteld van de beveiligingsmaatregelen die voor andere accounts gelden. Onzorgvuldig beheer van dit account kan leiden tot ongeautoriseerde toegang, datalekken of misbruik van beheerdersrechten.

De voornaamste risico’s zijn:

• Diefstal van inloggegevens: Omdat het account geen MFA heeft, is het wachtwoord de enige barrière. Als de gegevens in verkeerde handen vallen, heeft een aanvaller volledige toegang tot Exchange.
• Ongecontroleerd gebruik: Zonder strikte procedures en monitoring kan het account worden ingezet voor routinebeheer, wat de beveiligingswaarde ervan ondermijnt.
• Verouderde inloggegevens: Als het wachtwoord lang niet is geroteerd, vergroot dit het risico op onbedoelde blootstelling.
• Onvoldoende logging: Als aanmeldactiviteit niet actief wordt gemonitord, merk je misbruik te laat op.
• Enkelvoudige opslag: Als de inloggegevens op slechts één locatie zijn opgeslagen en die locatie onbereikbaar is, heb je in een echte noodsituatie niets aan het account.

Je beperkt deze risico’s door het account nooit te gebruiken buiten noodsituaties, de gegevens op meerdere beveiligde locaties offline op te slaan, aanmeldingen actief te monitoren en het wachtwoord na elk gebruik direct te wijzigen.

Hoe herstel je de normale beheertoegang na een noodgeval?

Na gebruik van het break glass account herstel je de normale beheertoegang door de onderliggende oorzaak van de storing op te lossen en alle reguliere beheerdersaccounts opnieuw te valideren. Dit doe je terwijl je nog ingelogd bent via het noodtoegangsaccount, zodat je de volledige Exchange-beheeromgeving onder controle houdt tijdens het herstelproces.

Stappen voor herstel van de normale toegang:

1. Identificeer de oorzaak van de storing. Was het een MFA-probleem, een vergrendeld account of een Conditional Access-beleid dat te restrictief was ingesteld?
2. Herstel of reset de getroffen beheerdersaccounts. Reset wachtwoorden, herstel MFA-registraties of ontgrendel accounts via het Exchange Admin Center of de Microsoft 365-beheerportal.
3. Valideer de herstelde toegang. Laat een reguliere beheerder inloggen en bevestig dat de toegang tot Exchange volledig werkt voordat je het break glass account afmeldt.
4. Meld het break glass account af. Zodra de normale toegang is bevestigd, meld je het noodtoegangsaccount direct af.
5. Documenteer de incidentafhandeling. Leg vast wat er is misgegaan, hoe het is opgelost, welke acties zijn uitgevoerd via het break glass account en welke lessen je trekt voor toekomstige situaties.
6. Roteer het wachtwoord van het break glass account en sla het nieuwe wachtwoord veilig op in de offline opslag.
7. Evalueer je noodprocedures. Gebruik het incident als aanleiding om te controleren of je huidige break glass-procedure nog volledig aansluit bij je omgeving.

Hoe wij je helpen met Exchange-beheer en noodtoegang

Een goed ingericht break glass account is onderdeel van een bredere, doordachte Exchange-beheerstrategie. Wij begeleiden organisaties bij het opzetten van een veilige en toekomstbestendige Exchange-omgeving, inclusief noodprocedures, toegangsbeheer en continue monitoring.

Wat wij concreet voor je doen:

• Inrichten en documenteren van break glass accounts volgens Microsoft-richtlijnen
• Opzetten van auditlogging en monitoring zodat ongeoorloofd gebruik direct zichtbaar is
• Adviseren over Conditional Access-beleid en MFA-instellingen die aansluiten bij je organisatiestructuur
• Begeleiden bij Exchange-migraties naar de cloud, hybride of on-premise omgevingen
• Structurele ondersteuning via een Kwaliteit Service Overeenkomst, inclusief toegang tot onze servicedesk en consultancydagen

Met meer dan 15 jaar ervaring, ISO 27001-certificering en de hoogste Microsoft-partnerstatus weten wij hoe je een Exchange-omgeving stabiel, veilig en beheersbaar houdt, ook als het misgaat. Neem contact met ons op om te bespreken hoe wij jouw Exchange-omgeving kunnen versterken.