# Alles in de cloud: heb je dan nog een VPN nodig voor je thuiswerkers? > Werk je in Microsoft 365 of Google Workspace, dan verschuift de beveiliging van de VPN naar de aanmelding: tweestapsverificatie, toestellen en voorwaarden. Werkt je zaak met **Microsoft 365 zonder VPN**, of met Google Workspace, dan hebben thuiswerkers geen bedrijfs-VPN nodig om bij mail, agenda en documenten te komen. De verbinding is al versleuteld, en Microsoft raadt zelfs aan om het verkeer naar Teams, SharePoint en Exchange Online buiten de VPN om te sturen. De beveiliging verschuift naar de aanmelding: tweestapsverificatie, en regels over welk toestel van waar mag inloggen. Deze gids legt uit wat dat vraagt van een kleine zaak, en wanneer een VPN toch nog nut heeft. **In het kort** 1. Clouddiensten zoals Microsoft 365 en Google Workspace zijn bereikbaar via versleutelde HTTPS-verbindingen; om er van thuis bij te komen is geen bedrijfs-VPN nodig. 2. De standaardbeveiliging van Microsoft Entra ID is gratis en verplicht onder meer tweestapsverificatie voor alle gebruikers; Conditional Access, met voorwaarden per toestel of locatie, vraagt minstens Microsoft Entra ID P1, dat in Microsoft 365 Business Premium zit. 3. Een VPN blijft nuttig voor wat niet in de cloud staat, zoals een server of NAS op kantoor, en voor diensten die alleen verbindingen van een vast IP-adres aanvaarden. *Of: waarom de portier van de kasteelpoort naar de deur van de bank verhuist* In veel kleine zaken staat de server al jaren niet meer in de berging. De mail zit in Exchange Online of Gmail, de documenten in SharePoint of Google Drive, de boekhouding in een webtoepassing. Wie [de toegang van thuiswerkers](/gidsen/vpn-voor-bedrijven/thuiswerken/) zo heeft geregeld, heeft voor die diensten geen bedrijfs-VPN nodig. Microsoft schrijft in zijn [gids over VPN en Microsoft 365](https://learn.microsoft.com/nl-nl/microsoft-365/enterprise/microsoft-365-vpn-split-tunnel) dat het verkeer naar Teams, SharePoint en Exchange Online het best buiten de VPN om loopt, rechtstreeks naar de dienst. Dat betekent niet dat de beveiliging verdwijnt. Ze verhuist. In plaats van één poort voor het hele kantoornetwerk staat er een controle aan de deur van elke dienst: wie ben je, kun je dat bewijzen met een tweede stap, met welk toestel kom je, en van waar. ## Microsoft 365 zonder VPN: de aanmelding wordt de poort Vroeger stond alles in een kasteel met één poort, en de VPN was de ophaalbrug. Nu liggen de dossiers in een bankkluis in de stad, met een eigen portier. Een ophaalbrug naar een leeg kasteel helpt dan weinig. Wat telt, is hoe streng de portier van de bank controleert. Die portier kan eenvoudig zijn, met een badge en een code, of streng, met een lijst van wie wanneer en vanaf welk toestel binnen mag. > **Kmo-Kristof:** We hebben de server verkocht. Alles staat in Microsoft 365. Kan ik de VPN opzeggen? > > **Security-Sofie:** Staat tweestapsverificatie aan voor iedereen? > > **Kmo-Kristof:** Voor mij wel. > > **Security-Sofie:** En voor de anderen? > > **Kmo-Kristof:** Die vonden het lastig. > > **Security-Sofie:** Dan bewaak je de poort van een leeg kasteel en staat de deur van de bank open. Zeg de VPN maar op. Na de tweestapsverificatie. {.dialoog} ### De gratis basis: standaardbeveiliging Microsoft Entra ID, de dienst waarmee je in Microsoft 365 aanmeldt, heeft [standaardbeveiligingsinstellingen](https://learn.microsoft.com/nl-nl/entra/fundamentals/security-defaults) die voor elke klant gratis zijn. Ze verplichten onder meer alle gebruikers om zich te registreren voor tweestapsverificatie, vragen beheerders bij elke aanmelding een tweede stap, en blokkeren verouderde aanmeldprotocollen die geen tweestapsverificatie ondersteunen. Volgens Microsoft houden tweestapsverificatie en het blokkeren van die oude protocollen samen meer dan 99,9 procent van de gangbare aanvallen op accounts tegen. Op nieuwe omgevingen staat de standaardbeveiliging al aan. Een kmo van negen mensen met Microsoft 365 Business Standard kan het hierbij houden: standaardbeveiliging aan, niemand uitgezonderd, en een beheerdersaccount dat alleen voor beheer dient. In Google Workspace kan de beheerder tweestapsverificatie eveneens verplicht maken voor alle gebruikers. ### Strenger: voorwaarden per toestel en locatie Wie meer wil sturen, gebruikt [Conditional Access](https://learn.microsoft.com/nl-nl/entra/identity/conditional-access/overview), of voorwaardelijke toegang. Daarmee maak je regels in de vorm „als dit, dan dat”: alleen laptops van de zaak mogen bestanden downloaden, aanmeldingen uit landen waar niemand werkt worden geblokkeerd, en buiten het kantoor vraagt elke aanmelding een tweede stap. Conditional Access vraagt minstens een licentie voor Microsoft Entra ID P1, die in Microsoft 365 Business Premium zit. Wie Conditional Access invoert, zet de standaardbeveiliging uit, want de twee gaan niet samen. Bij Google heet de tegenhanger [contextbewuste toegang](https://knowledge.workspace.google.com/admin/security/protect-your-business-with-context-aware-access?hl=nl). Ze kijkt naar het IP-adres, het land en de beveiliging van het toestel, maar volgens Google alleen in de Enterprise-, Frontline- en Education-edities en Cloud Identity Premium, niet in Business Starter, Standard of Plus. Een kmo van achttien mensen met Business Premium kan zo bijvoorbeeld vastleggen dat documenten alleen op beheerde laptops gedownload worden, terwijl de gsm van een medewerker wel mail mag lezen. ### Wanneer een VPN toch nog nut heeft De cloud lost niet alles op. Een VPN blijft nuttig in drie situaties: - **Er staat nog iets op kantoor.** Een NAS, een printer, een oud programma met een lokale database. - **Een dienst vertrouwt alleen een vast IP-adres.** Sommige toepassingen aanvaarden alleen verbindingen van een bekend adres. Zakelijke VPN-diensten zoals NordLayer of Proton VPN for Business geven je team daarvoor vaste IP-adressen, en ook Conditional Access kan met zulke vertrouwde adressen werken. - **Onderweg op onbekende netwerken.** Dat is een eigen onderwerp, met eigen afwegingen. ### Als er toch nog iets op kantoor staat Voor dat ene programma of die NAS kan een VPN of remote desktop de oplossing zijn. Wanneer een VPN echt nodig is, lees je bij [de VPN-vraag voor thuiswerk](/gidsen/vpn-voor-bedrijven/thuiswerken/vpn-thuiswerken/). ### Het toestel achter de aanmelding Conditional Access werkt het best met laptops die de zaak beheert. Wat een werkgever via dat beheer ziet, en wat hij mag bekijken, staat bij [wat een werkgever kan zien](/gidsen/vpn-voor-bedrijven/thuiswerken/vpn-werklaptop/). ### De rest van de basis Een strenge portier helpt weinig als de laptop zelf al besmet is. Updates, versleuteling en back-ups staan bij [de beveiligingsbasis van thuiswerk](/gidsen/vpn-voor-bedrijven/thuiswerken/veilig-thuiswerken/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).