
Governance wake-up call
IT-manager in het MKB? Dit zijn de 7 strategische IT- en securitythema’s die in 2026 op je agenda moeten staan: van AI-aanvallen tot NIS2 en weerbaarheid.
Ons onderbuikgevoel kreeg cijfers en dat was confronterend. Er zijn van die onderwerpen waarvan je wéét dat je er “iets” mee moet. Je voelt dat je inzicht mist, je hoort jezelf er af en toe over zeggen: dit moeten we eens beter regelen. Maar zolang er geen concrete aanleiding is, blijft het vaak bij goede intenties. Dat gold eerlijk gezegd ook voor ons.
Als CTS IT werken we dagelijks met Microsoft 365, security en moderne werkplekken. We hebben een volwassen basis, we letten op risico’s en we helpen klanten om hun IT beheersbaar te houden. En tóch: toen we voor onze eigen omgeving governance-inzichten gingen verzamelen, werd mijn onderbuikgevoel ineens een lijst met feiten. Niet omdat het “mis” was gegaan door één fout of één persoon. Wel omdat het liet zien hoe makkelijk een omgeving organisch kan groeien, terwijl de spelregels achterblijven.
Lees snel verder

Laat ik beginnen met iets wat ik veel herken bij ondernemers en directies: je vertrouwt op je mensen en je vertrouwt op je IT-partner (als je die hebt). En dat vertrouwen is ook belangrijk. Alleen: vertrouwen is geen meetinstrument.
In een Microsoft 365-omgeving gaat veel automatisch goed. Teams worden aangemaakt, SharePoint-sites ontstaan, bestanden worden gedeeld, externen werken mee, projecten komen en gaan. In de praktijk groeit zo’n omgeving sneller dan je beleid. En is “beleid” vaak iets dat je pas echt serieus maakt zodra de risico’s zichtbaar worden.
Governance is in het MKB nog relatief nieuw. Niet omdat het onbelangrijk is, maar omdat de noodzaak pas duidelijk wordt als je de schaal bereikt waarop overzicht verdwijnt. Bij ons was dat moment nu.

De meest duidelijke wake-up call kwam uit iets simpels: gedeelde links. We zagen dat er in onze tenant enkele honderden links waren gedeeld zónder einddatum. Dat klinkt meteen spannend, maar het echte verhaal is: het is ook niet gek. We hadden de omgeving nog niet zo ingesteld dat er standaard een vervaldatum wordt ingevuld. En als je het niet afdwingt, wint gebruiksgemak altijd.
Dat betekent niet dat al die links direct gevaarlijk zijn. Maar het betekent wél dat je geen regie hebt. Je weet niet welke links nog nodig zijn, welke per ongeluk zijn blijven bestaan, en welke ooit met de beste intentie zijn gedeeld maar nu onnodig risico opleveren. En daar zit de kern: governance gaat niet over wantrouwen. Het gaat over het voorkomen dat gemak en groei je beleid inhalen.

Die links waren het startpunt, maar niet het enige signaal. Zodra je echt gaat meten, kom je al snel uit bij vragen als: hoeveel externe gebruikers hebben toegang, en wanneer waren zij voor het laatst actief? Hoeveel bestanden en locaties bevatten gevoelige informatie? En welke accounts of rechten zijn ooit logisch geweest, maar nu “vergeten” zijn?
In ons geval zagen we aantallen die je gerust honderden kunt noemen. Dat zijn geen cijfers om trots op te zijn, maar wel cijfers die je als directie moet wíllen zien. Het confronterende was niet dat er gevoelige data bestond (dat is logisch, ieder bedrijf heeft die). Het confronterende was dat je zonder governance onvoldoende hard kunt aantonen dat toegang, deling en classificatie consequent worden afgedwongen en dus ook worden nageleefd.

Ik geloof dat dit bij veel organisaties speelt, juist omdat het niemand kwalijk te nemen is. Microsoft 365 is gemaakt om samenwerken makkelijk te maken. En dat is het ook. Maar “makkelijk” betekent: delen in een paar klikken, een gastgebruiker uitnodigen in een paar seconden, een projectteam starten zonder dat iemand eerst nadenkt over eigenaarschap, labels of levensduur.
Zeker in groeiende organisaties verschuift de focus naar snelheid en productiviteit. Governance voelt dan al snel als “remmen”. Terwijl het in werkelijkheid vooral vangrails zijn: je kunt juist harder rijden als je weet dat je binnen de lijnen blijft.

Na de eerste inzichten hebben we intern niet geroepen: “We moeten alles dichtzetten.” Dat is zelden verstandig. Wat we wél hebben gedaan, is direct structuur aanbrengen in de vervolgstappen. We zijn gestart met het ordenen van de inzichten: wat is echt hoog risico, wat is vooral rommel/achterstallig beheer, en wat vraagt om beleid in plaats van handwerk? Daarna hebben we dit vertaald naar een aanpak in fases: eerst de grootste risico’s, dan de basisinstellingen, dan de borging.
Concreet betekent dat dat we nu bezig zijn met het aanscherpen van standaardinstellingen (zoals het afdwingen van vervaldata bij delen), het expliciet maken van eigenaarschap per omgeving, en het voorbereiden van beleid dat niet alleen “op papier” klopt, maar ook aantoonbaar wordt nageleefd. Als hulpmiddel kun je daarbij denken aan governance-tooling en aan Microsoft Purview voor beleid en controle, maar de kern is: eerst de spelregels, dan de techniek. Het punt is niet dat je morgen perfect moet zijn. Het punt is dat je vandaag begint met regie terugpakken.

Een laatste inzicht dat ik graag deel: AI en Copilot maken governance niet ingewikkelder, ze maken het zichtbaarder. Copilot werkt met de informatie waar gebruikers toegang toe hebben. Als er historisch te ruim is gedeeld, als links “voor altijd” blijven bestaan, of als gevoelige bestanden niet goed geclassificeerd zijn, dan is de kans groter dat informatie opduikt waar je dat niet wilt. Niet omdat Copilot iets “fout” doet, maar omdat je fundament niet strak genoeg is.
Dat besef was voor mij een belangrijke bevestiging: je kunt niet blind varen op vertrouwen alleen. Je hebt feiten nodig. Instellingen die kloppen. En vooral: bewijs dat het beleid ook echt wordt gevolgd.
Als ik één ding hoop dat je meeneemt uit ons verhaal, dan is het dit: governance is geen project voor “later”, en ook niet iets wat alleen bij grote corporates hoort. Het is een directievraagstuk, omdat het gaat over risico, reputatie en continuïteit.
Wil jij ook voorkomen dat je achteraf verrast wordt, en liever vooraf inzicht hebben? Dan helpen we je graag met een praktische aanpak om governance te implementeren: stap voor stap, passend bij jouw organisatie en ambities. Met heldere spelregels, meetbaar beleid en borging die werkt in het dagelijks gebruik. En ja, juist ook als je Copilot verder wilt inzetten, is dit de basis om dat met een gerust hart te doen.
Als je wil, drinken we samen vrijblijvend een bakje koffie en verkennen waar jouw grootste blinde vlek zit en hoe je snel grip krijgt zonder dat het een log, eindeloos traject wordt.

CTS IT is altijd op zoek naar IT-toppers. Een diploma is mooi meegenomen, maar wij zijn vooral geïnteresseerd in welke kwaliteiten je meeneemt. Wat kan je al, en wat wil je ontwikkelen? Waar haal je plezier uit? Welke rol wil je vervullen binnen het bedrijf? Wij horen het graag van je.

“Dankzij de samenwerking met CTS IT hebben we niet alleen vertrouwen in onze IT-processen, maar ook ruimte om ons te focussen op innovatie en groei. ”
Nauta
Bekijk deze case