Beveiligingsopdrachten zijn aanvullende beveiligingsmaatregelen om de identiteit van een gebruiker te verifiëren. Er zijn twee soorten beveiligingsopdrachten:
- Inlogcontrole: Als we vermoeden dat een onbevoegde gebruiker probeert in te loggen op een Google Workspace-account, laten we een inlogcontrole zien. Als de gebruiker de gevraagde gegevens niet kan invoeren, wordt de gebruiker niet ingelogd op het account.
- 'Bevestigen dat u het bent'-controle: Als een gebruiker probeert acties uit te voeren die als gevoelig worden beschouwd, krijgt deze gebruiker een 'bevestigen dat u het bent'-controle. Als de gebruiker de gevraagde informatie niet kan invoeren, staan we de gevoelige actie niet toe (de persoon kan het account gewoon blijven gebruiken).
Belangrijk: Google dwingt tweestapsverificatie af voor beheerdersaccounts. Ga naar Over tweestapsverificatie afdwingen voor beheerders voor meer informatie.
Voordat u beveiligingsopdrachten kunt gebruiken
Zorg ervoor dat uw Google Workspace-accounts de informatie bevatten die we nodig hebben:
- Herinner werknemers eraan een hersteltelefoonnummer en herstelmailadres toe te voegen aan hun account. We vragen ze periodiek om deze gegevens toe te voegen als ze inloggen op hun account.
- Voeg werknemers-ID's toe aan uw gebruikersaccounts. Ga naar Werknemers-ID toevoegen als inlogcontrole voor meer informatie.
Typen inlogchallenges
De gebruiker bevestigt de identiteit met het eigen mobiele apparaat
De gebruiker kiest hoe de identiteit wordt geverifieerd
Google gebruikt een app die op de telefoon van de gebruiker is geïnstalleerd om de identiteit van de gebruiker te bevestigen
Google stuurt een tekstbericht met een verificatiecode
Google belt de telefoon en verstrekt een verificatiecode
De gebruiker voert de werknemers-ID in
Als u werknemers-ID's heeft toegevoegd als inlogcontrole, kunnen gebruikers deze ID gebruiken om hun identiteit te bevestigen.
De gebruiker voert het herstelmailadres in
Een gebruiker kan een herstelmailadres invullen als inlogcontrole.
Controles om te bevestigen dat u het bent voor gevoelige acties
Als een Google Workspace-gebruiker een gevoelige actie probeert uit te voeren, moet die gebruiker soms een controle uitvoeren om zijn identiteit te bevestigen. Als de gebruiker de gevraagde informatie niet kan invoeren, staat Google de gevoelige actie niet toe.
Gevoelige actie geblokkeerd
De meeste gebruikers die een controle moeten uitvoeren om te bevestigen wie ze zijn om een gevoelige actie te kunnen uitvoeren, zien een venster met de titel Gevoelige actie geblokkeerd. De gebruiker krijgt de opdracht om het opnieuw te proberen vanaf een apparaat dat normaal wordt gebruikt (zoals een telefoon of laptop) of op de locatie waar meestal wordt ingelogd.
Kan deze actie nu niet afronden
Omdat sommige gebruikers apparaten of beveiligingssleutels hebben die onlangs aan hun account zijn toegevoegd, kunnen ze hun identiteit niet meteen laten verifiëren bij een beveiligingscontrole. Deze gebruikers zien een venster met de titel Kan deze actie nu niet voltooien. Deze gebruikers kunnen hun identiteit laten verifiëren nadat een apparaat, telefoonnummer of beveiligingssleutel minstens 7 dagen aan hun account is gekoppeld.
Voorbeelden van gevoelige acties
Hier zijn een paar voorbeelden van gevoelige acties:
- Tweestapsverificatie uitzetten
- Een app toegang geven tot Google-gegevens
- Het mailadres of -telefoonnummer voor accountherstel wijzigen
- Accountgegevens downloaden
- De naam van het account wijzigen
Inlogcontroles met SSO aanzetten
Als uw organisatie externe identiteitsproviders (IdP's) gebruikt om Single sign-on-gebruikers (SSO) te verifiëren via SAML, kunt u deze SSO-gebruikers aanvullende risicogebaseerde inlogcontroles geven en tweestapsverificatie toepassen (indien ingesteld), nadat de IdP een gebruiker verifieert tijdens het inloggen.
De standaardinstelling voor verificatie na SSO is afhankelijk van het SSO-gebruikerstype:
- Voor gebruikers die inloggen met het oudere SSO-profiel voor uw organisatie is de standaardinstelling dat aanvullende inlogcontroles en tweestapsverificatie worden overgeslagen.
- Voor gebruikers die inloggen met andere SSO-profielen, worden standaard aanvullende inlogcontroles en tweestapsverificatie toegepast.
Als u de standaardinstellingen voor een gebruikerstype wilt wijzigen, volgt u de stappen in Verificatie na SSO instellen hieronder.
Gebruiksvoorbeelden voor aanvullende inlogcontroles met SSO
- U wilt beveiligingssleutels gebruiken om de toegang tot gevoelige door Google gehoste bronnen maximaal te beschermen en uw huidige IdP ondersteunt geen beveiligingssleutels.
- U wilt de kosten van een identiteitsprovider besparen, omdat gebruikers in de meeste gevallen bronnen van Google gebruiken.
- U wilt geen Google-verificatie (Google als identiteitsprovider) gebruiken, maar u wilt alle op risico's gebaseerde inlogcontroles van Google gebruiken.
- U wilt dat Google gevoelige acties in het Google-ecosysteem beschermt.
Wat er gebeurt als u aanvullende inlogcontroles toepast
Informeer uw gebruikers over het nieuwe beleid en vanaf wanneer het wordt toegepast, om de implementatie soepel te laten verlopen. Als u aanvullende inlogcontroles toevoegt bij het inloggen, gebeurt het volgende:
- Als er bestaand beleid is voor verificatie in 2 stappen, zoals beleid waardoor verificatie in 2 stappen wordt afgedwongen, wordt dit beleid meteen van kracht.
- Gebruikers voor wie het nieuwe beleid geldt en die zijn ingeschreven voor verificatie in 2 stappen, zien een inlogchallenge met verificatie in 2 stappen bij het inloggen.
- Op basis van de risicoanalyse van inloggen bij Google kunnen gebruikers op risico's gebaseerde inlogcontroles zien bij het inloggen.
Verificatie na SSO instellen
-
Ga in de Google Beheerdersconsole naar Menu
Beveiliging
Verificatie
Inlogchallenges.Hiervoor is het beheerdersrecht Gebruikersveiligheidsbeheer vereist.
- Selecteer links de organisatie-eenheid waarvoor u het beleid wilt instellen.
Selecteer de organisatie op het hoogste niveau als u wilt dat de instellingen gelden voor alle gebruikers. Een organisatie-eenheid neemt in eerste instantie de instellingen over van de bovenliggende organisatie-eenheid.
- Klik op Verificatie na SSO.
- Kies instellingen op basis van hoe u oudere SSO-profielen in uw organisatie gebruikt. U kunt een instelling toepassen voor gebruikers die het verouderde SSO-profiel voor uw organisatie gebruiken en voor gebruikers die inloggen met andere SSO-profielen.
- Klik rechtsonder op Opslaan.
Google maakt een invoer in het controlelogboek voor beheerders waarin staat dat een beleid is gewijzigd.
Opmerking: In zeldzame gevallen zijn er misschien geen gebeurtenisgegegevens vastgelegd voor alle gebeurtenissen. We werken aan een oplossing voor dit probleem.
Veelgestelde vragen
Extra beveiligingsvragen en inlogcontroles | Telefonische verificatie | Een inlogcontrole of beveiligingsopdracht uitzetten | Beheerders
Extra beveiligingsvragen en inlogchallenges
Wanneer ziet een gebruiker een beveiligingscontrole?
Een gebruiker krijgt een inlogcontrole wanneer een verdachte inlogpoging wordt gedetecteerd, bijvoorbeeld als de gebruiker niet de inlogpatronen volgt die hij normaal volgt. Een gebruiker krijgt een 'bevestigen dat u het bent'-controle te zien als die een risicovolle sessie uitvoert bij een gevoelige actie.
Belangrijk: Google bepaalt op basis van meerdere beveiligings- en gebruiksgemakfactoren welk type beveiligingscontrole een gebruiker te zien krijgt. Een specifieke gebruiker krijgt bijvoorbeeld mogelijk niet de inlogcontrole met de werknemers-ID te zien, ook niet als u dit heeft aangezet.
Kan ik als beheerder kiezen welk type inlogcontrole mijn gebruikers te zien krijgen?
Verificatie in 2 stappen is een type inlogchallenge. Als beheerder kunt u de inlogchallenge met verificatie in 2 stappen afdwingen voor uw gebruikers. Ze krijgen dan geen andere op risico's gebaseerde inlogchallenge te zien.
Als u tweestapsverificatie niet afdwingt voor gebruikers of als het niet aanstaat voor een gebruiker, bepaalt Google welk type inlogcontrole de gebruiker te zien krijgt. Het type inlogcontrole wordt bepaald op basis van gebruiksgemak en meerdere beveiligingsfactoren. Een specifieke gebruiker krijgt bijvoorbeeld wellicht niet de inlogcontrole met de werknemers-ID te zien, ook niet als u dit heeft aangezet.
Kunnen gebruikers hun herstelgegevens updaten?
Ja. Ga naar Een hersteltelefoonnummer of herstelmailadres instellen voor meer informatie.
We gebruiken tweestapsverificatie. Waarom hebben we inlogchallenges nodig?
Tweestapsverificatie is een type inlogcontrole. Als tweestapsverificatie aanstaat voor uw gebruikers, zien ze geen andere inlogcontrole. Daarom wordt in de beheerdersrapporten een inlogcontrole genoteerd elke keer dat tweestapsverificatie wordt gebruikt.
Hoe werken inlogchallenges wanneer SSO is ingeschakeld?
Dit hangt af van hoe u SSO heeft ingesteld in uw organisatie:
- Als u een ouder SSO-profiel heeft ingesteld voor uw organisatie: Inlogcontroles staan standaard niet aan. U kunt echter verificatie na SSO instellen om extra op risico's gebaseerde verificatiecontroles en tweestapsverificatie toe te staan als deze zijn ingesteld.
- Als u een ander SSO-profiel gebruikt, worden aanvullende inlogcontroles (waaronder tweestapsverificatie, indien ingesteld) automatisch toegepast.
Is deze functie beschikbaar in de Education-versies?
Ja, alle Google Workspace-versies bevatten extra beveiligingsvragen en inlogcontroles.
Wanneer vindt Google een inlogpoging verdacht?
We bepalen of een inlogpoging verdacht is als ons risicoanalysesysteem een poging vaststelt die buiten het normale patroon van gebruikersgedrag valt. Bijvoorbeeld als een gebruiker inlogt vanaf een ongewone locatie of op een manier die geassocieerd wordt met misbruik.
Telefonische verificatie
Als mijn gebruikers geen zakelijke telefoon hebben, is er dan een andere manier om hun accounts te laten verifiëren?
Ja, er zijn verschillende typen inlogchallenges. Welke inlogcontrole gebruikers zien, is afhankelijk van de gegevens die beschikbaar zijn in hun account. Zo moeten ze bijvoorbeeld hun werknemers-ID of herstelmailadres invoeren. Als een gebruiker geen toegang heeft tot de telefoon, kan die inloggen met back-upcodes. Zie Inloggen met back-upcodes voor meer informatie.
Hoe kan een gebruiker het herstelmailadres of -telefoonnummer wijzigen dat is verbonden aan zijn account?
De gebruiker kan de herstelgegevens updaten in de accountinstellingen.
Kan een gebruiker ervoor kiezen andere criteria te verifiëren dan zijn hersteltelefoonnummer?
Als gebruikers geen hersteltelefoonnummer invoeren, zien ze een andere inlogcontroles. Ze moeten dan bijvoorbeeld hun herstelmailadres of werknemers-ID invoeren.
Een inlogcontrole of 'bevestigen dat u het bent'-controle uitzetten
Kan ik de inlogcontrole of'bevestigen dat u het bent'-controle uitzetten als de gebruiker zijn identiteit niet kan bevestigen?
Ja, een beheerder kan een inlogcontrole of 'bevestigen dat u het bent'-controle 10 minuten uitzetten.
In sommige situaties kunnen geautoriseerde gebruikers hun identiteit niet bevestigen. Ze hebben bijvoorbeeld geen bereik op hun telefoon, waardoor ze de verificatiecode niet kunnen krijgen. Of ze zijn hun werknemers-ID vergeten of kwijt. Als dit gebeurt, kunt u als hoofdbeheerder de inlogcontrole of 'bevestigen dat u het bent'-controle 10 minuten uitzetten zodat de gebruiker kan inloggen of de gevoelige actie kan voltooien. Wees voorzichtig bij het uitzetten van inlogcontroles of 'bevestigen dat u het bent'-controles, omdat het account gedurende de periode van 10 minuten minder goed beveiligd is tegen accountkaping.
Kan ik de inlogcontrole of 'bevestigen dat u het bent'-controle uitzetten voor mijn organisatie?
Nee, u kunt deze functie niet voor uw hele organisatie uitzetten. U kunt dit slechts tijdelijk uitzetten en alleen per gebruiker.
Kan de gebruiker dit zelf uitschakelen via zijn accountinstellingen?
Nee, alleen een beheerder kan de inlogcontroles of beveiligingsopdrachten tijdelijk uitzetten.
Inlogchallenges voor beheerders
Hoe krijgt een beheerder opnieuw toegang tot het account als deze de identiteit niet kan laten verifiëren?
Als beheerder kunt u weer toegang krijgen tot uw account door de aanwijzingen op de inlogpagina te volgen en uw wachtwoord te resetten.
Als u een Google Workspace-beheerder bent en problemen ondervindt om in te loggen op uw beheerdersaccount, gaat u naar Beheerderstoegang tot uw account herstellen voor instructies.
Wat als een hoofdgebruiker zijn identiteit niet kan verifiëren?
Als een hoofdbeheerder zijn identiteit niet kan bevestigen, kan een andere hoofdbeheerder (indien beschikbaar) de inlogcontrole tijdelijk voor hem uitzetten, zoals beschreven in de stappen hierboven.
De hoofdbeheerder kan ook de inlogcontrole overslaan door het wachtwoord te resetten.
Opmerking: De optie voor geautomatiseerd wachtwoordherstel is niet beschikbaar voor alle hoofdbeheerders. Zie Opties voor herstel toevoegen aan uw beheerdersaccount voor meer informatie over het herstellen van beheerdersaccounts.