Google Workspace-beveiliging: Best practices voor 2026

Google Workspace is de productiviteitsruggengraat van miljoenen organisaties — e-mail, documenten, agenda’s, videovergaderingen en taakbeheer draaien allemaal op één platform. Die centralisatie biedt enorm veel gemak. Het creëert echter ook een geconcentreerd doelwit voor aanvallers, onbedoelde datalekken en interne risico’s.

Google Workspace-beveiliging is geen eenmalige configuratie. Het is een continu proces dat beheerderstoezicht, gedrag van eindgebruikers, integraties van derden en organisatiebeleid omvat. Deze gids behandelt de belangrijkste beveiligingspraktijken voor 2026, ingedeeld per controlelaag waar ze van toepassing zijn.

Waarom Google Workspace-beveiliging serieuze aandacht verdient

Google investeert zwaar in infrastructuurbeveiliging — versleuteling tijdens transport en in rust, datacenters met fysieke beveiliging en continue dreigingsdetectie. Waar Google niet volledig tegen kan beschermen, is hoe uw organisatie het platform configureert en gebruikt.

De meest voorkomende beveiligingsincidenten in Google Workspace zijn geen inbreuken op de infrastructuur van Google. Het zijn:

Accountovername via phishing — een aanvaller verleidt een medewerker om inloggegevens in te voeren op een valse inlogpagina.
OAuth-apps met te veel rechten — een app van derden die toegang heeft gekregen tot Google Drive of Gmail en die later kwaadaardig wordt of wordt overgenomen door een onbetrouwbaar bedrijf.
Onbedoeld delen — een gevoelig document dat wordt gedeeld met “iedereen met de link” in plaats van met specifieke personen.
Zwakke of hergebruikte wachtwoorden — met name bij accounts zonder 2-stapsverificatie.
Gecompromitteerde beheerdersaccounts — het accounttype met het hoogste risico in elke Google Workspace-organisatie.

Voor elk van deze punten is er een duidelijke oplossing. De uitdaging is om ze allemaal consistent te implementeren.

Admin Console: Het fundament van Google Workspace-beveiliging

Admin Console Controls

2-Step Verification enforcement

Password policy configuration

Session duration settings

De Google Admin Console is de plek waar de beveiligingsconfiguratie van de organisatie wordt beheerd. Elke hier beschreven best practice vereist beheerdersrechten om te implementeren.

2-stapsverificatie afdwingen

2-stapsverificatie (2SV) is de beveiligingsmaatregel met de grootste impact binnen Google Workspace. Het vereist een tweede factor — een code, een fysieke beveiligingssleutel of biometrische gegevens — naast het wachtwoord. Zelfs als een aanvaller het wachtwoord van een gebruiker bemachtigt, heeft deze zonder de tweede factor geen toegang tot het account.

Hoe dit af te dwingen:

Ga in de Admin Console naar Beveiliging > Authenticatie > 2-stapsverificatie.
Schakel handhaving in voor alle gebruikers (niet alleen optioneel).
Stel een respijtperiode in (7-30 dagen) waarin gebruikers zich kunnen aanmelden voordat het beleid van kracht wordt.
Overweeg het verplichten van fysieke beveiligingssleutels (FIDO2/WebAuthn) voor accounts met hoge privileges, zoals beheerders.

Voor maximale bescherming zijn fysieke beveiligingssleutels aanzienlijk beter bestand tegen phishing dan sms-codes of authenticator-apps. Uit eigen onderzoek van Google bleek dat beveiligingssleutels 100% van de geautomatiseerde bot-aanvallen, 99% van de bulk-phishingaanvallen en 90% van de gerichte aanvallen blokkeerden.

Vereis sterke wachtwoorden

Stel een minimale wachtwoordlengte van ten minste 12 tekens in en dwing preventie van hergebruik af (blokkeer de laatste 10 wachtwoorden). Combineer dit met detectie van gelekte inloggegevens (vergelijkbaar met Have I Been Pwned), die Google opneemt in het Security Center.

Controleer superbeheerdersaccounts

Superbeheerdersaccounts hebben onbeperkte toegang tot alle gegevens en instellingen in uw Google Workspace-organisatie. Best practices:

Beheer niet meer dan 2-4 superbeheerdersaccounts.
Gebruik superbeheerdersaccounts nooit voor dagelijks werk — maak aparte beheerdersaccounts aan voor routinematige beheertaken.
Schakel inloguitdagingen in en vereis fysieke beveiligingssleutels voor alle superbeheerdersaccounts.
Controleer elk kwartaal de lijst met superbeheerders.

Gebruikersgegevens beschermen: Delen en DLP

Controleer instellingen voor extern delen

De standaardinstellingen voor delen in Google Drive staan gebruikers toe om bestanden te delen met iedereen die de link heeft, inclusief mensen buiten de organisatie. Voor de meeste organisaties is dit te ruimhartig.

Controleer in de Admin Console:

Drive en Documenten > Instellingen voor delen > Delen buiten [uw domein] — beperk dit tot specifieke vertrouwde domeinen of schakel extern delen volledig uit voor gevoelige organisatie-eenheden.
Schakel het delen van links naar “iedereen” uit voor organisatie-eenheden die met gevoelige gegevens werken.

Data Loss Prevention (DLP)

DLP-regels in Google Workspace scannen automatisch uitgaande e-mail en het delen van Drive-bestanden op patronen van gevoelige gegevens — creditcardnummers, sofinummers, nationale ID-nummers en aangepaste patronen die u zelf definieert.

Wanneer DLP een gevoelig patroon detecteert, kan het de actie blokkeren, de gebruiker waarschuwen of de beheerder op de hoogte stellen. DLP is beschikbaar in Business Plus-, Enterprise- en Education Plus-abonnementen.

Belangrijke DLP-regels om te configureren:

Blokkeer het extern delen van Drive-bestanden die creditcardnummers bevatten.
Waarschuw voordat e-mails met bepaalde trefwoorden (vertrouwelijk, bedrijfseigen, PII) worden verzonden.
Plaats Gmail-berichten met verdachte bijlagetypen in quarantaine.

Vault voor retentie en eDiscovery

Met Google Vault kunnen beheerders retentieregels instellen voor Gmail, Drive, Chat en Meet. Dit zorgt ervoor dat gegevens bewaard blijven gedurende de vereiste retentieperiode, zelfs als gebruikers ze verwijderen, wat belangrijk is voor juridische en compliance-vereisten.

Voor organisaties die onderworpen zijn aan de AVG, HIPAA of financiële regelgeving, is Vault essentiële infrastructuur, geen optionele toevoeging.

Toegang van apps van derden beheren

Apps van derden die via OAuth verbinding maken met Google Workspace, vormen een van de meest onderschatte beveiligingsrisico’s. Elke keer dat een gebruiker op “Inloggen met Google” klikt en machtigingen verleent aan een app, krijgt die app doorlopend toegang tot de verleende gegevens — totdat de gebruiker dit handmatig intrekt.

Controleer verbonden apps

Ga in de Admin Console naar Beveiliging > Toegang en gegevensbeheer > API-beheer > App-toegangsbeheer om alle apps van derden te zien die OAuth-toegang hebben gekregen tot de Google Workspace-gegevens van uw organisatie.

Controleer deze lijst op:

Apps die bredere machtigingen vragen dan hun functie vereist.
Apps van leveranciers die uw organisatie niet meer gebruikt.
Apps die momenteel door niemand worden gebruikt.
Apps die zijn verouderd of waarvan de leveranciers zijn overgenomen.

Beperk toegang van apps van derden

Voor organisaties met hoge beveiligingseisen kunt u volledig beperken welke apps van derden verbinding mogen maken met Google Workspace. Twee opties:

Allowlist-modus — alleen apps die expliciet door de beheerder zijn goedgekeurd, kunnen verbinding maken.
Niet-geverifieerde apps beperken — alleen apps die het OAuth-verificatieproces van Google hebben doorlopen, kunnen gevoelige scopes aanvragen.

De allowlist-benadering biedt de sterkste bescherming, maar vereist doorlopend onderhoud naarmate de organisatie nieuwe tools adopteert.

TasksBoard en OAuth-beveiliging

TasksBoard gebruikt de officiële Google Tasks API via OAuth en vraagt alleen toegang tot Google Tasks-gegevens — het vraagt geen toegang tot de inhoud van Gmail, Drive of Agenda. Wanneer u TasksBoard toegang verleent, kan het uw Google Tasks lezen en schrijven, en niets anders. Deze minimale machtigingsscope volgt het principe van de minste privileges.

Controleer bij het evalueren van elke Google Workspace-app van derden de gevraagde machtigingsscopes voordat u toegang verleent. Een app die toegang vraagt tot alle Gmail-gegevens om “de productiviteit te verbeteren” is een waarschuwingssignaal.

E-mailbeveiliging: Gmail-bescherming

Security

Gmail

Users

Gmail bevat verschillende beveiligingslagen die beheerders kunnen configureren en versterken.

Phishing- en malwarebescherming

Schakel in de Admin Console onder Apps > Google Workspace > Gmail > Veiligheid het volgende in:

Verbeterde berichtscanning vóór aflevering — extra AI-gestuurde scanning voordat berichten de inbox van gebruikers bereiken.
Bijlagen: Beschermen tegen bijlagen van niet-vertrouwde afzenders.
Links en externe afbeeldingen: Links achter verkorte URL’s identificeren.
Spoofing en authenticatie: Beschermen tegen niet-geauthenticeerde e-mail.

SPF, DKIM en DMARC configureren

Deze e-mailauthenticatiestandaarden verifiëren dat e-mail die vanaf uw domein wordt verzonden, daadwerkelijk afkomstig is van uw geautoriseerde mailservers.

SPF (Sender Policy Framework) — vermeldt geautoriseerde IP-adressen voor verzending in uw DNS.
DKIM (DomainKeys Identified Mail) — voegt een cryptografische handtekening toe aan uitgaande e-mail.
DMARC — vertelt ontvangende mailservers wat ze moeten doen met e-mail die niet slaagt voor SPF/DKIM-controles.

Google Workspace maakt DKIM-configuratie eenvoudig via de Admin Console. DMARC vereist een DNS-record. Begin met een p=none-beleid dat alleen monitort, ga daarna over naar p=quarantine en uiteindelijk p=reject nadat u heeft geverifieerd dat legitieme e-mail door de authenticatie komt.

Secure LDAP en SSO

Voor organisaties die Secure LDAP of SAML-gebaseerde single sign-on gebruiken, moet u ervoor zorgen dat uw SSO-provider dezelfde 2SV-beleidsregels afdwingt als Google Workspace. Het omzeilen van 2SV op de SSO-laag elimineert uw Google Workspace 2SV-bescherming.

Endpoint- en mobiel apparaatbeheer

Elk apparaat dat toegang heeft tot Google Workspace is een potentieel aanvalsvector. Met mobiel apparaatbeheer (MDM) kunnen beheerders apparaten die toegang hebben tot organisatiegegevens controleren en wissen.

Basis- versus geavanceerd apparaatbeheer

Google Workspace bevat basisapparaatbeheer zonder extra kosten. Geavanceerd endpointbeheer is beschikbaar in hogere abonnementen. Belangrijke mogelijkheden:

Basis (gratis):

Schermvergrendeling vereisen op mobiele apparaten.
Account op afstand wissen (verwijdert Google Workspace-gegevens zonder het volledige apparaat te wissen).
Apparaatinventarisatie.

Geavanceerd (betaalde abonnementen):

Alleen goedgekeurde apps vereisen.
Toegang vanaf gecompromitteerde apparaten blokkeren.
Mogelijkheid om het volledige apparaat te wissen.
OS-updatevereisten afdwingen.

Chromebook-beheer

Organisaties die Chromebooks gebruiken, kunnen deze via Google Admin beheren met gedetailleerde beleidscontroles — USB-opslag blokkeren, geverifieerd opstarten afdwingen, app-installatie beperken en netwerktoegangsbeleid instellen.

Beveiligingsmonitoring en incidentrespons

Security Center

Het Google Workspace Security Center (beschikbaar in Business Plus en Enterprise) biedt een dashboard met statistieken over de beveiligingsstatus, waarschuwingen en onderzoekstools. Monitor:

Mislukte inlogpogingen en verdachte aanmeldingen.
Anomalieën in e-mail- en Drive-activiteit.
OAuth-toekenningen van apps van derden.
Indicatoren voor data-exfiltratie.

Stel e-mailwaarschuwingen in voor beveiligingsevenementen met hoge prioriteit, zodat het beheerteam tijdig op de hoogte wordt gesteld.

Alert Center

Het Alert Center in de Admin Console verzamelt beveiligingswaarschuwingen uit heel Google Workspace — waarschuwingen voor accountcompromittering, meldingen van door de overheid gesteunde aanvallen, verdachte inlogactiviteit en phishingcampagnes gericht op uw domein.

Controleer het Alert Center regelmatig en stel een workflow voor incidentrespons op voor veelvoorkomende typen waarschuwingen.

Logretentie en auditlogs

Google Workspace genereert auditlogs voor beheerdersacties, Drive-activiteit, Gmail-activiteit en meer. Deze logs vormen de basis van elk beveiligingsonderzoek.

Voor de meeste abonnementen worden auditlogs 180 dagen bewaard. Organisaties die een langere retentie vereisen, moeten Google Cloud Storage-export of een SIEM-integratie configureren.

Best practices voor eindgebruikers

Secure Access

Protected Data

Beheerderscontroles gaan maar tot op zekere hoogte. Beveiligingsgedrag van werknemers is de andere helft van de vergelijking.

Regelmatige beveiligingstraining

Jaarlijkse beveiligingstraining is voor veel sectoren een wettelijk minimum, maar de meest effectieve programma’s bieden doorlopende, scenario-gebaseerde training. Focus op het herkennen van phishing, veilige methoden voor het delen van bestanden en wachtwoordhygiëne.

Google biedt gratis bronnen voor beveiligingstraining via het Google Workspace learning center die beheerders kunnen delen met werknemers.

Phishing-simulatie

Het regelmatig uitvoeren van phishing-simulaties — het sturen van nep-phishingmails naar werknemers om te zien wie er klikt — levert gegevens op over welke werknemers of teams extra training nodig hebben. Dit is het meest effectief als leermiddel, niet als strafmaatregel.

Duidelijk beleid voor gegevensverwerking

Documenteer en communiceer welke soorten gegevens extern mogen worden gedeeld, welke alleen interne toegang vereisen en welke versleuteling of aanvullende controles vereisen. Zonder duidelijk beleid nemen werknemers inconsistente beslissingen die risico’s creëren.

Veelgestelde vragen

Wat is de belangrijkste beveiligingsinstelling van Google Workspace?

Het afdwingen van 2-stapsverificatie voor alle gebruikers is de beveiligingsmaatregel met de grootste impact. Accountovername is het meest voorkomende ernstige beveiligingsincident in Google Workspace-omgevingen, en 2SV voorkomt het overgrote deel van de aanvallen op basis van inloggegevens.

Hoe zie ik welke apps toegang hebben tot mijn Google Workspace?

Ga in de Admin Console naar Beveiliging > Toegang en gegevensbeheer > API-beheer > App-toegangsbeheer. Dit toont alle apps van derden met OAuth-toegang tot de gegevens van uw organisatie. Individuele gebruikers kunnen hun persoonlijke verbonden apps ook zien op myaccount.google.com/permissions.

Kan Google Workspace HIPAA-compliant zijn?

Ja, met de juiste configuratie. Google biedt een Business Associate Agreement (BAA) voor Google Workspace-klanten, die Gmail, Drive, Agenda en andere kerndiensten dekt. U moet een BAA met Google afsluiten en de juiste controles (versleuteling, toegangscontroles, auditlogging) configureren om aan de HIPAA-vereisten te voldoen.

Wat is de benadering van Google Workspace voor gegevensversleuteling?

Google versleutelt gegevens tijdens transport (TLS) en in rust (AES 256-bit). Voor organisaties die door de klant beheerde versleutelingssleutels vereisen, biedt Google Workspace Client-side encryption (CSE) in Enterprise- en Education Plus-abonnementen, waarmee u gegevens kunt versleutelen met sleutels die u beheert voordat ze de servers van Google bereiken.

Hoe voorkom ik onbedoelde datalekken in Google Drive?

De primaire controles zijn: het beperken van instellingen voor extern delen in de Admin Console, het implementeren van DLP-regels om gevoelige datapatronen te markeren en het trainen van gebruikers in best practices voor delen. Voor organisaties met hoge gevoeligheid elimineert het vereisen dat het delen van links wordt ingesteld op specifieke personen in plaats van “iedereen met de link” de meest voorkomende vector voor onbedoelde blootstelling.

Hoe gaat TasksBoard om met Google Workspace-beveiliging?

TasksBoard heeft alleen toegang tot Google Tasks — het vraagt geen toegang tot Gmail, Google Drive of enige andere Google Workspace-dienst buiten taken. TasksBoard gebruikt OAuth 2.0 voor authenticatie, wat betekent dat het nooit uw Google-wachtwoord ontvangt of opslaat. U kunt de toegang van TasksBoard op elk gewenst moment bekijken en intrekken via de beveiligingsinstellingen van uw Google-account op myaccount.google.com/permissions.

Een beveiligingsprogramma bouwen, niet alleen een configuratie

De meest veerkrachtige beveiligingshouding voor Google Workspace is geen eenmalige configuratie — het is een levend programma met regelmatige beoordelingen, doorlopende educatie voor gebruikers en duidelijke processen voor incidentrespons.

Begin met de controles met hoge prioriteit: dwing 2-stapsverificatie af, controleer superbeheerdersaccounts, bekijk instellingen voor extern delen en configureer e-mailauthenticatie (SPF/DKIM/DMARC). Werk daarna systematisch de controles met lagere prioriteit af.

Beveiliging is het meest effectief wanneer deze in verhouding staat tot het risicoprofiel van uw organisatie. Een startup van tien personen heeft andere behoeften dan een zorgverlener of een financiële dienstverlener. Gebruik deze gids als raamwerk en pas de strengheid van elke controle aan op wat er daadwerkelijk op het spel staat voor uw organisatie.

Voor meer begeleiding over functies en mogelijkheden van Google Workspace, zie de Google Workspace-tutorial.