Zo groeit Grip mee.

Een regel die afgaat, gaat nu af op iets dat nog bestaat — ook de regel die telt hoeveel global admins je hebt.

Governance-regels keken tot nu toe naar álles wat Grip ooit van een onderwerp had gezien, ook naar objecten die inmiddels verwijderd waren. Bij gebruikers, beheerrollen, app-registraties, teams, sites, MFA-registraties, Conditional Access-policies, groepen, enterprise-apps, postbussen en OneDrives telde een verwijderd object gewoon mee. Het duidelijkste voorbeeld: een regel als "meer dan vier global admins" telde ook beheerrollen die al waren ingetrokken. Zo'n regel kon dus afgaan terwijl er in je omgeving niets aan de hand was. Dat is nu hersteld. Een regel kijkt alleen nog naar wat er daadwerkelijk bestaat, precies zoals de lijsten en tegels in Grip dat al deden. Dat geldt ook voor de onderdelen binnen een regel: een verwijderde aanmeldmethode telt niet meer als geregistreerde MFA-methode, en een verwijderde Conditional Access-policy telt niet meer als bewijs dat een maatregel bestaat. **Wat je hierdoor kunt zien veranderen.** Bij sommige regels daalt het aantal treffers. Dat komt niet doordat je omgeving beter is geworden, maar doordat Grip niet langer meetelt wat al weg was. Op de actie-suggesties op je startpagina kan daardoor een andere actie bovenaan komen te staan. De eerste keer dat je regels na deze wijziging opnieuw worden doorgerekend, zie je die daling **niet** als een reeks "opgeloste bevindingen" in je overzicht van recente wijzigingen. Dat is bewust: er is niets opgelost, er is alleen anders geteld. Daarna werkt dat overzicht weer zoals je gewend bent. Eén kanttekening: de regel "Conditional Access eist een beheerd apparaat" kan nu bij een enkele omgeving juist wél afgaan. Dat gebeurt als de enige policy die dat regelde al in Entra was verwijderd. Tot nu toe telde Grip die verwijderde policy nog als bewijs. Had je een eigen regel gemaakt op het kenmerk "is verwijderd" van een OneDrive? Dat kenmerk bestaat niet meer, omdat verwijderde OneDrives niet meer in de populatie zitten. Zo'n regel krijgt de status "kon niet meten", zodat hij niet stilletjes op nul blijft staan.

Vanaf nu staat bij elke MFA-registratie het juiste soort account, en laat de teller bij je regels zien hoeveel er daadwerkelijk afgaan.

Op de MFA-registratiepagina stond bij de kolom "Soort" bij iedereen het label "gasten" — ook bij gewone medewerkers en beheerders. De oorzaak was een fout in de manier waarop we die vraag aan de database stelden: in plaats van "is deze persoon een gast?" werd feitelijk gevraagd "heeft deze omgeving ergens een gast?". Zodra het antwoord daarop ja was, kreeg iedereen het label. En omdat vrijwel elke omgeving ooit een gast heeft gehad, gold dat vrijwel overal. Dat is nu hersteld: het label komt per persoon uit het account zelf. De tegel bovenaan diezelfde pagina rekende overigens wél goed — daardoor kon het gebeuren dat de tegel "0 gasten" zei terwijl elke regel eronder "gasten" toonde. Die tegenspraak is weg. Op de detailpagina van een MFA-registratie speelde iets vergelijkbaars in het blok met zwakke aanmeldmethodes: daar herhaalde zich bij elke regel dezelfde naam, van iemand anders dan degene die de regel betrof. Ook dat komt nu uit de juiste rij. **De teller bij je governance-regels ging nooit boven nul.** Bij een dienst met actieve regels hoort te staan hoeveel daarvan de afgelopen dag daadwerkelijk zijn afgegaan. Door dezelfde soort fout kwam die telling altijd op nul uit, en verscheen die aanvulling dus nooit. Vanaf nu telt hij echt. Zie je daar plotseling een getal staan waar eerst niets stond: dat is geen nieuw probleem in je omgeving, dat is informatie die je eerder niet kreeg. Tot slot tellen verwijderde en gearchiveerde accounts nu nergens meer mee in de MFA-cijfers — niet in de lijst, niet in de tegels, niet in je governance-score en ook niet in het antwoord dat Grip geeft als je ernaar vraagt. Onder de tegels staat hoeveel accounts daardoor buiten beeld blijven, en waarom. Je aantallen kunnen hierdoor veranderen zonder dat er in je omgeving iets gebeurd is.

Een categorie waar we te weinig zicht op hebben scoort geen 100 meer, maar 'niet gemeten' — met erbij hoeveel er in beeld is.

Tot nu toe kon een categorie een perfecte score krijgen terwijl er maar een fractie van je omgeving beoordeeld was. Bij apparaten bijvoorbeeld: als er twee van de eenentwintig via Intune beheerd werden en die twee voldeden, stond er 100 op 100 — over die twee, niet over de eenentwintig. Vanaf vandaag zegt Grip in dat geval "niet gemeten", met erbij hoeveel er in beeld is. Zo'n categorie telt niet mee in je totaalcijfer, net als een categorie zonder gegevens. Hetzelfde geldt voor deelinstellingen die we niet konden uitlezen en voor teams zonder activiteitsgegevens: die heten voortaan "geen activiteitsdata" in plaats van "niet gebruikt". **Je totaalcijfer kan hierdoor flink dalen.** Dat is geen verslechtering van je omgeving — er is niets kapotgegaan. Het is het wegvallen van cijfers die te gunstig waren. Bij de score staat nu hoeveel van de zeven categorieën daadwerkelijk gemeten zijn, en per categorie waarom er geen oordeel is. De trend-grafiek markeert de overgangsdag, zodat de sprong niet als een echte beweging wordt gelezen. Wil je zo'n categorie wél gemeten krijgen, dan is de weg meestal het vergroten van de dekking: apparaten onder Intune-beheer brengen, of de bron aansluiten die we nu niet kunnen uitlezen. De uitleg bij elke categorie vertelt wat er ontbreekt.

Je score weegt nu wat er echt toe doet: beheerders tellen zwaarder mee en lege categorieën tellen niet meer stiekem als perfect.

De governance score rekent vanaf vandaag met een aangescherpte formule. Twee dingen veranderen: een beheerder telt vijf keer zo zwaar mee in de MFA-dekking (het account met de meeste rechten hoort het best beschermd te zijn), en een categorie zonder gegevens telt niet meer als 100 maar valt uit het gemiddelde. Je cijfer kan hierdoor verspringen — dat is de formule, niet je omgeving. De trend-grafiek markeert de overgangsdag, en de uitleg bij de score beschrijft de nieuwe berekening.