In de afgelopen 5 jaar heeft Microsoft veel vooruitgang geboekt met het bijwerken en vereenvoudigen van informatiebescherming bij Microsoft. Eerst was er een handmatig gegevensclassificatieproces dat de gebruikers niet effectief gebruikten en niet werkte met de gegevensopslag en database-technologie. Daarom ging Microsoft nieuwe manieren vinden om gegevens te classificeren, effectieve tools te bouwen en tegelijkertijd de belangrijkste informatie over activa, klanten en werknemers beschermen. 

Aan de hand van deze bevindingen over gegevensbescherming zijn er een aantal ‘best practices’ hier uit voort gekomen die we graag met jullie delen:

• De basis leggen voor het beschermen van informatie.
• Bedrijfsgeheimen beschermen.
• Beginnen met uw informatiebeschermings programma.

De basis leggen voor het beschermen van informatie

De locatie van gegevens identificeren – De eerste stap bij het maken van een strategie is ontdekken waar uw gegevens en belangrijke opslagplaatsen zich bevinden, zodat u een gegevenslandschap kunt maken. Begin met het kijken in uw organisatie om uw klantgegevens, wettelijke gegevens en andere gevoelige informatie te identificeren.

Het classificeren van de data – Het classificeren van data is de belangrijkste en moeilijkste stap. Bij Microsoft gebruikten ze een aangepast handmatig classificatieproces op drie niveaus, maar al snel bleek dat niemand begreep hoe ze correct moesten worden toegepast. Microsoft werkte samen met juridische, HR- en andere groepen om labels te identificeren die logisch waren voor het bedrijf met als doel dat ze automatisch konden worden aangebracht.

Het doel is ervoor te zorgen dat eigen gegevens en klantgegevens correct worden behandeld, correct worden geclassificeerd en worden beschermd. Microsoft is een wereldwijd bedrijf en de Algemene Verordening Gegevensbescherming (GDPR) is de basislijn – en één van de belangrijkste principes – voor hoe ze over informatie denken en hoe ze deze beschermen. Ze hebben de handmatige classificatielabels vervangen door een meer intuïtieve labeling-taxonomie die beter aansluit bij industriestandaarden:

• Niet-zakelijk: gegevens die niet-zakelijk zijn en niet van Microsoft zijn.
• Publiek: gegevens ontworpen voor openbaar gebruik.
• Algemeen: bedrijfsgegevens niet bedoeld voor publiek gebruik.
• Vertrouwelijk: gevoelige bedrijfsgegevens die schade kunnen veroorzaken als ze worden gedeeld.
• Zeer vertrouwelijk: zeer gevoelige bedrijfsgegevens die zeker schade aan het bedrijf zouden toebrengen als ze worden gedeeld.

Oude gegevens identificeren en oplossen – Voordat u nieuwe tools uitrolt, zijn er mogelijk oude gegevens die u moet controleren en oplossen. Het kan bijvoorbeeld nodig zijn om uw gegevens op te schonen, te verwijderen of te beschermen. Houd bij het controleren van gegevens rekening met de leeftijd van de gegevens en of iemand nog steeds een document gebruikt. Prioriteit geven en regels maken voor het opslaan, verwijderen en beschermen van gegevens.

Gegevens beschermen – U wilt de gegevens beschermen op basis van classificatie. Bescherming van klant- en persoonlijke informatie vormt de kern van wat we bij Microsoft proberen te beschermen. Voor kleinere bedrijven of bedrijven die net beginnen met het ontwikkelen van een programma voor informatiebescherming is uw grootste rendement het vinden van klantgegevens zodat u deze kunt beschermen. Het opbouwen van klantvertrouwen en het beschermen van klantinformatie is de sleutel tot een informatiebeschermingsprogramma.

Bedrijfsgeheimen beschermen

Het beschermen van onze identiteit is een uiterst belangrijk onderdeel van je informatiebeschermings programma. Maar wat als u een document met bedrijfsgeheim-informatie tegenkomt? U zou waarschijnlijk moeten werken met de groep die bedrijfsgeheimen in uw bedrijf behandelt. Het gebruik van producten zoals Key Vault kan helpen gevoelige gegevens te beschermen.

Beginnen met uw informatiebeschermings programma

Als u net begint met het bouwen van een informatiebeveiligingsprogramma, raden we het volgende proces in drie stappen aan:

• Governance, risico en compliance – Laat uw juridische en HR-teams u helpen de soorten informatie te definiëren die u moet verdedigen. Focus altijd op klantgegevens en gevoelige informatie.
• Educatie en bewustzijn – Labels zijn altijd belangrijk omdat ze de basis vormen voor het identificeren van het verschil tussen vertrouwelijke en algemene bedrijfsgegevens. Gebruik terminologie die gebruikers gemakkelijk kunnen begrijpen. Train ze en gebruik tools om uw oplossingen te implementeren. We hebben voorlichtingscampagnes gebruikt en we hebben ook tooltips en templates voor de juiste beheerservice (RMS) in onze producten ingebouwd . Als ik bijvoorbeeld in een Office-ervaring werk, krijg ik mogelijk een tooltip waarin ik word gevraagd om een document als vertrouwelijk te classificeren. We hebben vastgesteld dat gebruikers 50 procent van de tijd de vertrouwelijkheid van het document vergroten.
• Uitrol van hulpprogramma’s: Onthoud dat wanneer u met hulpprogramma’s werkt, u meestal interactie heeft met klant- en werknemersinformatie. Het is een kans om als bedrijf vertrouwen op te bouwen. Enkele van de hulpprogramma’s voor informatiebescherming die we zelf bij OfficeGrip gebruiken, zijn Office 365 Information Protection en Azure Information Protection, die coderingsfunctionaliteit biedt die we naar eindpunten kunnen pushen, evenals label- en tooltips voor Office-documenten. We gebruiken ook de scanner voor het delen van bestanden en Windows Information Protection (die zich nog in de pilotfase bevindt).

Het bouwen van een informatiebeschermingsprogramma is niet voor iedereen geschikt, maar als u classificatievoorwaarden kiest, gemakkelijk te begrijpen en te implementeren termen, proactief gebruikers opleiden en informatiebescherming in bestaande processen integreren om de impact te minimaliseren, kunt u de succes van het programma.