Microsoft Purview

Zo krijg je grip op informatiebescherming, DLP en retentie

🔐TL;DR

Microsoft Purview brengt classificatie, bescherming tegen dataverlies en het beheren van bewaartermijnen samen in één beveiligingsraamwerk binnen Microsoft 365. Voor MKB-organisaties is dat waardevol, omdat offertes, HR-dossiers en financiële gegevens vaak verspreid in Teams, SharePoint en OneDrive staan zonder duidelijke regels. Met sensitivity labels, Data Loss Prevention en retentiebeleid maak je zichtbaar wélke data bescherming nodig heeft en voorkom je dat gevoelige informatie weglekt of te lang blijft bestaan. De techniek is krachtig, maar levert pas resultaat op als labels, rechten en gebruikersgedrag op elkaar aansluiten.

Waarom databeheer in het MKB urgenter is dan het lijkt

De meeste organisaties verzamelen in korte tijd een enorme hoeveelheid informatie. Contracten, salarisgegevens, klantdossiers en forecasts komen terecht in e-mails, documentbibliotheken en chatkanalen, vaak zonder dat iemand precies overziet wie waar toegang toe heeft. Zolang er niets misgaat, valt dat niet op. Maar één verkeerd gedeelde map of één e-mail naar de verkeerde ontvanger kan al leiden tot een datalek met reputatieschade en mogelijke boetes.

Juist in het MKB ontbreekt vaak een apart securityteam dat hier dagelijks op stuurt. Het gevolg is dat databeveiliging reactief wordt: er wordt pas ingegrepen als het misgaat. Microsoft Purview draait die logica om. Het stelt je in staat om vooraf te bepalen wat gevoelig is, hoe die informatie beschermd moet worden en hoe lang je het bewaart. In plaats van losse maatregelen krijg je zo een samenhangend raamwerk dat meereist met je data.

Wat Microsoft Purview precies is

Microsoft Purview is de verzamelnaam voor de oplossingen binnen Microsoft 365 waarmee je informatie classificeert, beschermt en beheert gedurende de volledige levensloop. Je kunt het zien als een reeks samenhangende bouwstenen: classificeren wat gevoelig is, die data beschermen, voorkomen dat ze ongewenst wegvloeit, en bepalen hoe lang ze bewaard of juist verwijderd wordt.

De kracht zit in die samenhang. Een sensitivity label dat je toekent aan een document, kan tegelijk encryptie toepassen, dienen als voorwaarde in een DLP-regel én samenwerken met je retentiebeleid. Omdat alles binnen hetzelfde Microsoft 365-platform werkt, hoef je geen losse tools aan elkaar te knopen. Voor een compleet beeld van hoe classificatie en bescherming samenkomen, biedt Microsoft een heldere uitleg over de werking van sensitivity labels binnen Purview.
purview areas

Informatiebescherming: classificeren met sensitivity labels

De basis van alles begint bij classificatie. Sensitivity labels zijn een onderdeel van Microsoft Purview Information Protection waarmee organisaties hun data kunnen classificeren en beveiligen op basis van gevoeligheid, en helpen bij het beschermen van informatie tegen ongewenste toegang, zowel binnen als buiten de organisatie. Zo’n label kun je toepassen op documenten, e-mails, chats en zelfs sites.

Wat een label vervolgens doet, bepaal je zelf. Afhankelijk van het toegepaste label worden automatisch beveiligingsmaatregelen geactiveerd, zoals encryptie van bestanden en communicatie, beperkingen op delen en bewerken, watermerken en visuele markeringen, en toegangscontrole op basis van identiteit en locatie. Een document met het label “strikt vertrouwelijk” kan dus versleuteld worden en alleen toegankelijk zijn voor een kleine groep, terwijl een “intern”-label vooral als markering dient. 
 
De verleiding is groot om direct een uitgebreide classificatiestructuur op te tuigen, maar in de praktijk werkt eenvoud beter. Voor het MKB is een beperkte, herkenbare set labels vaak effectiever dan een complex model waarin medewerkers verdwalen. Begin daarom met een paar duidelijke niveaus en koppel daar concrete voorbeelden aan: een algemene presentatie, een klantofferte, een HR-dossier. Wie dieper wil inrichten, vindt bij Microsoft een praktische handleiding voor het aanmaken en publiceren van sensitivity labels en bijbehorende policies.
sensitivity label in

Data Loss Prevention: voorkomen dat gevoelige data wegvloeit

Classificatie vertelt je wat gevoelig is; Data Loss Prevention (DLP) zorgt ervoor dat die informatie niet op de verkeerde plek belandt. Met Data Loss Prevention is het mogelijk om binnen een Microsoft 365-omgeving gevoelige gegevens extra te beschermen. Deze technologie detecteert gevoelige gegevens met behulp van diepgaande inhoudsanalyses, waardoor het verder kijkt dan alleen een eenvoudige tekstscan. Denk aan creditcardnummers, burgerservicenummers of financiële gegevens die ineens in een uitgaande e-mail opduiken. 

Het mooie is dat je zelf bepaalt hoe streng DLP reageert. Het systeem kan een pop-up tonen die de gebruiker waarschuwt, het delen blokkeren maar de gebruiker de mogelijkheid geven dit met een reden te overschrijven, of het delen volledig blokkeren zonder die optie. Zo houd je de balans tussen veiligheid en werkbaarheid: medewerkers worden bijgestuurd zonder dat hun werk stil komt te liggen. Voor beheerders is er bovendien overzicht, want er is in Microsoft 365 een dashboard waarin alle waarschuwingen staan die door het DLP-beleid zijn vastgesteld, gesorteerd op onder andere Exchange, SharePoint, OneDrive, Teams en apparaten. 

Een belangrijk aandachtspunt is de licentievoorwaarde. Om gebruik te kunnen maken van DLP heeft een organisatie minimaal een E1-, F1- of G1-abonnement of een E3- of G3-abonnement nodig, en voor extra functionaliteiten kan een andere licentie nodig zijn. Het loont dus om vooraf te controleren of je huidige licenties de gewenste bescherming dekken. Microsoft beschrijft stap voor stap hoe je DLP-beleid ontwerpt en uitrolt en wat de bredere mogelijkheden van Data Loss Prevention zijn.

Waar labels en DLP elkaar versterken

Sensitivity labels en DLP zijn op hun sterkst in combinatie. Een label dat je aan een document toekent, kan namelijk dienen als voorwaarde binnen een DLP-regel. Zo kun je bijvoorbeeld afdwingen dat documenten met een “vertrouwelijk”-label nooit extern gedeeld worden. Microsoft legt uit hoe je sensitivity labels als voorwaarde in DLP-beleid gebruikt, en benoemt daarbij ook de locaties waar dit werkt, van Exchange en SharePoint tot OneDrive en apparaten.

Retentie: hoe lang bewaar je wat?

Het derde onderdeel van Purview gaat over de levensloop van informatie. Niet alle data mag voor altijd blijven bestaan, en sommige data móét juist een bepaalde periode bewaard blijven. Met retentiebeleid en retentielabels stuur je dit gericht. Vanuit wetgeving kan het voorkomen dat bepaalde gegevens na een bepaalde tijd verwijderd moeten worden, en het is mogelijk om een bepaalde bewaartijd in te stellen waarbij gegevens die bijvoorbeeld ouder dan vijf jaar zijn automatisch worden verwijderd. 

Andersom werkt het net zo goed. Retentielabels kunnen ook worden toegepast op gegevens die voor een bepaalde tijd bewaard moeten blijven, zoals gegevens met betrekking tot de Belastingdienst, zodat deze niet plotseling verdwijnen. Deze labels kun je toewijzen aan losse documenten of aan een complete site, wat het beheer schaalbaar maakt. Microsoft maakt in zijn documentatie onderscheid tussen het bewaren van content, het verwijderen van content en het bewaren en daarna verwijderen; een nuttig vertrekpunt vind je in de uitleg over retentiebeleid en retentielabels. Voor organisaties die veel in SharePoint werken, sluit dit bovendien naadloos aan op bestaande beheermogelijkheden rond dataretentie binnen die omgeving.

Waarom goede inrichting bepalend is voor het resultaat

De techniek achter Purview is krachtig, maar levert pas waarde op als de inrichting klopt. Dat blijkt ook uit de praktijk rond sensitivity labels: de functionaliteit is beschikbaar, maar werkt niet automatisch goed. Organisaties hebben de juiste licenties nodig, moeten sensitivity labeling voor SharePoint en OneDrive inschakelen en minimaal één label configureren. Labels, rechten en gebruikersgedrag moeten op elkaar aansluiten, anders ontstaat er schijnveiligheid. 

Daar komt bij dat een extra beschermingslaag geen vervanging is van een goed rechtenmodel. Sensitivity labels vervangen geen goed rechtenmodel in SharePoint of Teams; ze vormen een extra beschermingslaag die met het document kan meereizen, ook wanneer het bestand buiten de oorspronkelijke locatie wordt opgeslagen of gedeeld. De basis op orde hebben blijft dus essentieel. Deze gedachte sluit aan op een breder principe dat we regelmatig terugzien: Microsoft levert de bouwstenen, maar de verantwoordelijkheid voor inrichting en beleid ligt bij de organisatie zelf. Waarom dat zo belangrijk is, lees je in ons artikel over de misvatting dat Microsoft de security wel regelt. 

Tot slot verdient de rol van AI een plek in dit verhaal. Wie Microsoft 365 Copilot inzet of voorbereidt, merkt dat goede dataclassificatie plotseling een voorwaarde wordt. Copilot werkt namelijk binnen het bestaande rechten- en beveiligingsmodel, en respecteert de labels die je hebt ingericht. Hoe die bescherming concreet uitpakt, hebben we beschreven in ons artikel over hoe Copilot gevoelige informatie beschermt met sensitivity labels.

De aanpak van OfficeGrip: van beleid naar werkbare praktijk

Bij OfficeGrip richten we Microsoft 365 niet alleen technisch in, maar maken we het ook werkbaar voor de mensen die er dagelijks mee werken. Bij informatiebescherming betekent dat: eerst inventariseren welke documenttypen en dataklassen écht bescherming nodig hebben, vervolgens labels, rechten en policies in Purview logisch ontwerpen, en daarna SharePoint, Teams en OneDrive controleren op te ruime toegang. Minstens zo belangrijk is de laatste stap, waarbij we medewerkers trainen met herkenbare scenario’s uit hun eigen werk, zodat beleid niet in een la belandt maar daadwerkelijk wordt toegepast.

Dat deze aanpak werkt, zien we bij klanten die al stappen hebben gezet. Een herkenbaar patroon is dat er al basismaatregelen zijn, maar dat onduidelijk blijft waar de grootste risico’s zitten. In de Zuyderleven-casus koos de organisatie voor onze Cybersecurity Scan om het complexe IT-landschap en de kwetsbaarheden beter in beeld te krijgen. De les daaruit is niet dat méér tooling alles oplost, maar dat je eerst zichtbaar moet maken waar de risico’s zitten en daarna gericht de verbeterpunten oppakt die aantoonbaar effect hebben.

Zet de volgende stap met grip op je data

Microsoft Purview geeft je de instrumenten om classificatie, bescherming tegen dataverlies en retentie samen te brengen in één aanpak. De winst zit niet in het aanzetten van losse functies, maar in een doordachte inrichting die past bij jouw organisatie, jouw data en jouw mensen. 

Veelgestelde vragen

Microsoft Purview is de verzameling oplossingen binnen Microsoft 365 waarmee je informatie classificeert, beschermt en beheert gedurende de hele levensloop. Het brengt onder meer sensitivity labels, Data Loss Prevention en retentiebeleid samen, zodat je gevoelige gegevens herkent, beschermt en op het juiste moment bewaart of verwijdert.

Sensitivity labels classificeren informatie op basis van gevoeligheid en kunnen bescherming zoals encryptie of toegangsbeperking toepassen. DLP richt zich op het voorkomen dat gevoelige gegevens weglekken, bijvoorbeeld door een waarschuwing te tonen of het delen te blokkeren. Ze versterken elkaar, omdat een label kan dienen als voorwaarde binnen een DLP-regel.

Voor Data Loss Prevention is minimaal een E1-, F1- of G1-abonnement nodig, of een E3- of G3-abonnement. Voor uitgebreidere functionaliteiten kan een andere of hogere licentie vereist zijn. Het is verstandig om vooraf te controleren of je huidige licenties de gewenste bescherming dekken.

Met retentiebeleid en retentielabels bepaal je hoe lang informatie bewaard blijft of juist verwijderd wordt. Je kunt afdwingen dat gegevens na een bepaalde periode automatisch verdwijnen, of juist dat bepaalde data voor een vastgelegde termijn bewaard moet blijven. Deze labels pas je toe op losse documenten of op een complete site.

Ja, zelfs extra. Copilot werkt binnen het bestaande rechten- en beveiligingsmodel en respecteert de labels die je hebt ingericht. Als classificatie en permissies niet op orde zijn, wordt veilig AI-gebruik lastiger te beheersen. Goede informatiebescherming is daarmee een voorwaarde voor verantwoord werken met AI.

eBook cover Cybersecurity voor bedrijven3

Meer informatie over Cybersecurity?

Download dan hier gratis ons eBook voor meer informatie.

Download

Klaar om meer grip te krijgen
op jouw digitale veiligheid?

Avista-Shegani

Avista denkt graag
met u mee.