Creëer een werkbaar dataclassificatiemodel voor je Microsoft 365-omgeving met deze 6 tips

Door: Hans van der Meer. Gepubliceerd op: 21 augustus 2026

In het vorige artikel beschreven we hoe je met data discovery inzicht krijgt in het datalandschap binnen Microsoft 365. Na een data-inventarisatie weet je welke informatie in Teams, SharePoint en OneDrive staat en waar de belangrijkste risico’s zitten. Daarmee is die informatie nog niet beschermd. Eerst moet je bepalen hoe gevoelig verschillende typen informatie zijn en welke afspraken daarbij horen. Dat doe je met een dataclassificatiemodel.

Bij Adoptify ontwikkelen we dat model samen met je organisatie. Dat doen we vanuit de informatie en werkprocessen die in de dagelijkse werkzaamheden voorkomen. Pas als die inhoudelijke basis klopt, kun je de classificaties technisch vertalen naar gevoeligheidslabels en beveiligingsregels.

Dit is het derde artikel in een serie over veilig werken in Microsoft 365. In dit artikel laten we zien hoe je de uitkomsten van data discovery in zes stappen vertaalt naar een duidelijk en werkbaar classificatiemodel.

Wat houdt dit bouwblok precies in?

Een dataclassificatiemodel deelt informatie in op basis van gevoeligheid. Per niveau leg je vast welke informatie eronder valt en hoe medewerkers ermee moeten omgaan. Zo’n indeling roept uiteraard vragen op. Want is een offerte intern of vertrouwelijk? Waar valt een cv onder? Hoe deel je een vertrouwelijk personeelsdossier met een externe advocaat? En wat doe je met een plan dat tijdens de ontwikkeling vertrouwelijk is, maar na vaststelling openbaar wordt?

Daarom bestaat het model niet alleen uit namen en kleuren. Per classificatie beschrijf je de criteria, voorbeelden en uitzonderingen. Ook leg je op hoofdlijnen vast wat medewerkers met de informatie mogen doen. De technische inrichting van labels, encryptie en Data Loss Prevention volgt pas in een later bouwblok.

Hieronder geven we een aantal tips om dataclassificatie in jouw organisatie in goede banen te leiden. Dat doen we op basis van onze eigen praktijkervaring bij honderden bedrijven in Nederland.

Tip 1. Gebruik de inventarisatie als vertrekpunt

De basis voor de eerste stap zijn de resultaten uit de data discovery (bouwblok 1). Welke gevoelige informatie is gevonden? Waar staat die informatie? Welke afdelingen werken ermee? En welke documenten kwamen vaker voor dan vooraf werd verwacht? Daarbij kijke je verder dan persoonsgegevens. Ook onderzoeksresultaten, productontwikkelingen, intellectueel eigendom, contractonderhandelingen en strategische plannen kunnen bescherming nodig hebben.

De inventarisatie maakt het gesprek concreet. Je ontwikkelt een model op basis van informatie die werkelijk binnen je organisatie voorkomt. Het resultaat van deze stap is een overzicht van de belangrijkste datatypen waarvoor het classificatiemodel houvast moet bieden.

Tip 2. Betrek de juiste stakeholders

Classificatie is een vraagstuk dat je alleen met een afvaardiging van de hele organisatie kan voltooien. Daarom organiseren we workshops met onder anderen de informatiemanager, privacy officer, CISO, complianceverantwoordelijke en vertegenwoordigers van verschillende afdelingen. Daarin bespreek je wat er kan gebeuren als informatie bij de verkeerde persoon terechtkomt. Daarnaast bepaal je of deze informatie extern mag worden gedeeld en hoelang de informatie gevoelig blijft.

Juist de verschillen tussen afdelingen zijn waardevol. HR kijkt anders naar een personeelsdossier dan Finance naar een factuur. De uitdaging is om die verschillen te vertalen naar gemeenschappelijke afspraken, zonder voor ieder proces een aparte classificatie te maken.

Tip 3. Beperk het aantal classificaties

Tijdens de workshops ontstaat vaak de neiging om voor ieder type informatie een eigen classificatie te bedenken. Dat maakt het echter voor medewerkers moeilijk om de juiste keuze te maken. Daarom adviseren we maximaal drie of vier niveaus. Bijvoorbeeld:

• Openbaar
• Intern
• Vertrouwelijk
• Zeer vertrouwelijk

De exacte termen verschillen per organisatie, zolang medewerkers het onderscheid maar begrijpen. Een subcategorie is alleen zinvol als die een herkenbaar probleem oplost. Denk aan Vertrouwelijk & intern en Vertrouwelijk & extern. Een ontslagdossier is vertrouwelijk, maar moet soms wel met een advocaat worden gedeeld. Een externe variant kan dan helpen om dat later onder de juiste voorwaarden mogelijk te maken. De regel is: hoe minder keuzes medewerkers krijgen, hoe groter de kans dat ze de classificaties consequent gebruiken.

Tip 4. Beschrijf duidelijke criteria en voorbeelden

De term ‘Vertrouwelijk’ geeft vaak onvoldoende houvast. Daarom is het raadzaam om per niveau te beschrijven wat het betekent, welke gevolgen onbedoelde verspreiding kan hebben en welke informatie er doorgaans onder valt. Vervolgens voeg je voorbeelden uit de eigen organisatie toe. Een openbare brochure valt onder ‘Openbaar’. Een werkdocument kan onder ‘Intern’ vallen. Een personeelsdossier, contractonderhandeling of niet-gepubliceerde financiële rapportage vraagt waarschijnlijk om een hogere classificatie.

Ook de context speelt een rol. Een conceptplan kan tijdens de ontwikkeling vertrouwelijk zijn, omdat je wilt voorkomen dat anderen voorlopige ideeën als definitieve besluiten zien. Na goedkeuring kan dezelfde informatie intern of openbaar worden. Met herkenbare voorbeelden hoeven medewerkers geen privacy- of beveiligingsexpert te zijn. Het model helpt hen om in dagelijkse situaties een passende keuze te maken.

Tip 5. Bepaal welk gedrag bij iedere classificatie hoort

Als duidelijk is welke informatie binnen ieder niveau valt, bespreek je hoe medewerkers ermee mogen omgaan. Mag informatie extern worden gedeeld? Mag een ontvanger het document downloaden, printen of doorsturen? Is aanvullende bescherming nodig? En mag de inhoud later door een AI-toepassing worden gebruikt?

Je legt ook vast hoe de organisatie met uitzonderingen omgaat. Mag iemand een classificatie verlagen? Moet daarvoor een reden worden opgegeven? En wie controleert zo’n wijziging? Dit zijn in deze fase nog beleidskeuzes. De technische vertaling volgt later. Toch moet nu al duidelijk zijn wat je uiteindelijk wilt bereiken. Anders weet IT straks wel welke labels moeten worden aangemaakt, maar niet welk gedrag eraan moet worden gekoppeld.

Tip 6. Toets het model en laat het goedkeuren

Een classificatiemodel kan op papier logisch lijken en in de praktijk toch problemen veroorzaken. Daarom moet je het toetsen aan herkenbare situaties. Een voorbeeld: we hebben ooit een organisatie ondersteund die ieder document met een IBAN-nummer automatisch wilde classificeren en versleutelen. Dat leek logisch, totdat ook alle facturen werden beveiligd. Het boekhoudsysteem kon die versleutelde bestanden vervolgens niet meer verwerken.

Kortom, het is handig om dergelijke scenario’s te controleren. Leiden de criteria tot het gewenste resultaat? Zo voorkom je dat goedbedoelde beveiliging normale werkprocessen blokkeert. Als de definities, voorbeelden en gedragsafspraken kloppen, documenteer je het model leg je het voor aan de beleidsbepalers. Die formele goedkeuring is belangrijk. Classificatie bepaalt straks hoe de hele organisatie met informatie werkt. Dat is geen keuze die een team kan maken.

Wat heb je na deze zes stappen in handen?

Na deze stappen beschikt je organisatie over een gedragen en gedocumenteerd classificatiemodel. Per niveau heb je vastgelegd welke informatie eronder valt, welke voorbeelden medewerkers helpen en welk gedrag van hen wordt verwacht.

Ook zijn de belangrijkste uitzonderingen beschreven en is duidelijk wie waarvoor verantwoordelijk is. Privacy, security en compliance hebben het model getoetst. Afdelingen hebben gecontroleerd of het aansluit op hun werkprocessen. De directie heeft de uitgangspunten formeel goedgekeurd.

Na dit bouwblok zijn de classificaties nog niet technisch beschikbaar voor medewerkers. Dat gebeurt in het volgende bouwblok. Dan worden de afspraken vertaald naar Sensitivity Labels binnen Microsoft Purview. Bijvoorbeeld met encryptie, toegangsbeheer en beperkingen op extern delen. Die mogelijkheden werken alleen goed als het onderliggende model klopt. Een onduidelijke definitie leidt tot verschillende keuzes door medewerkers. Een te brede automatische regel kan werkprocessen blokkeren. En te veel classificaties zorgen ervoor dat niemand meer weet welke optie passend is.

In het volgende artikel gaan we verder met de technische vertaling van het classificatiemodel. Hoe maak je van de beleidsafspraken werkende gevoeligheidslabels binnen Microsoft 365, zonder medewerkers onnodig te hinderen?