Door: Hans van der Meer. Gepubliceerd op: 13 augustus 2026
Welke informatie staat er in Teams, SharePoint en OneDrive? Waar bevinden zich persoonsgegevens en andere gevoelige gegevens? Hoe oud zijn de documenten, wie is verantwoordelijk voor deze informatie en hoe wordt ze gedeeld? Veel organisaties kunnen deze vragen niet volledig beantwoorden. Daarom begint data governance met data discovery en inventarisatie: eerst ontdekken wat er staat, daarna bepalen welke bescherming nodig is. Zo ontstaat een feitelijke basis voor de verdere inrichting van data governance binnen Microsoft 365.Veel organisaties staan op dit moment voor een praktische keuze. Bijvoorbeeld omdat je nog werkt met een oude Office-versie, bestanden op fileservers hebt staan of simpelweg wilt moderniseren met Microsoft 365. Dat klinkt als een technische overstap, maar het begint bij inzicht. Waar staat onze informatie eigenlijk? Wie kan erbij? Welke documenten zijn vertrouwelijk? En mogen patiëntgegevens, HR-documenten of cliëntinformatie wel in de cloud staan?
In het eerste artikel van deze serie beschreef ik de bouwblokken waarmee organisaties veilig en compliant kunnen werken binnen Microsoft 365. In deze vervolgblog staat het eerste bouwblok centraal: data discovery en inventarisatie.
Dit is het tweede artikel in een serie over veilig werken in Microsoft 365. In dit artikel verdiepen we het eerste bouwblok: data discovery en inventarisatie. Je leest waarom een inventarisatie nodig is, hoe zo’n onderzoek werkt en wat je met de uitkomsten kunt doen.
Wat houdt data discovery en inventarisatie eigenlijk in?
Met data discovery en inventarisatie brengen we het bestaande datalandschap binnen Microsoft 365 systematisch in kaart. Je organisatie onderzoekt in deze fase waar informatie staat, welke gevoelige gegevens aanwezig zijn, hoe oud documenten zijn en hoe informatie wordt gedeeld. De analyse maakt onder andere zichtbaar op welke locaties grote hoeveelheden oude, gevoelige of breed toegankelijke informatie staat.
De uitkomst van deze fase is een rapportage met de belangrijkste bevindingen en prioriteiten. Deze rapportage geeft richting aan de volgende bouwblokken, waaronder dataclassificatie en de technische bescherming van informatie. We leggen hieronder uit welke zes stappen we in deze fase zetten bij Adoptify.
Plan een online kennismaking
Wil je meer weten over onze IT-adoptie, Copilot diensten of informatiebeheer aanpak? Dat kan. Plan een vrijblijvende kennismaking met onze een van onze experts.
30 minuten of een uur. Dat is aan jou.
Stap 1. Bepaal de onderzoeksvraag
Een gerichte inventarisatie begint met een duidelijke onderzoeksvraag. De aanleiding kan bijvoorbeeld de introductie van Microsoft 365 Copilot zijn, een privacyvraagstuk of de behoefte aan meer inzicht in oude en verspreid opgeslagen informatie.
De aanleiding bepaalt het accent van het onderzoek. Bij de voorbereiding op Copilot kijk je bijvoorbeeld vooral naar informatie die voor grote groepen medewerkers toegankelijk is. Bij een privacyvraagstuk ligt de nadruk meer op persoonsgegevens en de locaties waar deze voorkomen. Als je meer grip wilt krijgen op je informatiehuishouding, kan je juist behoefte hebben aan inzicht in de ouderdom, opslaglocatie en het eigenaarschap van documenten.
We spreken vooraf af welk resultaat de inventarisatie moet opleveren. Het onderzoek kan de hele organisatie omvatten of beginnen bij een aantal specifieke afdelingen. Ook bepalen we welke kenmerken in de rapportage terug moeten komen. Daarmee leggen we een heldere basis voor de scope, inrichting en beoordeling van de scan.aar hoort die thuis en hoe zorgen we dat medewerkers er veilig mee kunnen werken?
Stap 2. Toets de bestaande beleidskaders
De afspraken binnen je organisatie bieden het kader voor de interpretatie van de resultaten. Daarom kijk je eerst welk beleid geldt voor het opslaan, beheren en delen van informatie. Bijvoorbeeld welke informatie medewerkers in Teams, SharePoint en OneDrive mogen bewaren. Maar ook afspraken over eigenaarschap, externe toegang en het beheer van omgevingen. Deze kaders helpen om te beoordelen of een gevonden situatie aansluit op het beleid.
Een afdeling kan bijvoorbeeld een geldige reden hebben om persoonsgegevens te verwerken en te bewaren. De combinatie van het type informatie, de opslaglocatie, de toegangsrechten en het vastgestelde beleid bepaalt daarom de relevantie van een bevinding.
In deze fase leg je ook vast welke gegevens je met data discovery gaat onderzoeken. Daarnaast bepaal je wie de resultaten mag bekijken en hoe medewerkers over de inventarisatie worden geïnformeerd. Je organisatie kan deze bevindingen vervolgens meenemen in de verdere ontwikkeling van je data governance.
Stap 3. Baken de bronnen en toegang af
Vervolgens bepaal je welke informatiebronnen binnen de scope vallen. De gebruikelijke scope omvat Teams, SharePoint en OneDrive. Deze omgevingen bevatten veel ongestructureerde informatie en bieden metadata over bijvoorbeeld eigenaarschap, hoe oud een document is en met wie het gedeeld is.
Afhankelijk van je onderzoeksvraag kunnen ook andere bronnen relevant zijn. Op een traditionele fileserver is vaak minder context beschikbaar over het gebruik en beheer van documenten. Exchange bevat grote hoeveelheden berichten, bijlagen en verschillende versies van informatie. Een onderzoek binnen Exchange vraagt daarom om een specifieke aanleiding en afbakening.
Ook de toegang tot de onderzoeksresultaten richten we vooraf in. Een globale rapportage kan aantallen, documenttypen en locaties tonen. Bij een verdere verdieping kunnen ook bestandsnamen, eigenaren en documentinhoud relevant worden.
We werken daarom met gescheiden rollen en het vierogenprincipe. Per rol leggen we vast welke informatie nodig is voor het uitvoeren of beoordelen van het onderzoek. Zo houden we de toegang in lijn met het doel en de scope van de inventarisatie.
Stap 4. De scan met Microsoft Purview
Na het vaststellen van de vraag, kaders en scope richten we de scan in Microsoft Purview in. Hiervoor gebruiken we eDiscovery en Content Search. Met Sensitive Information Types herkennen we patronen die kunnen wijzen op gevoelige informatie. Voorbeelden zijn burgerservicenummers, paspoort- en rijbewijsgegevens, IBAN-nummers en creditcardgegevens.
De keuze van de zoekpatronen sluit aan op de onderzoeksvraag. Waarom? Omdat een gemeente andere gegevens verwerkt dan bijvoorbeeld een zorginstelling of een productiebedrijf. Daarom bepalen we vooraf welke typen informatie relevant zijn voor de inventarisatie.
Daarnaast wil je beoordelen of Optical Character Recognition (OCR) nodig is. OCR herkent tekst in afbeeldingen en gescande documenten. Hiermee kunnen bijvoorbeeld paspoortgegevens in een gescande pdf worden meegenomen. De inzet van OCR stem je meestal af op de informatiebronnen en de gewenste diepgang van het onderzoek.
De inrichting leg je ook vast, zodat voor iedereen duidelijk is welke locaties en patronen zijn onderzocht. Dat maakt de uitkomsten navolgbaar en biedt een helder uitgangspunt voor de analyse.
Stap 5. Voer een brede inventarisatie uit
Na de inrichting start je met een verkennende scan. Binnen Adoptify noemen we dit een ‘light’ scan. Deze scan geeft op hoofdlijnen inzicht in de omvang en spreiding van de informatie binnen de gekozen scope.
Je brengt in kaart hoeveel documenten worden onderzocht, welke soorten gevoelige informatie worden herkend en op welke locaties de meeste ‘hits’ voorkomen. Ook kun je kijken naar kenmerken zoals hoe oud documenten zijn en de manier waarop informatie wordt gedeeld. Zo ontstaat een eerste beeld van de Teams, SharePoint-sites en OneDrives die in de volgende stap extra aandacht verdienen.
Daarmee levert de verkennende scan een overzicht op van opvallende patronen en plekken waar mogelijk veel informatie is opgeslagen die om je aandacht vraagt. Dit overzicht bepaalt waar een verdiepende analyse de meeste waarde heeft en vormt het vertrekpunt voor de duiding met de betrokken informatie-eigenaren.
Stap 6. Verdiep en rapporteer de bevindingen
De resultaten van de eerste scan bespreek je met de betrokkenen binnen de organisatie. Eigenaren van informatie, afdelingsmanagers en andere inhoudelijk verantwoordelijken kunnen je helpen om de gevonden patronen in de juiste context te plaatsen.
Samen bepaal je welke hotspots een verdiepende analyse vergen. Daarbij kijk je naar de beschikbare metadata, zoals de eigenaar, aanmaakdatum, laatste wijziging en manier van delen. Wanneer de bevindingen daar aanleiding toe geven, kan ook de inhoud van een beperkte selectie documenten worden beoordeeld.
Deze combinatie van technische analyse en organisatorische duiding geeft betekenis aan de resultaten. Een gevonden burgerservicenummer kan bijvoorbeeld passen bij een regulier werkproces. De locatie, toegankelijkheid en gemaakte beleidsafspraken bepalen vervolgens hoe relevant de bevinding is.
De basis voor de volgende bouwblokken
Na deze zes stappen beschikt je organisatie over een onderbouwd beeld van je datalandschap binnen Microsoft 365. De rapportage laat zien welke informatie aanwezig is, waar gevoelige gegevens voorkomen, hoe informatie wordt gedeeld en welke locaties extra aandacht vragen.
Deze inzichten vormen de input voor het volgende bouwblok: datatypen en gevoeligheid bepalen[. Daarin leggen we uit hoe je een classificatiemodel ontwikkelt dat aansluit op hoe je medewerkers informatie in de praktijk gebruiken. In latere bouwblokken laten we ook zien hoe je deze classificaties vertaalt naar technische maatregelen, zoals gevoeligheidslabels en Data Loss Prevention.
In de komende artikelen werken we de verschillende bouwblokken verder uit. Zo blijft veilig werken in Microsoft 365 niet hangen in beleid of techniek, maar wordt het onderdeel van de dagelijkse praktijk..