In zes stappen van een classificatiemodel naar werkende labels in Microsoft 365 

Door Hans van der Meer 

In ons vorige artikel legden we uit hoe je een dataclassificatiemodel ontwikkelt. Daarmee je vast welke informatie in je Microsoft 365-omgeving onder ieder niveau valt en hoe medewerkers ermee mogen omgaan. De volgende stap is om die afspraken technisch te vertalen naar Microsoft 365. Dat doe je met Information Protection en gevoeligheidslabels in Microsoft Purview. 

In dit bouwblok vertalen we het dataclassificatiemodel naar werkende labels in Microsoft 365. We bepalen waar de labels beschikbaar komen, welke bescherming eraan wordt gekoppeld en wanneer ze handmatig of automatisch worden toegepast. Vervolgens testen we de inrichting met een beperkte groep medewerkers voordat de labels breder worden uitgerold. 

De technische inrichting zelf is meestal niet het moeilijkste deel. De uitdaging zit in de keuzes eromheen. Begrijpen medewerkers wat een label betekent? Past de beveiliging bij hun werk? En werken gekoppelde systemen nog als een document wordt versleuteld? Daarom bouwen we de inrichting stapsgewijs op en testen we iedere keuze in de praktijk. 

Dat testen is belangrijk. Een label kan technisch precies doen wat is ingesteld en toch een werkproces blokkeren. In dit artikel leggen we daarom in zes stappen uit hoe je gevoeligheidslabels zo inricht dat ze informatie beschermen, zonder je medewerkers onnodig te hinderen. 

Eerst migreren of direct beginnen met labels? 

Bij sommige organisatie kan vóór Information Protection nog een stap voor migratie en opschoning zitten. Dat is vooral relevant als je veel bestanden vanaf een fileserver naar Microsoft 365 overzet. Staat de informatie al grotendeels in Teams, SharePoint en OneDrive, dan is een afzonderlijke migratiestap niet altijd nodig. Gebruik de resultaten uit data discovery wel om verouderde en irrelevante informatie gericht op te schonen. 

Stap 1. Vertaal de classificaties naar duidelijke labels 

De basis ligt in het classificatiemodel dat je hebt opgesteld (zie ons vorige blogartikel). Daarin heb je bepaald welke niveaus nodig zijn en welk gedrag bij ieder niveau hoort. Nu maak je voor deze classificaties de bijbehorende labels aan in Microsoft Purview. 

Daarbij zijn de naam en omschrijving belangrijk. Betekent het label ‘Openbaar’ dat informatie binnen de hele organisatie mag worden gedeeld? Ook met klanten en partners of werkelijk met iedereen? Denk daarbij goed na. Want wat voor IT logisch klinkt, kan een medewerker heel anders interpreteren. 

Daarom geef je ieder label een korte, begrijpelijke toelichting. Die beschrijving verschijnt wanneer een medewerker een keuze maakt voor een label. Stem de benaming en omschrijving af met IT, privacy, security, communicatie en vertegenwoordigers uit de organisatie. Een medewerker moet zonder aanvullende handleiding begrijpen wanneer welk label past bij een document of e-mail. 

Stap 2. Koppel de juiste bescherming aan ieder label 

Vervolgens bepaal je welke technische gevolgen een label heeft. Bij het label ‘Intern’ kun je bijvoorbeeld extern delen beperken. Bij ‘Vertrouwelijk’ kun je het document versleutelen en alleen toegankelijk maken voor aangewezen personen. Ook kun je bepalen of ontvangers het bestand mogen downloaden, printen of doorsturen. 

Je kunt deze bescherming vooraf vastleggen of medewerkers bij het toepassen van een label zelf bepaalde rechten laten kiezen. Dat biedt flexibiliteit, maar legt ook meer verantwoordelijkheid bij de gebruiker. Hierover vertellen we je meer bij stap 4.  

De afspraken uit het classificatiemodel zijn leidend. Leg ook vast wat er gebeurt als iemand een classificatie verlaagt, bijvoorbeeld van ‘Vertrouwelijk’ naar ‘Intern’. Je kunt bijvoorbeeld het verplicht maken dat een medewerker daarvoor een reden opgeeft. Die wijziging wordt geregistreerd, zodat later is terug te vinden wie welke keuze heeft gemaakt.  

Let op! Zorg dat je transparant bent over dit soort zaken. Het doel is niet om medewerkers ongemerkt te controleren. Het doel is om gevoelige informatie te beschermen en bij een incident te kunnen reconstrueren wat er is gebeurd. 

Stap 3. Bepaal waar de labels beschikbaar komen 

Je hoeft een label niet direct overal in Microsoft 365 te publiceren. Start bijvoorbeeld eerst bij documenten en e-mails in Word, Excel, PowerPoint en Outlook. Later kun je de labels ook toepassen op Teams, vergaderingen of SharePoint-locaties.  

Kijk per toepassing waar de labels echt waarde toevoegen en welke gevolgen ze hebben voor medewerkers. Een gefaseerde publicatie helpt om problemen vroeg te ontdekken. Zo kun je een HR-site in SharePoint standaard als ‘Vertrouwelijk’ classificeren. Dat heeft echter als gevolg dat ook documenten die geen gevoelige informatie bevatten, vertrouwelijk worden. Dat is mogelijk niet de bedoeling en daar wil je op tijd achterkomen.  

Stap 4. Kies bewust tussen handmatig en automatisch labelen 

Bij de eerste uitrol van labels is het vaak verstandig om medewerkers eerst zelf het label te laten kiezen. Dat helpt bij de bewustwording. Ze moeten actief bepalen hoe gevoelig een document of e-mail is. Daardoor staan ze actief stil bij de manier waarop zij met informatie omgaan. Als je labels vanaf het begin volledig automatisch toepast, bestaat het risico dat medewerkers ervan uitgaan dat het systeem de verantwoordelijkheid overneemt. 

Automatische labeling kan later wel een waardevolle aanvulling zijn. Zodra medewerkers begrijpen wat de labels betekenen en de herkenningsregels goed zijn getest, kan Microsoft Purview voor bepaalde informatie automatisch een label voorstellen of toepassen. 

Microsoft Purview kan ook gevoelige informatie herkennen en automatisch een label voorstellen of toepassen. Daarvoor gebruikt het Sensitive Information Types (SIT). Microsoft biedt standaardtypen voor datapatronen zoals burgerservicenummers en paspoortgegevens. Je kunt ook een eigen informatietype maken voor bijvoorbeeld een patiënt-, zaak- of dossiernummer. 

Voor gevoelige informatie zonder herkenbaar nummerpatroon kun je een classifier trainen met voorbeelden. Welke mogelijkheden beschikbaar zijn, hangt mede af van je Microsoft 365- en Purview-licenties. 

Let op! Automatisering is niet altijd het beste vertrekpunt. Als alles automatisch gebeurt, denken medewerkers minder bewust na over de gevoeligheid van informatie. Bovendien kan een te brede herkenningsregel onbedoelde documenten raken. Vaak is het daarom verstandig eerst handmatig te beginnen en automatische labeling later gecontroleerd toe te voegen. 

Stap 5. Test ook buiten Microsoft 365 

Een label kan technisch precies doen wat je hebt ingesteld en toch een werkproces blokkeren. Zo zijn we ooit een organisatie tegengekomen die ieder document met een IBAN-nummer automatisch als ‘Intern’ had gelabeld. Daardoor werden die documenten ook direct versleuteld. Wat ze echter niet hadden voorzien, was dat ook alle binnenkomende facturen direct werden beveiligd. Vervolgens kon het boekhoudsysteem deze versleutelde pdf-bestanden niet verwerken. Met alle gevolgen van dien.  

Breng daarom ook in kaart welke documenten naar financiële software, HRM- en CRM-systemen, archieven en brancheapplicaties gaan. Kunnen die toepassingen omgaan met versleutelde bestanden? Blijven koppelingen en automatische verwerkingen werken? 

Test met herkenbare scenario’s van verschillende afdelingen. Controleer of mensen hun werk nog kunnen doen als de beveiliging met labels actief is. Een verkeerd ingericht label terugdraaien is namelijk veel werk zodra het al op grote aantallen documenten is toegepast. 

Stap 6. Publiceer eerst naar een beperkte groep 

Na de technische test stel je de labels beschikbaar aan een beperkte, representatieve groep medewerkers. Zij geven feedback op de namen, omschrijvingen en gevolgen. Zo ontdek je onder andere of een toelichting onduidelijk is. Maar ook of er een uitzondering ontbreekt of dat een beveiligingsinstelling te streng uitpakt. 

Pas na deze validatie maak je de labels breder beschikbaar. De verdere begeleiding en organisatiebrede adoptie vormen een volgend bouwblok. Daarin leren medewerkers wat de labels betekenen en hoe zij die toepassen. 

Ook Data Loss Prevention is een afzonderlijke vervolgstap. DLP kan op basis van de inhoud of het label controleren wat iemand met informatie probeert te doen. Wil een medewerker een intern document extern delen, dan kan DLP waarschuwen of die handeling blokkeren. Information Protection classificeert en beschermt de informatie; DLP controleert vervolgens of het gebruik daarvan past bij de afgesproken regels. Meer weten over DLP? Lees dan ook ons artikel daarover. 

Van beleid naar bescherming in de praktijk 

Na dit bouwblok beschikt je organisatie over geconfigureerde en geteste gevoeligheidslabels die aansluiten op het classificatiemodel. Ze hebben begrijpelijke omschrijvingen en passende bescherming. Ook is duidelijk welke informatie handmatig of automatisch wordt gelabeld. 

Daarmee zet je de stap van beleid naar praktische bescherming. Medewerkers zien hoe gevoelig informatie is en de beveiliging reist met het document mee. Dat helpt je om informatie zorgvuldig te delen en maakt achteraf beter aantoonbaar wat ermee is gebeurd. 

Labels moeten vervolgens worden gebruikt, gemonitord en waar nodig bijgesteld. De eerstvolgende stap is daarom een gecontroleerde uitrol met aandacht voor adoptie. Zo dragen labels ook werkelijk bij aan veiliger werken.