Sinds de start van de COVID-19 pandemie is het gebruik van Microsoft Teams geëxplodeerd. In April 2021 werden 145 miljoen dagelijkse gebruikers gemeten door Microsoft. In combinatie met de complexe wet- en regelgeving vanuit de overheid en de E.U. brengt dit enorme uitdagingen met zich mee voor organisaties. Uit onderzoek zijn de volgende uitdagingen naar voren gekomen:
- 88% van de organisaties heeft geen vertrouwen meer in het opsporen en voorkomen van verlies van gevoelige gegevens.
- >80% van bedrijfsgegevens zijn niet geclassificeerd, beschermd of beheerd.
- #1 zorg is beschermen en beheren van gevoelige gegevens bij het naleven van de regelgeving.
Deze zorgwekkende statistieken resulteren regelmatig in nieuwsberichten zoals onderstaand:
- Privéadressen van Kamerleden op straat door datalek Kamer van Koophandel
- Persoonsgegevens 65.000 ambtenaren op straat door datalek bij ministerie
- 440.000 euro boete voor OLVG vanwege onvoldoende beveiliging medische dossiers
Naar aanleiding van deze uitdagingen en nieuwsberichten is het belangrijk dat je jezelf, als organisatie, de volgende vragen stelt:
- Weet ik waar mijn bedrijfskritische en gevoelige gegevens zich bevinden en wat er mee wordt gedaan?
- Heb ik controle over deze gegevens terwijl ze binnen en buiten mijn organisatie reizen?
- Gebruik ik meerdere oplossingen om deze gegevens te classificeren, labelen en beschermen?
De meeste organisaties beantwoorden deze vragen met een volmondige: Nee! Wees gerust, met de inzet van Microsoft Information Protection is het mogelijk om deze nee om te zetten naar een volmondige ja!
Microsoft Information Protection (MIP)
Het onderstaande figuur bevat een schematische weergave van MIP:
Dankzij de inzet van MIP zijn organisaties in staat om gevoelige content te ontdekken, deze te classificeren middels een label, te beschermen via een encryptie en daarna te monitoren via het Compliance Administration Center.
MIP biedt een brede dekking door ondersteuning op diverse devices zoals telefoon en tablet, apps zoals Office en PDF, beschikbaarheid binnen diverse Cloud services zoals Dropbox en voor informatie opgeslagen op lokale servers.
Classificatiebeleid
Het startpunt voor een succesvolle implementatie van MIP is het opstellen van een classificatiebeleid. Het onderstaande figuur toont een voorbeeld van een classificatiebeleid:
Uiteraard is het classificatiebeleid afhankelijk van het type organisatie. Overheidsinstanties maken gebruik van een classificatiebeleid afgegeven via wet- en regelgeving zoals de Baseline Informatiebeveiliging Overheid (BIO). Vanuit het classificatiebeleid wordt een beveiligingsbeleid gekoppeld.
Beveiligingsbeleid
De classificaties worden gekoppeld aan een beveiliging. Hieronder is een voorbeeld opgenomen:
Zoals te zien in bovenstaand voorbeeld wordt alleen bij de classificaties vertrouwelijk en geheim een beveiliging toegepast. De classificaties en de beveiliging worden beschikbaar gesteld via de toepassing van sensitivity labels.
Sensitivity Labels
Een sensitivity label wordt handmatig of automatisch toegekend. Let op: Voor het automatisch toekennen van een sensitivity label is een E5 licentie benodigd. Hieronder is een voorbeeld opgenomen van het handmatig toepassen van een sensitivity label binnen een Word document:
Door het selecteren van een ander label via deze Office integratie wordt het gewenste label toegekend. De instellingen van het label, zoals het toepassen van een encryptie, wordt direct toegepast. Op deze wijze zijn alleen de geautoriseerde personen, zoals de medewerkers van een afdeling, in staat om de content te bekijken. De encryptie blijft altijd gekoppeld aan de content. Deze reist als het ware met de content mee. Binnen of buiten Microsoft 365.
Het automatisch labelen wordt gefaciliteerd door een tooltip zoals te zien in het onderstaande voorbeeld:
In een toekomstige blog geven wij een gedetailleerde beschrijving van de technische configuratie en toepassing van sensitivity labels.
Data Loss Prevention
De Microsoft 365 Compliance service Data Loss Prevention (DLP) ondersteunt met dataclassificatie de beveiliging van gevoelige informatie. DLP voorziet in een vooraf gedefinieerd beleid gericht op het identificeren, controleren en automatisch beschermen van gevoelige informatie. Dankzij DLP voorkom je het bewust of onbewust delen van gevoelige informatie met collega’s en/of externe personen. DLP werkt niet alleen voor documenten en e-mail maar ook voor chatberichten in Microsoft Teams (E5 is benodigd):
In het bovenstaande voorbeeld wordt een IBAN-nummer in de chat geplaatst. Het chatbericht wordt automatisch geblokkeerd voor de ontvanger. De afzender krijgt een melding van de blokkade en is daarna in staat om het DLP-beleid te negeren of te rapporteren.
In een toekomstige blog geven wij een gedetailleerde beschrijving van de technische configuratie & toepassing van sensitivity labels.
InSpark ondersteunt organisaties met de implementatie van MIP
Wij ondersteunen organisaties met het zetten van de eerste stappen voor het classificeren en beveiligen van gevoelige informatie binnen de organisatie. Via een pilot van vijf dagen, werken wij gezamenlijk een use-case uit binnen een afdeling. Wij ondersteunen de IT-afdeling met het configureren van de sensitivity labels en het DLP-beleid. Nadat de use-case is getest en goedgekeurd, leveren wij een MIP-design op. De organisatie heeft nu de eerste ervaringen met MIP opgedaan en is gereed om de volgende stap te zetten; Een uitrol binnen de gehele organisatie.
Heb je interesse in de pilot? Of wil je meer weten over dataclassificatie & beveiliging? Neem dan contact met ons op!
