Is jouw bedrijfsinformatie al compliant?

Document compliance in Microsoft 365 

Iedere organisatie is tegenwoordig verplicht om te voldoen aan de AVG (privacywet Algemene Verordening Gegevensbescherming) wetgeving. Nu thuiswerken onderdeel is geworden van het beleid in organisatie is het niet altijd eenvoudig om deze regels na te leven en als bedrijf hierop controle te houden. Gelukkig biedt Microsoft 365 voldoende mogelijkheden om AVG-proof te werken in SharePoint, OneDrive, Outlook en Teams. In deze blog worden een aantal compliance features uitgelicht in de Microsoft 365 omgeving die uw organisatie helpen met het o.a respecteren van de opslagtermijnen en het beschermen van gevoelige informatie. 

Dataretentie 

In de AVG-wet is vastgelegd hoe lang bepaalde documenten bewaard mogen blijven en wanneer deze vernietigd moeten worden. Met de Dataretentie functionaliteiten in Microsoft 365 zijn verschillend mogelijkheden om de complete lifecycle van documenten te beheren. Voor documenten die maar een bepaalde periode bewaard mogen blijven kan een retentielabel worden aangemaakt in de ‘’Beveiliging en Compliance’’ center van Microsoft 365. Als de retentielabel eenmaal is aangemaakt kan je deze koppelen aan een nieuw labelbeleid. In dit beleid geeft u aan hoe lang een document met dit label bewaard moet blijven en wat er daarna met het document moet gebeuren. Ten slotte geef je aan waar de retentielabel gepubliceerd moet worden. Dit kan bijvoorbeeld een specifieke library zijn in SharePoint of een kanaal in Teams. 

Je kunt er ook voor kiezen om labels automatisch toe te passen op basis van woorden, woordgroepen of trainbare classificaties. Het voordeel hiervan is dat het systeem zelf de documenten kan detecteren. Op deze manier kan het dataretentie beleid automatisch worden toegepast op alle mogelijke locaties. Het nadeel van deze methode is echter dat documenten ten onrechte geclassificeerd kunnen worden. Bij het toepassen van automatische labels is het dus zaak om je beleid zo goed mogelijk te specificeren.  

Record management 

Record management is het identificeren, archiveren, bewaren en soms vernietigen van records. Content kan als een record worden gezien als documenten (al dan niet contractueel vastgelegd) voor een bepaalde tijd moeten worden bewaard. Een voorbeeld van een record kan zijn een contract of een personeelsdossier. Een werkgever mag persoonsgegevens niet langer bewaren dan twee jaar nadat de arbeidsovereenkomst is beëindigd.  

Om een nieuwe record policy toe te voegen maakt u eerst een nieuw retentielabel aan. Vervolgens kunt u kiezen om de inhoud automatisch te verwijderen of om een verwijderingsbeoordeling te sturen naar de beheerder. Zeker bij belangrijke documenten wordt het aangeraden om deze extra check te gebruiken. Geef ten slotte aan dat de inhoud geclassificeerd kan worden als record. Hiermee zorgt u ervoor dat andere gebruikers het document niet meer kunnen bewerken of verwijderen. 

In SharePoint kan nu worden aangegeven in welke documentbibliotheken of folders de labels worden toegepast. Als een document wordt toegevoegd aan een folder of kanaal, krijgt deze automatisch het label en kan de inhoud gedurende de bewaarperiode niet meer worden verwijderd door andere gebruikers. 

Data loss prevention 

Met een DLP (Data Loss Prevention) beleid kan gevoelige informatie worden gedetecteerd en kan worden voorkomen dat deze informatie wordt gedeeld met andere afdelingen of organisaties.  Maak hiervoor een nieuwe policy aan in ‘’Preventie en gegevensverlies’’ omgeving van Office 365. In deze omgeving zijn al verschillende sjablonen beschikbaar die de gebruiker helpen om op een eenvoudige en snelle manier een nieuw DLP-beleid aan te maken.

Let bij het aanmaken van een nieuw DLP-beleid op de volgende zaken: 

• Welke gebruikers moeten een melding krijgen als er gevoelige informatie is gedetecteerd? 
• Hoe vaak moet bepaalde informatie voorkomen voordat de gegevens worden gedetecteerd? Een hoger aantal zal leiden tot een hogere precisie. Het nadeel is dat veel gevoelige informatie kan worden gemist. Een lager aantal leidt dan weer tot mogelijke ‘’false positives’’ 
• Een notificatie instellen voor de eigenaar van het document 
• Voorkomen dat de betrouwbare informatie wordt gedeeld, zowel intern als extern. Bepaalde gebruikers of afdelingen kunnen worden uitgesloten van het beleid. 

Als het beleid eenmaal is ingeschakeld, krijgen alle gebruiker automatisch een melding wanneer hij of zij gevoelige informatie deelt in SharePoint, Teams, Outlook of OneDrive.  

Naast de standaard sjablonen kan je ook een aangepast beleid aanmaken. Maak hiervoor eerst een type gevoelige informatie of vertrouwelijkheidslabel aan. Vervolgens kunt u zelf aangeven welke trefwoorden en ondersteunende elementen gedetecteerd moeten worden in een document om de label toe te kennen. 

Wilt u meer weten over document compliance in Office365? Of heeft u andere vragen over de inrichting van uw Microsoft 365 omgeving? Ditio heeft ruime ervaring op gebied van documentatie- en informatiemanagement, dus neem gerust contact met ons op om te kijken wat wij voor u kunnen betekenen.