Hoe u documenten kunt beschermen met vertrouwelijkheidslabels

Samenwerking vindt niet langer alleen plaats achter een firewall: bestanden vliegen heen en weer tussen apparaten, apps en services , zowel binnen als buiten de organisatie. Gedurende dit hele proces moet informatie veilig blijven, voldoen aan interne beleidsregels en tegelijkertijd gebruikers niet hinderen.

Hier komen de vertrouwelijkheidslabels van Microsoft Purview Information Protection van pas. Hiermee kunt u gegevens consistent classificeren en beschermen in Microsoft 365 , Power BI en meer, zonder dat dit ten koste gaat van de productiviteit of samenwerking. Ik leg uit hoe ze werken en hoe u ze effectief kunt toepassen.

Wat zijn privacylabels?

Een vertrouwelijkheidslabel werkt als een zegel dat is ingebed in de metadata van een bestand of e-mail: het is aanpasbaar, permanent en leesbaar door applicaties en services. Dit betekent dat we niveaus kunnen creëren zoals Persoonlijk, Openbaar, Algemeen, Vertrouwelijk of Zeer Vertrouwelijk, afgestemd op de specifieke behoeften van het bedrijf.

Deze tags worden in platte tekst in de metadata opgeslagen, zodat apps en services (inclusief die van derden) ze kunnen herkennen en verdere acties kunnen ondernemen. De beveiliging die door de tag wordt toegepast (bijvoorbeeld versleuteling) reist echter met de inhoud mee en blijft behouden, waar deze ook naartoe gaat.

Voor gebruikers binnen dezelfde organisatie is het label zichtbaar in toepassingen (bijvoorbeeld in de titelbalk van Word/Excel/PowerPoint/Outlook) en kunnen ze zelfs de door de beheerder ingestelde beschrijving zien . Gasten en externe gebruikers zien deze labels echter niet in hun interface.

Elk compatibel item kan per organisatie slechts één vertrouwelijkheidslabel hebben . Documenten en e-mails kunnen ook een bewaarlabel hebben, aangezien beide classificaties compatibel zijn.

In scenario's zoals Excel of Outlook kunnen gebruikers het label eenvoudig wijzigen via de balk 'Vertrouwelijkheid' of de knop 'Vertrouwelijkheid' op het tabblad 'Start', mits het beleid dit toestaat en, indien van toepassing, met een onderbouwing voor de verlaging van de classificatie.

Waar ze voor zijn en wat ze kunnen doen

Met vertrouwelijkheidslabels kunt u documenten, e-mails en uitnodigingen voor vergaderingen versleutelen en de toegang ertoe beheren . U kunt bepalen wie de documenten mag bekijken, bewerken, afdrukken of doorsturen, en voor hoe lang. U kunt gebruikers zelfs zelf toegangsrechten laten toewijzen bij het toepassen van het label.

Het is ook mogelijk om inhoudsmarkeringen (watermerken, kop- en voetteksten) toe te voegen aan documenten, e-mails, uitnodigingen voor vergaderingen en Loop-pagina's of -componenten, met behulp van variabelen zoals de tag of documentnaam. Let op de beperkingen: watermerken zijn beperkt tot 255 tekens; kop- en voetteksten tot 1024 tekens, behalve in Excel, waar een totale limiet van 255 tekens geldt (inclusief opmaakcodes).

Tags helpen de SharePoint- beveiliging te verbeteren bij het downloaden van bestanden uit bibliotheken met een standaardtag ; bij het downloaden van die documenten worden de huidige SharePoint-machtigingen met het getagde bestand meegedownload, waardoor de beveiliging buiten SharePoint wordt versterkt.

Je kunt content in Teams, Microsoft 365-groepen, SharePoint-sites en Loop-werkruimten beveiligen met labels waarmee je privacy, extern delen, gasttoegang, beheermogelijkheden voor niet-beheerde apparaten en opties voor gedeelde kanalen kunt configureren. Deze labels beveiligen de container; ze labelen niet automatisch de items erin.

Daarnaast is er ondersteuning voor Teams-vergaderingen en -chat, waardoor je uitnodigingen en antwoorden kunt taggen, met versleutelingsopties en de mogelijkheid om specifieke vergader-/chatinstellingen toe te passen. En laten we de eDiscovery-detectie niet vergeten : met de voorwaardenbouwer kun je zoeken op tags en content wel of niet opnemen op basis van de classificatie ervan.

Met Microsoft Defender voor cloud-apps kunt u content detecteren, classificeren en beschermen in services van derden (Salesforce, Box, Dropbox, enz.), zelfs als die apps tags niet standaard kunnen lezen. En met de Microsoft Information Protection SDK kunnen apps van derden tags lezen en naadloos beveiliging toepassen.

Tags kunnen ook puur voor classificatie (zonder versleuteling) worden gebruikt om visuele context te bieden en gebruiks- en activiteitsanalyses te verzamelen , zodat u kunt beslissen of u later beveiliging wilt toevoegen. Ze kunnen ook worden uitgebreid naar Power BI en gegevensbronnen binnen de Microsoft Purview-gegevenskaart (bijvoorbeeld SQL, Azure SQL, Azure Synapse, Azure Cosmos DB en AWS RDS).

Toepassingsgebieden van label, prioriteit en structuur

Wanneer u een tag aanmaakt, definieert u het bereik ervan . Dit bepaalt welke beveiligingsopties u kunt configureren en voor welke services/toepassingen de tag beschikbaar is. Mogelijke bereiken zijn: bestanden en andere gegevensbronnen (Office, Loop, Power BI, Fabric en meer), e-mails, vergaderingen en groepen en sites.

Doorgaans worden bestanden en e-mails samen geselecteerd om consistentie te waarborgen tussen het document en de e-mailbijlage. Om Teams-vergaderingen (agenda, opties en chat) te beschermen, moet u ook bestanden en e-mails selecteren. Voor groepen en sites moet u eerst het gebruik van gevoeligheidslabels voor containers inschakelen.

De volgorde in de labellijst bepaalt de prioriteit : het is het beste om het meest restrictieve label (Zeer vertrouwelijk) aan het einde te plaatsen en het minst restrictieve (Openbaar/Persoonlijk) aan het begin. Dit heeft gevolgen voor het zelf toevoegen van labels, de rechtvaardiging voor het verlagen van de status en de overname van labels in e-mailbijlagen.

Om schema's met twee niveaus te organiseren (bijvoorbeeld Vertrouwelijk → Alle medewerkers/vertrouwde personen), worden taggroepen gebruikt ter vervanging van de oude primaire tags. Deze groepen hebben namen, kleuren, beschrijvingen en prioriteit, maar geen eigen beveiligingsopties; de tags worden binnen de groep gepubliceerd, niet de groep zelf.

Als u een tag in het portaal verwijdert, wordt deze niet verwijderd uit de inhoud die al getagd is: de beveiliging blijft behouden . Als u een tag bewerkt, behoudt de inhoud de versie die op dat moment van toepassing was. Er zijn verschillen tussen het verwijderen van een tag en het verwijderen ervan uit een gepubliceerd beleid. U dient deze verschillen te bekijken voordat u wijzigingen aanbrengt.

Publicatie- en labelbeleid

Nadat je ze hebt aangemaakt, moet je ze publiceren voor gebruikers en groepen (niet voor locaties) met behulp van beleidsregels. Op die manier zien ze de regels in hun apps en kunnen ze deze toepassen. Je kunt meerdere beleidsregels hebben voor verschillende groepen (bijvoorbeeld: iedereen ziet Openbaar/Algemeen/Vertrouwelijk, maar de juridische afdeling ziet ook Zeer Vertrouwelijk).

Met beleidsregels kunt u standaardlabels instellen voor documenten (inclusief Loop-componenten en -pagina's), e-mails en uitnodigingen, nieuwe containers (Teams, Groepen, SharePoint) en Power BI-inhoud. Let erop dat u geen label voor versleuteling als standaard instelt, omdat dit onbedoeld externe samenwerking kan blokkeren.

U kunt een rechtvaardiging vereisen bij het verwijderen van een label of het verlagen van het niveau ervan (dit geldt voor bestanden, e-mails en vergaderingen) en verplichte labeling inschakelen voor documenten/e-mails, containers en Power BI. U kunt ook een link naar een aangepaste help-pagina toevoegen om gebruikersvragen te beantwoorden.

De volgorde van beleidsregels heeft ook prioriteit: als een gebruiker onder meerdere beleidsregels valt, heeft de hoogst gerangde beleidsregel voorrang . Het kan tot 24 uur duren voordat wijzigingen zijn doorgevoerd. Er is geen limiet aan het aantal tags, tenzij ze met specifieke machtigingen worden versleuteld: in dat geval is er een maximum van 500 per tenant . Het is raadzaam om de tagcatalogus zo eenvoudig mogelijk te houden.

In de publicatiewizard kunt u het bereik beperken met behulp van beheerderseenheden (preview), kiezen welke tags u wilt publiceren, beleidsinstellingen definiëren (rechtvaardiging, verplicht, ondersteuning) en standaardwaarden voor documenten instellen. Als uw RMS-licenties op zijn, kunt u een EMS-proefversie activeren om het aanmaken en implementeren te voltooien.

App in Microsoft 365: Windows, Mac, web en mobiel

In Office voor Windows en Mac worden labels toegevoegd via de privacybalk (naast de bestandsnaam) of via de knop Privacy op het tabblad Start. Als labeling vereist is, wordt u gevraagd een label te selecteren voordat u het bestand opslaat of verzendt.

Bij het eerste opslaan van nieuwe bestanden kan er een label worden geselecteerd of kan het standaardlabel van de beheerder worden toegepast. Wanneer een label automatisch wordt toegepast (op basis van regels) of wordt aanbevolen, verschijnt er een melding onder het lint met de details.

Om een ​​tag te verwijderen, selecteert u eenvoudigweg 'Geen tag' in het menu, tenzij het beleid verplichte tagging vereist . De huidige tag wordt weergegeven in de titelbalk en u kunt uw machtigingen bekijken via het bijbehorende pictogram in de statusbalk (in het dialoogvenster 'Mijn machtigingen').

Op Android en iOS kun je tags toevoegen via het tabblad Start → Privacy of via het menu Meer opties , afhankelijk van je apparaat. Als de tag door de gebruiker gedefinieerde machtigingen heeft, zie je een informatiebalk wanneer je het bestand opent om die machtigingen te controleren.

Microsoft 365 voor het web toont momenteel geen gedetailleerde tagmachtigingen; hiervoor kunt u de desktop-apps gebruiken. Als taggen vereist is, kunt u ervoor kiezen om een ​​bestand in alleen-lezenmodus te openen wanneer u geen tags wilt toevoegen.

Power BI: Classificatie en beveiliging bij exporteren

In Power BI worden tags gebruikt om datasets, rapporten, dashboards en flows te classificeren en te beschermen . Binnen de service hebben ze geen invloed op de toegang tot de inhoud (die is afhankelijk van de Power BI-, RLS- en OLS-machtigingen), maar wanneer u exporteert naar Excel, PowerPoint of PDF , of een .pbix-bestand downloadt , worden de tag en de bijbehorende beveiliging met het bestand overgedragen.

Vereisten: Azure Information Protection P1- of P2- licenties en Power BI Pro/PPU, en gepubliceerde tags voor de juiste gebruikers/groepen. Schakel eerst tagging in via de tenantbeheerportal (Information Protection → Tags toestaan ​​in Power BI).

In Power BI Desktop worden het label en de bijbehorende versleuteling in het .pbix-bestand opgenomen wanneer u het opslaat . In de service nemen rapporten en dashboards het label over van de hoofdgegevensset of het hoofdrapport, en u kunt dit wijzigen via de instellingen van het betreffende item.

Elke wijziging van een label in datasets, rapporten, dashboards of workflows wordt vastgelegd in het auditlogboek . Zo kunt u bijhouden wie het label heeft toegepast of gewijzigd, wanneer en waarom. Dit is erg handig voor governance en compliance.

Copiloot en AI: erkenning en respect voor rechten

Microsoft 365 Copilot en Copilot Chat herkennen en integreren gevoeligheidslabels in hun reacties. Als een gesprek naar meerdere items verwijst, wordt het label met de hoogste prioriteit weergegeven (of overgenomen) om de contextuele beveiliging te versterken.

Als het label gebruikmaakt van Microsoft Purview-versleuteling, valideert Copilot de gebruiksrechten . Het retourneert alleen gegevens als de gebruiker bijvoorbeeld het recht heeft om gegevens uit te pakken (kopiëren). Zonder machtigingen zijn er geen gegevenslekken: de wizard respecteert end-to-end toegangscontrole.

Geavanceerde integratie en ontwikkeling: MIP SDK en labelclient

Omdat tags in metadata zijn opgeslagen, kunnen applicaties en services deze lezen en schrijven om processen te automatiseren . Met de Microsoft Information Protection SDK kunnen ontwikkelaars tagging en encryptie implementeren op meerdere platformen en workflows integreren met oplossingen van derden.

De klassieke AIP-taggingclient is vervangen door de Microsoft Purview Information Protection-client voor Windows, die de taggingfunctionaliteit uitbreidt naar Verkenner, PowerShell , lokaal scannen en een viewer voor versleutelde bestanden. Office-apps met een abonnement worden volledig ondersteund.

Een typisch ontwikkelvoorbeeld is het maken van een consoletoepassing (.NET 6) die een label voor de verwerking van een document verwijdert en dit label aan het einde weer toevoegt. Om dit te doen, registreert u een toepassing bij Entra ID, verleent u de machtigingen "Content.SuperUser", "Content.Writer" en "UnifiedPolicy.Tenant.Read", configureert u de authenticatie (clientgeheim) en gebruikt u de pakketten Microsoft.InformationProtection.File en Microsoft.Identity.Client, samen met de benodigde documentverwerkingsbibliotheek.

De gebruikelijke testprocedure is als volgt: maak een document aan in Word , voeg er een label aan toe (bijv. Vertrouwelijk → Alle medewerkers), sla het op in OneDrive, download het en controleer of de beperkingen worden gerespecteerd , voer uw app uit om de inhoud te transformeren en controleer of het uitvoerbestand de beveiliging behoudt.

Datalekpreventie met FortiSASE en MPIP-tags

FortiSASE kan MPIP-tags (Microsoft Purview Information Protection) gebruiken om HTTPS-uploads van getagde bestanden te blokkeren. Dit doet het door de GUID van de tag die op het bestand is toegepast te vergelijken met een woordenboek/configuratie op het platform.

De praktische procedure: maak een DLP-profiel aan in FortiSASE, schakel beveiligingsfuncties uit die niet nodig zijn voor de test, schakel diepgaande inspectie in , voeg een DLP-regel toe met de voorwaarde MPIP-label en een woordenboek dat de labelnaam koppelt aan de bijbehorende GUID, en koppel dat profiel aan een beleid voor de beoogde gebruikersgroep.

Om dit te valideren, registreert u het eindpunt bij FortiSASE, opent u uw browser in de incognitomodus en uploadt u een Word-document met een MPIP-tag naar https://dlptest.com/https-post/. De upload zou zowel vóór als na het verzenden moeten mislukken. In Analytics → Beveiliging → DLP ziet u de blokkeringslogboeken, inclusief details zoals de bestandsnaam.

Deze aanpak maakt het mogelijk om de bescherming van Microsoft Purview uit te breiden naar de netwerklaag, waardoor wordt gewaarborgd dat vertrouwelijke gegevens de organisatie niet via ongeautoriseerde kanalen verlaten.

Goede praktijken, vergunningen en exploitatie

Voordat u de oplossing implementeert, moet u licenties en machtigingen plannen, uw implementatiestrategie definiëren , de ondersteunde scenario's bekijken en de communicatie met eindgebruikers voorbereiden. De implementatiedocumentatie van Purview behandelt deze punten en bespaart u een hoop gedoe.

Houd uw labels eenvoudig : minder is meer. Beperk het aantal labels tot het absolute minimum om verwarring en administratieve kosten te voorkomen. Gebruik de portalanalyses van Purview om inzicht te krijgen in gebruik en activiteit, en pas uw taxonomie aan op basis van deze gegevens.

Vermijd het gebruik van een standaard versleutelingslabel voor documenten: veel organisaties werken samen met externe partijen die mogelijk geen toegang hebben tot beveiligde inhoud. Configureer bovendien het standaard deellinktype in SharePoint/OneDrive om overmatig delen te minimaliseren.

Vergeet niet dat tags ook werken met applicaties van derden via Defender for Cloud Apps en de SDK, en dat je ze kunt importeren in databronnen (SQL, Synapse, Cosmos DB, AWS RDS) met behulp van Purview's Data Map.

Bij desktopautomatiseringen (bijvoorbeeld Office-activiteiten in RPA) moet u ervoor zorgen dat de verbinding lees- en schrijfrechten heeft voor de getagde bestanden; anders treedt er een uitzondering op. Test, zoals altijd, sjablonen en workflows met uw daadwerkelijke inhoudstags voordat u ze beschikbaar stelt aan de hele organisatie.

Vertrouwelijkheidslabels bieden een consistent kader voor het classificeren, beschermen en beheren van gegevens in Microsoft 365, Power BI en services van derden: versleuteling met toegangsrechten, dynamische inhoudsmarkeringen, bescherming van containers en vergaderingen, automatische labeling en auditing, en integratie met Copilot en oplossingen zoals FortiSASE. Met de juiste planning, prioritering, zorgvuldige publicatie en continue training beschikt u over gegevensbeveiliging die met uw gegevens meereist zonder uw dagelijkse workflow te verstoren.