Dataclassificatie & labeling🏷️ Begin met inzicht en betrek je medewerkers

Waarom dataclassificatie?

We kennen het allemaal: organisaties verzamelen, delen en slaan steeds meer data op. Van klantgegevens tot interne documenten, van financiële rapporten tot projectplannen. Maar hoe weet je zeker dat al die data veilig is? En hoe zorg je ervoor dat medewerkers bewust omgaan met de gevoeligheid van informatie?

Dataclassificatie is het antwoord. Door data te labelen op basis van gevoeligheid, kun je niet alleen voldoen aan wet- en regelgeving zoals de AVG, maar creëer je ook bewustwording binnen je organisatie. Medewerkers leren welke data extra bescherming nodig heeft en hoe ze daarmee om moeten gaan. Maar hoe begin je? En hoe neem je je collega’s mee in dit proces?

In deze blog neem ik je mee in de eerste stappen: het inventariseren van de dataclassificatielabels die nodig zijn voor jouw organisatie en hoe je medewerkers geleidelijk kunt betrekken bij het classificeren van data.

Stap 1: Inventariseer welke data je hebt

Microsoft Purview Information Protection | Microsoft Learn

Een fundament in je dataveiligheidsbeleid is weten welke data je hebt en waar deze data zich bevindt. Pas wanneer je weet waar je het over hebt, kun je ernaar handelen. Voordat je data kunt classificeren en beschermen, is het daarom essentieel om inzicht te krijgen in de soorten data die binnen de organisatie worden gebruikt, opgeslagen en gedeeld.

Met behulp van Microsoft Purview creëer je hiervoor een gestructureerde aanpak: “Know your data”. Dit houdt in dat je eerst de verschillende soorten data identificeert, begrijpt waar deze zich bevinden en bepaalt welke gevoeligheidsniveaus van toepassing zijn.

Identificeer de datatypen

Begin met het in kaart brengen van de belangrijkste datacategorieën binnen de organisatie. Dit kun je op meerdere manieren doen. De makkelijkste en meest efficiënte manier is hierbij de inzet van Sensitive Information Types (SIT) .

Sensitive Information Types (SIT) in Microsoft Purview zijn voorgedefinieerde of aangepaste patronen die specifieke gevoelige gegevens identificeren, zoals persoonsgegevens (bijvoorbeeld BSN-nummers, creditcardnummers) of bedrijfsgevoelige informatie (zoals contractuele clausules of interne projectcodes). Deze patronen combineren sleutelwoorden, reguliere expressies en checksumvalidaties om gevoelige inhoud automatisch te herkennen in documenten, e-mails of andere data binnen een organisatie. Ze vormen de basis voor het toepassen van beleid, zoals dataclassificatie, Data Loss Prevention (DLP) en automatische labeling, om compliance en beveiliging te waarborgen.

Microsoft Purview gebruiken voor inzicht
Het in kaart brengen van deze informatie is relatief eenvoudig te doen vanuit het Purview portaal. Wanneer je in het Purview portaal navigeert naar “Information Protection” en daar doorklikt op “Explorers”, zal je onder de optie “Data Explorer” onderstaande weergave zien. In deze weergave kan je zoeken op een bepaalde SIT waarna je aan de rechterzijde de score ziet. In dit overzicht kan je gelijk zien om hoeveel bestanden het gaat en waar deze allemaal voorkomen.

Na deze inventarisatie is het van belang om te bepalen welke typen labels gekoppeld kunnen worden aan deze soorten data. Het doel hiervan is om een vertaling te maken van het type data naar het dataclassificatielabel dat daarbij hoort.

Het uiteindelijke doel is niet alleen om voor jezelf duidelijk te krijgen waarom bepaalde data vertrouwelijk of openbaar is, maar ook om dit uit te kunnen leggen aan collega’s op de werkvloer.

Bepaal de gevoeligheidsniveaus

Nadat je weet welke typen data er zijn en je een vertaling hebt gemaakt naar dataclassificatielabels. Kan je deze indelen op basis van hun gevoeligheid. Nu heeft Microsoft zelf ook een voorstel
(Default sensitivity labels), maar de indeling die voor mij werkt is:

Label	Beschrijving	Voorbeeld
Persoonlijk	Informatie die gemaakt is voor persoonlijke doeleinden en niet bedoeld is voor zakelijke gebruik. Deze informatie mag niet worden gedeeld of opgeslagen in bedrijfssystemen.	Persoonlijke brieven, privé-downloads, persoonlijke notities of foto’s die niet gerelateerd zijn aan werk.
Openbaar	Informatie die vrij gedeeld mag worden, zonder beperkingen of vertrouwelijkheidsvereisten.	Persberichten, productbrochures, algemene bedrijfsinformatie, of openbare presentaties.
Intern	Informatie die uitsluitend bedoeld is voor interne medewerkers en niet voor externen. Deze informatie is niet openbaar en vereist interne toegang.	Interne notulen, afdelingsupdates, algemene bedrijfscommunicatie, of interne handleidingen.
Intern en delen met externen	Interne informatie die voor zakelijke doeleinden met externen gedeeld mag worden, onder voorwaarden. Deze informatie is niet openbaar, maar mag wel met externe partijen worden gedeeld.	Projectdocumentatie voor externe partners, begeleidstukken van adviezen, auditrapporten, of samenwerkingsovereenkomsten.
Vertrouwelijk	Informatie die alleen bestemd is voor een specifieke groep medewerkers en extra bescherming behoeft vanwege de gevoeligheid. Deze informatie mag niet zonder toestemming worden gedeeld.	Financiële rapporten, klantcontracten, interne projectplannen, of salarisgegevens.
Zeer vertrouwelijk	Informatie die de hoogste mate van bescherming vereist vanwege de hoge risico’s bij onbevoegde toegang. Deze informatie is uitsluitend bestemd voor geautoriseerde personen en vereist strikte toegangcontroles.	Persoonsgegevens, juridische documenten, strategische bedrijfsplannen, of vertrouwelijke onderzoeksgegevens.

Tip: Betrek belangrijke stakeholders, zoals de afdelingen Compliance, IT en HR, bij het bepalen van de labels en gevoeligheidsniveaus. Zij kunnen je helpen om te bepalen welke data extra bescherming nodig heeft en welke wet- en regelgeving van toepassing is.

Stap 2: Maak medewerkers bewust van het belang

Het introduceren van dataclassificatie is meer dan alleen een technische aanpassing, het vraagt ook om een andere manier van werken voor alle medewerkers. Om deze verandering succesvol te maken, is het belangrijk dat je collega’s hierin meeneemt. Zorg dat ze niet alleen weten wat er gaat veranderen, maar vooral waarom dit nodig is. Hoe duidelijker je dit uitlegt, hoe beter ze de aanpassing zullen begrijpen en ondersteunen.

Een verandertraject zoals dit steunt op drie pijlers: bewustzijn, betrokkenheid en kennis en vaardigheden.

Bewustzijn en betrokkenheid: Als medewerkers niet inzien waarom de verandering nodig is, zien ze alleen nieuwe regels of systemen, niet wat het voor henzelf of het team betekent. Door hen actief te betrekken en naar hun input te luisteren, voelen ze zich verantwoordelijk en zijn ze sneller bereid om mee te werken.
Kennis en vaardigheden: Een nieuwe werkwijze slaat alleen aan als medewerkers precies weten hoe ze het moeten toepassen en ervaren dat ze hierbij blijvend worden ondersteund. Zonder deze zekerheid vallen ze snel terug in oude gewoontes.

Bewustzijn – Start daarom met bewustwording: leg helder uit waarom dataclassificatie belangrijk is. Benadruk bijvoorbeeld hoe het hun werk makkelijker, veiliger of efficiënter maakt. Denk hierbij aan:

Waarom we data classificeren: Om data te beschermen, te voldoen aan wet- en regelgeving, en om risico’s zoals datalekken te voorkomen.
Wat het voor hen betekent: Hoe ze data moeten labelen en welke verantwoordelijkheid ze hebben.
Wat de voordelen zijn: Bijvoorbeeld minder risico op fouten, betere samenwerking, en een veiligere werkomgeving.

Betrokkenheid – Naast bewustwording is het ook belangrijk dat je collega’s niet alleen weten waarom de verandering nodig is, maar ook gemotiveerd zijn om mee te doen. Ze moeten het gevoel hebben dat hun bijdrage echt verschil maakt. Benadruk daarom:

Het persoonlijke belang: Laat zien hoe dataclassificatie hun werk makkelijker, veiliger of efficiënter maakt. Bijvoorbeeld: minder zoekwerk naar bestanden, minder risico op fouten, en meer vertrouwen in de eigen werkomgeving.
Erkenning en beloning: Geef voorbeelden van hoe teams of individuen die goed classificeren bijdragen aan het succes van de organisatie. Denk aan het voorkomen van datalekken of het versnellen van processen.
Open communicatie: Vraag actief naar hun ervaringen en ideeën. Als medewerkers het gevoel hebben dat ze gehoord worden, groeit hun motivatie om de verandering te omarmen.

Kennis en vaardigheden – Dataclassificatie werkt alleen als medewerkers weten hoe ze het moeten doen en de nieuwe werkwijze als norm gaan ervaren. Begin daarom met:

Praktische training en tools: Bied duidelijke instructies, voorbeelden uit de praktijk, en gebruiksvriendelijke hulpmiddelen. Zorg dat iedereen weet hoe ze data moeten labelen en waar ze terechtkunnen met vragen.
Terugkerende feedback: Geef regelmatig updates over hoe het gaat en vier successen. Laat zien hoe hun inspanningen bijdragen aan de doelstellingen.
Duurzame ondersteuning: Maak dataclassificatie onderdeel van de dagelijkse routine. Herhaal de boodschap, bied refresher-trainingen aan, en zorg voor eenvoudige toegankelijkheid van richtlijnen. Zo wordt het een gewoonte in plaats van een eenmalige actie.

Stap 3: Start klein en bouw geleidelijk op

Het is verleidelijk om meteen door te willen pakken met de uitrol van het nieuwe beleid. Je wilt alle data gelijk classificeren en live zetten, maar dat werkt vaak averechts. Klein beginnen kan wat mij betreft op 2 manieren.

Optie 1. Begin met een pilotgroep of een afdeling die veel werkt met gevoelige data, zoals HR of Finance. Zo kun je:

Feedback verzamelen: Wat vinden medewerkers van het proces? Waar lopen ze tegenaan?
Succesverhalen delen: Laat zien hoe dataclassificatie helpt in de praktijk.
Aanpassingen doen: Pas de labels en het proces aan op basis van de ervaringen.

Optie 2: Begin geleidelijk met het uitrollen van actief beleid om ze de impact te verkleinen.

Schakel de labels wel in, maar koppel er nog geen actief beleid aan. Zo kunnen medewerkers wennen aan de nieuwe werkwijze, zonder dat het direct invloed heeft op hun dagelijkse werkzaamheden. Dit vermindert de drempel en geeft ruimte om vertrouwd te raken met de verandering. Belangrijk hierbij is dat je duidelijk communiceert dat deze fase tijdelijk is en wat de volgende stappen zullen zijn. Bijvoorbeeld:

Start met labels: Activeer eerst alle labels, maar laat mensen hier nog vrij mee werken. Pas na een week of twee kan je de labels“Zeer vertrouwelijk” en “Vertrouwelijk” voorzien van actief beleid. Zo houd je het overzichtelijk en kunnen medewerkers rustig oefenen met het correct classificeren van documenten, zoals salarisoverzichten (HR) of contracten (Finance). Geef aan dat andere labels later volgen, zodat het proces niet overweldigend aanvoelt.
Feedback verzamelen: Vraag medewerkers wat ze van de nieuwe labels vinden. Lopen ze tegen onduidelijkheden aan? Vinden ze het logisch of juist ingewikkeld? Dit kun je bijvoorbeeld doen via een korte enquête of een informele vragenronde tijdens teamoverleggen. Zo ontdek je snel waar verbeteringen nodig zijn.
Succesverhalen delen: Laat zien hoe dataclassificatie al waarde toevoegt. Bijvoorbeeld: “Sinds we het label ‘Vertrouwelijk’ gebruiken voor klantcontracten, weten collega’s direct welke bestanden extra beschermd moeten worden, dat scheelt tijd en vergroot de veiligheid.”
Aanpassingen doen: Gebruik de feedback om de labels of het proces te verfijnen. Misschien blijkt dat medewerkers een extra uitleg nodig hebben over wanneer ze welk label moeten kiezen, of dat de beschrijvingen duidelijker kunnen. Pas dit aan voordat je het beleid volledig activeert.

Voordeel van deze aanpak: Medewerkers ervaren de verandering als geleidelijk en minder belastend, terwijl jij waardevolle inzichten opdoet voor de definitieve implementatie.

Stap 4: Maak het gebruiksvriendelijk

Het toepassen van dataclassificatielabels is geen onderwerp waar men snel warm voor zal lopen. Om deze reden vind ik dat een de implementatie echt moet worden gedaan vanuit het oogpunt van de medewerker. Hoe maak ik het mijn collega’s zo makkelijk mogelijk om dit te gebruiken. Hoe zorg ik ervoor dat de extra belasting zo min mogelijk is. Medewerkers zullen alleen meedoen als het proces eenvoudig en intuïtief is. Zorg ervoor dat:

Labels duidelijk zijn: Gebruik herkenbare termen en voeg uitleg toe als medewerkers met de muis over een label hoveren.
Automatisering helpt: Gebruik Microsoft Purview om automatisch labels voor te stellen op basis van inhoud (bijv. als een document persoonsgegevens bevat).
Training beschikbaar is: Zorg voor korte handleidingen, video’s, of een FAQ-pagina waar medewerkers terechtkunnen met vragen. Korte lijnen zijn hierbij altijd het belangrijkst.
Ambassadeurs: Mocht je mensen binnen je organisatie hebben die hier ook enthousiast van worden, geef ze dan een podium. Een ambassadeur is veelal iemand die op de werkvloer zit en de eerste vragen snel kan opvangen/afvangen.

Voorbeeld: In Microsoft Purview kun je gevoeligheidslabels configureren die medewerkers kunnen toepassen op documenten en e-mails. Deze labels verschijnen als optie in Office-applicaties, zoals Word en Outlook, zodat medewerkers met één klik de juiste classificatie kunnen toepassen.

Stap 5: Monitor, leer en verbeter

Dataclassificatie is geen eenmalige actie, maar een doorlopend proces. Monitor hoe medewerkers de labels gebruiken en verzamel feedback. Maak hierbij gebruik van de opties die binnen Microsoft Purview aanwezig zijn zoals de vooraf ingestelde rapportages

Met Label distribution and adoption in Microsoft 365, krijg je met 1 klik gelijk te zien hoe de labels worden gebruikt binnen je omgeving. Door dit over een langere tijd te monitoren zie je het effect van de adoptie. Zie je geen stijgende lijn, dan weet je gelijk dat je moet bijsturen op de ondersteuning en communicatie. Stel jezelf vragen als:

Welke labels worden het meest gebruikt?
Waar lopen medewerkers tegenaan?
Zijn er labels die onduidelijk zijn of niet worden gebruikt?

Gebruik deze inzichten om het proces te verbeteren en medewerkers verder te ondersteunen.

Afsluiting: De reis naar een veiligere dataomgeving

Dataclassificatie is de eerste stap naar een veiligere en bewustere omgang met data binnen je organisatie. Door te beginnen met een inventarisatie van je data, medewerkers bewust te maken van het belang, en het proces gebruiksvriendelijk te maken, leg je een stevige basis. De volgende keer duiken we verder in het inrichten van het labelbeleid en de opties die Purview biedt.

Wil je meer weten over hoe je Microsoft Purview kunt inzetten voor dataclassificatie? Neem gerust contact op!