Hoe we Microsoft Purview inzetten op een manier die werkt voor mens en techniek
We zijn volop bezig met het verder uitwerken van ons data veiligheidsbeleid. Niet omdat het “moet”, maar omdat we zien wat er gebeurt als je dit niet goed regelt. Met de komst van AI, en straks ook Microsoft Copilot, wordt die urgentie alleen maar groter.
De basis voor dat beleid leggen we met Microsoft Purview. Daarbij volgen we de aanbevelingen van de Center for Internet Security (CIS), aangevuld met de eigen ervaring uit de praktijk.
De belangrijkste vraag die we onszelf stellen is simpel, maar cruciaal:
“Hoe zorgen we dat data classificatie niet alleen technisch klopt, maar ook logisch en werkbaar is voor de medewerker?“
Begin niet met techniek, maar met gedrag
Data classificatie labels zijn geen doel op zich. Ze zijn een hulpmiddel.
Als labels voelen als extra administratie, dan gaan mensen eromheen werken. En dan faalt je hele model.
Daarom starten we niet in Purview, maar bij de praktijk:
- Welke soorten informatie hebben we echt?
- Wat mag intern blijven en wat mag gedeeld worden?
- Welke data is gevoelig en waarom?
Pas als dat helder is, vertalen we dit naar labels.
Houd het aantal labels bewust klein
Een veelgemaakte fout is dat organisaties te veel labels willen. Dat klinkt zorgvuldig, maar werkt averechts.
Onze aanpak:
- Een beperkt aantal duidelijke labels.
- Namen die gebruikers direct begrijpen.
- Geen twijfelgevallen tijdens het opslaan of delen.
Denk bijvoorbeeld aan:
- Persoonlijk
- Openbaar
- Intern
- Intern en delen met derde partij
- Vertrouwelijk
Meer is vaak niet nodig. De kracht zit niet in nuance, maar in consistent gebruik. Nu zijn er zeker voorbeelden waarbij Vertrouwelijke data ook met derden gedeeld moet worden. Dat is voor nu nog even niet van toepassing dus laten we ook buiten beschouwing.
Automatiseren waar het kan, keuzes laten waar het moet
Microsoft Purview biedt veel mogelijkheden voor automatische classificatie. Deze keuzes hangen samen met het type licentie dat binnen de organisatie gebruikt wordt. Voor dit beleid is gekozen om handmatig te labelen. Waarom we dit bij de mensen laten? Ondersteunen bij de keuze is altijd beter dan de keuze voor iemand maken. Data veiligheid is een denkwijze en een manier van werken waar men langzaam aan moet wennen. Als je dan vanuit beleid dingen gaat afdwingen wordt het nooit onderdeel van de manier van werken.
Wat we wel automatiseren, Data Loss Prevention:
- Detectie op gevoelige informatie bij het indexeren door Copilot.
- Standaardlabels voor vaste locaties of templates.
- Bescherming die automatisch meekomt bij delen.
Wat we bewust bij de gebruiker laten:
- Contextgevoelige keuzes.
- Situaties waarin menselijk inzicht nodig is.
Zo voelt het label niet als een blokkade, maar als ondersteuning.
Copilot leest mee, dus labels doen ertoe
Copilot gebruikt de data die jij beschikbaar stelt. Dat betekent ook:
wat Copilot wel of niet ziet, wordt mede bepaald door je classificatie en rechten.
Goede labels zorgen ervoor dat:
- Vertrouwelijke data niet ineens in AI-antwoorden opduikt.
- Interne informatie ook echt intern blijft.
- Gebruikers veilig met Copilot kunnen werken, zonder dat ze alles hoeven te snappen van security.
Data blijft in het systeem waar het hoort. Labels bewaken de grenzen.
Adoptie is net zo belangrijk als beleid
Een label dat niemand begrijpt, wordt niet gebruikt.
Daarom hoort bij de technische implementatie altijd een stukje uitleg:
- Waarom vragen we dit?
- Wat betekent een label concreet in het dagelijks werk?
- Wat merkt de gebruiker ervan (en vooral: wat niet)?
Geen lange trainingen, maar korte, herkenbare voorbeelden en de kracht van herhaling. Blijf erover praten en zorg ook dat je als collega’s scherp bent op data veiligheid. Iedereen weet dat het niet leuk is, maar het is wel een must in de tijd dat AI een steeds grotere rol gaat spelen.
Tot slot
Data classificatie in Microsoft Purview is geen eenmalig project. Het is een fundament.
Voor veilig samenwerken. Voor AI. Voor vertrouwen.
Door klein te beginnen, logisch te blijven en techniek en mens samen te laten werken, leg je een basis waar Copilot straks veilig en verantwoord op kan bouwen.
En precies dát is waar het om draait.