Normenkader IBP: Datamanagement

Norm

DM.1 Data- en eigenaarschap

Tips

Efficiënt de toegang tot Microsoft 365 beheren, ook wanneer er medewerkers in dienst komen of juist uit dienst gaan? Werk met groepen. Met provisioningstools van netwerkleveranciers worden gebruikers op basis van bepaalde profielinformatie (zoals locatie of functie) gekoppeld aan de groepen, en kun je hen bijvoorbeeld toegang geven tot SharePoint- en Teams-onderdelen. Voordeel hiervan is dat groepssamenstellingen worden gebaseerd op input van andere systemen (zoals een HR-systeem of LVS).

DM.2 Dataclassificatie

Om te voorkomen dat bestanden met belangrijke informatie beschikbaar komen buiten de organisatie, raden we aan om documenten en e-mails te labelen op vertrouwelijkheid. Dit noemen we ook wel dataclassificatie. Vergelijk dit proces met encryptie van bestanden. Beschik je niet over de juiste sleutel? Dan is het bestand voor jou niet bruikbaar. De sleutel is in dit geval je gebruikersnaam, wachtwoord en MFA van Microsoft 365.

DM.3 Beveiligingseisen voor datamanagement

Het proces rondom datalabeling moet worden opgenomen in jullie beleid. Begin hierbij klein! Je kunt documenten handmatig voorzien van een label, of dit proces automatiseren met behulp van scripts of externe tooling. In het beleid staat ook op welke manier jullie documenten willen delen en welke documenten de organisatie niet mogen verlaten, eventueel op basis van privacyinstellingen. 

DM.4 Inrichting van opslag en retentie

In het beleid neem je op waar informatie wordt opgeslagen, bijvoorbeeld in de mail, Teams of SharePoint. Daarnaast zijn er richtlijnen nodig voor hoelang de data mag worden opgeslagen. En wanneer schoon je het op? Hiervoor volg je de landelijke richtlijnen. Afhankelijk van het type document of inhoud zijn er andere retenties mogelijk.

DM.5 Uitwisseling van (gevoelige) gegevens

Je moet regels en procedures hebben om gegevens en software veilig te houden wanneer deze binnen of buiten de organisatie worden gedeeld. Gevoelige informatie wordt alleen gedeeld via een oplossing voor veilig mailen. Hierbij neem je maatregelen om te bewijzen dat de informatie echt is, dat het is verstuurd en ontvangen, en dat het niet vervalst kan worden. Mocht er toch onjuiste data de organisatie binnenkomen, dan is er beschreven hoe je hiermee omgaat.

DM.6 Verwijdering van data

Maak en implementeer regels en procedures om ervoor te zorgen dat gevoelige gegevens en software veilig worden verwijderd of overgedragen. 

Ondersteunende producten

Microsoft 365 A5 Compliance
Dit is een A5-licentie

Toelichting

Met A3 is het al mogelijk om handmatig vertrouwelijkheidslabels toe te passen. Met een A5-licentie kun je dit proces automatiseren. Denk bijvoorbeeld aan het automatisch labelen van documenten in een specifieke SharePoint-bibliotheek, of het automatisch versleutelen van bestanden die gevoelige informatie bevatten zoals een BSN of medische gegevens.

Microsoft 365 A5 Compliance
Dit is een A5-licentie

In Microsoft Purview wordt alles gelogd: zijn er bestanden verwijderd, gedownload, doorgestuurd of geraadpleegd? Het uitlezen van die auditlogs is niet altijd eenvoudig, maar met de juiste rechten en tools kun je alles terugvinden.

Mailoplossing voor veilig mailen zoals Bastion 365 of Zivver

Veel onderwijsorganisaties en samenwerkingsverbanden werken al met een externe mailoplossing. Medewerkers kunnen hiermee eenvoudig bijzondere en gevoelige persoonsgegevens versleuteld versturen. De ontvanger wordt geauthentiseerd en daardoor is de informatie niet voor iedereen toegankelijk. En dat biedt zekerheid: er is zo minder kans op een datalek! Ook helpt zo'n oplossing je om te voldoen aan het normenkader IBP en de NTA 7516.