Secure by default: databeveiliging optimaal ingericht met Microsoft Purview

Oud VS. nieuw depolyment model

Maar wat zijn nu de verschillen tussen de modellen? Hieronder zet ik de twee benaderingen kort uiteen:

Oude aanpak: Crawl, Walk, Run

Deze aanpak start met een stakeholder-analyse en het verkrijgen van C-level support in de organisatie. Vervolgens bouw je een data classificatie taxonomie, een ‘governance body’ omtrent data beveiliging en ontwerp je een oplossing om te monitoren. In plaats van direct alle data te labelen, begin je bewust klein. Zo behoud je volledige controle over de scope van gebruikers, mailboxen, sites en de gewenste uitrol modus.

De implementatie start met een kleine testgroep waarin je het beleid evalueert. Daarna breid je gefaseerd uit door bijvoorbeeld gebruikers onder voorwaarden de mogelijkheid te geven om labels te overrulen. In een latere fase worden strengere functionaliteiten zoals blokkades toegevoegd en schaal je op naar bredere groepen. Uiteindelijk rolt de organisatie de oplossing volledig uit zodra deze op een volwassen niveau zit en er vertrouwen is in het beheer ervan.

Nieuwe aanpak: Secure by Default

De Secure by Default aanpak hanteert een andere benadering voor informatiebeveiliging en de toepassing van de Microsoft Purview oplossing om dat te realiseren. Waar de traditionele benadering uitgaat van een stapsgewijze opbouw, start je bij Secure by Default juist met volledige beveiliging als uitgangspunt. In plaats van langzaam op te schalen, wordt alle data direct beschermd en ligt de focus op het identificeren van uitzonderingen binnen de organisatie. Voor die uitzonderingen stel je vervolgens specifiek, strikter of juist een soepeler beleid op.

Deze benadering helpt bovendien sneller grip te krijgen op ongewenst ‘oversharing’, bijvoorbeeld door Copilot. Gebruikers worden actief getraind in hoe zij met uitzonderingen moeten omgaan in plaats van wanneer ze beveiligingsmaatregelen moeten toepassen. Hierdoor wordt beveiliging een standaard onderdeel van het dagelijks werken in plaats van een losse handeling.

Vier fasen van Secure by Default

De Secure by Default benadering bestaat uit vier fasen, namelijk; Foundational, Managed, Optimized en Strategic. Hieronder zet ik deze fasen in hoofdlijnen kort uiteen:

1. Foundational

Dit is de start waarbij de standaard aanbevolen ‘Secure by Default’ gevoeligheidslabels beschikbaar komen voor eindgebruikers om te kunnen gebruiken. Daarbij wordt ook een standaard label toegepast voor alle nieuwe en geüpdatete documenten. Hierbij is het belangrijk dat er meteen gebruikerscommunicatie en training wordt gegeven over het gebruik van de labeling en het omgaan met de uitzonderingen. Dit is van belang wanneer bestanden gedeeld worden of wanneer de encryptie voor uitdagingen kan zorgen bij hun bestanden. In deze fase worden ook al de eerste Data Loss Prevention-functionaliteiten geactiveerd om het delen van vertrouwelijke informatie te voorkomen.

2. Managed

In de tweede fase gaat het om het identificeren van hoog gevoelige data en daar striktere regels op toepassen. Onderdelen hiervan zijn het inschakelen van auto-labeling (client-side en service-side) en het toepassen van DLP-beleid voor ongelabelde data. Ook Insider Risk Management (IRM) wordt in deze fase ingeschakeld om verdacht gedrag en risico’s te achterhalen en acties te kunnen ondernemen om datalekken en data-diefstal te voorkomen.

3. Optimized

Hierbij is de uitbreiding naar de volledige Microsoft 365 omgeving en data het doel tezamen met het optimaliseren van de informatiebeveiligings-oplossing. Zaken als Sensitive Information Types (SITs) voor jouw industrie of branche bepalen en toepassen, auto-labeling voor de bestaande ongelabelde data (de ‘data-at-rest’) inschakelen en het starten met het gebruik van geavanceerde ‘classifiers’ om verkeerd gelabelde data (‘false-positives’) te verminderen. Zoals de naam van de fase al weggeeft, gaat het dus om het maken van verbeteringen om de oplossing te optimaliseren.

4. Strategic

Bij deze laatste fase kijk je ook buiten de Microsoft 365-omgeving. Dus hoe ga je een veilige samenwerking met partners realiseren of met andere tenants in het geval van een multi-tenant constructie. Maar ook het labelen van on-premises data en de bescherming uitbreidingen naar andere omgevingen zoals Azure SQL en niet-M365 opslag, zoals Azure Blob, Data Lake of Amazon S3 buckets.

Wat betekent dit voor jouw organisatie?

Het nieuwe deployment model laat de shift in de visie omtrent data-beveiliging zien. Er is geen absolute goed of fout tussen de oude en de nieuwe aanpak, maar het Secure by Default model biedt organisaties concretere handvatten dan voorheen. Door de standaard toepassingen van blokkades en encryptie is de impact echter aanzienlijk, iets waar niet elke organisatie direct klaar voor is. Daarom is het belangrijk om kritisch te kijken wat past bij jouw situatie. Kies de elementen die het beste aansluiten bij je organisatie en stel zo een werkbare ‘mix & match’-aanpak samen. Het grootste verschil van het nieuwe model is wat ons betreft de denkwijze: alles beschermen, dus niet alleen de gevoelige data en juist de uitzonderingen bepalen en daar extra op acteren.

Goed doordacht beveiligen met Purview

Al met al is data-beveiliging belangrijk, maar door de groei van AI is informatiebeveiliging urgenter dan ooit. Dat bleek ook tijdens ECS, waar sessies over security opvallend populair en drukbezocht waren. Steeds meer organisaties realiseren zich dat ze beveiliging niet langer kunnen uitstellen en daarin speelt Microsoft Purview een waardevolle rol.

Het is positief om te zien dat Microsoft actief meedenkt met de behoeften van organisaties en inspeelt op de toenemende urgentie. Een goed voorbeeld hiervan is het nieuwe deployment-model. Het biedt organisaties praktische handvatten om hun databeveiliging te verbeteren. Een erg goede ontwikkeling als je het ons vraagt.

Meer weten over Secure by Default met Microsoft Purview?

Wil je meer weten over een Secure by Default of heb je een andere vraag? Neem dan contact op met XTRM development door het formulier onderaan de pagina in te vullen en wij helpen je graag verder. Door je in te schrijven op onze nieuwsbrief ben jij als eerste op de hoogte van alle nieuws en ontwikkelingen rondom Microsoft 365. Of volgen ons op LinkedIn!