Om te voldoen aan zakelijke normen en branchevoorschriften moeten organisaties gevoelige informatie beschermen en voorkomen dat deze onbedoeld openbaar wordt gemaakt. Voorbeelden van gevoelige informatie die niet mag worden vrijgegeven buiten uw organisatie, zijn financiële gegevens of persoonsgegevens, zoals creditcardnummers, burgerservicenummers of nationale id-nummers. Met een beleid voor preventie van gegevensverlies (DLP-beleid) in SharePoint Server 2016 kunt u gevoelige gegevens in uw siteverzamelingen identificeren, controleren en automatisch beschermen.
Met DLP kunt u het volgende doen:
-
Maak een DLP-query om te bepalen welke gevoelige informatie er nu bestaat in uw siteverzamelingen. Voordat u DLP-beleid maakt, is het vaak handig om te zien met welke typen gevoelige informatie personen in uw organisatie werken en met welke siteverzamelingen deze gevoelige informatie wordt gebruikt. Met een DLP-query kunt u gevoelige informatie vinden die onderhevig is aan algemene branchevoorschriften, beter inzicht krijgen in uw risico's en bepalen wat en waar de gevoelige informatie is die uw DLP-beleid moet beschermen.
-
DLP-beleid maken om gevoelige informatie in uw siteverzamelingen te controleren en automatisch te beschermen. U kunt bijvoorbeeld een beleid instellen waarmee een beleidstip wordt weergegeven voor gebruikers als ze documenten opslaan die persoonsgegevens bevatten. Daarnaast kan met het beleid automatisch de toegang tot deze documenten worden geblokkeerd voor iedereen behalve de site-eigenaar, de eigenaar van de inhoud en de persoon die het document het laatst heeft gewijzigd. En aangezien u niet wilt dat mensen hun werk niet kunnen doen door het DLP-beleid, bevat de beleidstip een optie waarmee de blokkeeractie kan worden genegeerd, zodat mensen verder kunnen werken aan documenten als ze hiervoor een zakelijke reden hebben.
DLP-sjablonen
Wanneer u een DLP-query of een DLP-beleid maakt, kunt u kiezen uit een lijst met DLP-sjablonen die voldoen aan algemene wettelijke vereisten. Elke DLP-sjabloon identificeert specifieke typen gevoelige informatie, bijvoorbeeld de sjabloon met de naam U.S. Persoonlijke identificeerbare gegevens (PII-gegevens) identificeert inhoud die Amerikaanse en Britse paspoortnummers, Amerikaanse individuele it-identificatienummers voor belastingbetalers (ITIN) of Amerikaanse SSN (Social Security Numbers) bevat.
Typen gevoelige informatie
Met een DLP-beleid wordt gevoelige informatie beschermd, die is gedefinieerd als een type gevoelige informatie. SharePoint Server 2016 bevat definities van een groot aantal veelvoorkomende typen gevoelige informatie die u direct kunt gebruiken, zoals een creditcardnummer, bankrekeningnummers, nationale id-nummers en paspoortnummers.
Wanneer met een DLP-beleid wordt gezocht naar een type gevoelige informatie zoals een creditcardnummer, wordt niet alleen gezocht naar een nummer met 16 cijfers. Elk type gevoelige informatie wordt gedefinieerd en gedetecteerd door een combinatie van:
-
Sleutelwoorden
-
Interne functies voor het valideren van controlesommen of samenstelling
-
Evaluatie van reguliere expressies om patroonovereenkomsten te vinden
-
Ander onderzoek van de inhoud
Hierdoor is DLP-detectie zeer nauwkeurig en zijn er veel minder fout-positieven die de werkzaamheden kunnen onderbreken.
Met elke DLP-sjabloon wordt gezocht naar een of meer typen gevoelige informatie. Zie, Waar wordt naar gezocht door de typen gevoelige informatie in SharePoint Server 2016? voor meer informatie over de werking van elk type gevoelige informatie.
|
Met deze DLP-sjabloon… |
Wordt gezocht naar deze typen gevoelige informatie… |
|---|---|
|
V.S. PII-gegevens (persoonlijk identificeerbare informatie) |
V.S./VK paspoortnummer V.S. Individual Taxpayer Identification Number (ITIN) V.S. burgerservicenummer (BSN) |
|
V.S. Gramm-Leach-Bliley Act (GLBA) |
Creditcardnummer V.S. bankrekeningnummer V.S. Individual Taxpayer Identification Number (ITIN) V.S. burgerservicenummer (BSN) |
|
PCI DSS (beveiligingsstandaard voor gegevens) |
Creditcardnummer |
|
VK financiële gegevens |
Creditcardnummer Nummer EU-betaalkaart SWIFT-code |
|
V.S. financiële gegevens |
ABA-routenummer Creditcardnummer V.S. bankrekeningnummer |
|
VK PII-gegevens (persoonlijk identificeerbare informatie) |
VK National Insurance Number (NINO) V.S./VK paspoortnummer |
|
VK wet voor de bescherming van gegevens |
SWIFT-code VK National Insurance Number (NINO) V.S./VK paspoortnummer |
|
VK richtlijnen voor privacy en elektronische communicatie |
SWIFT-code |
|
V.S. SSN-wetten (State Social Security Number) voor betrouwbaarheid |
V.S. burgerservicenummer (BSN) |
|
V.S. State Breach-meldingswetten |
Creditcardnummer V.S. bankrekeningnummer V.S. Rijbewijsnummer V.S. burgerservicenummer (BSN) |
DLP-query's
Voordat u DLP-beleid maakt, wilt u mogelijk zien welke gevoelige informatie al aanwezig is in uw siteverzamelingen. Hiervoor maakt u DLP-query's in eDiscovery Center en voert u deze uit.
Een DLP-query werkt op dezelfde manier als een eDiscovery-query. Afhankelijk van de DLP-sjabloon die u kiest, wordt de DLP-query geconfigureerd om te zoeken naar specifieke typen gevoelige informatie. Kies eerst de locaties waarop u wilt zoeken en pas de query daarna aan (deze ondersteunt Keyword Query Language (KQL)). U kunt de query ook verfijnen door een bepaald datumbereik, specifieke auteurs, SharePoint-eigenschapswaarden of locaties te selecteren. En net zoals bij een eDiscovery-query kunt u de queryresultaten bekijken, exporteren en downloaden.
DLP-beleid
Met een DLP-beleid kunt u gevoelige informatie waarvoor algemene branchevoorschriften gelden, identificeren, controleren en automatisch beschermen. U kiest welke typen gevoelige informatie u wilt beschermen en welke acties er moeten worden uitgevoerd wanneer er inhoud met dergelijke gevoelige informatie wordt gedetecteerd. Via DLP-beleid kan de compliance officer worden geïnformeerd met een incidentenrapport, de gebruiker worden geïnformeerd met een beleidstip op de site en kan toegang tot het document worden geblokkeerd voor iedereen behalve de site-eigenaar, de eigenaar van de inhoud en de persoon die het document als laatste heeft gewijzigd. Ten slotte bevat de beleidstip een optie voor het negeren van de blokkeeractie, zodat mensen verder kunnen werken met documenten als ze hiervoor een zakelijke reden hebben of als ze een fout-positief willen melden.
U maakt en beheert DLP-beleid in het Compliancebeleidcentrum. U maakt DLP-beleid in twee stappen: eerst maakt u het DLP-beleid en daarna wijst u het beleid toe aan een siteverzameling.
Stap 1: Een DLP-beleid maken
Wanneer u DLP-beleid maakt, kiest u een DLP-sjabloon waarmee wordt gezocht naar de typen gevoelige informatie die u wilt identificeren, controleren en automatisch wilt beschermen.
Wanneer met DLP-beleid inhoud wordt gevonden die het minimum aantal exemplaren van een specifiek type gevoelige informatie bevat dat u kiest, bijvoorbeeld vijf creditcardnummers of één burgerservicenummer, kan met het DLP-beleid de gevoelige informatie automatisch worden beschermd door de volgende acties uit te voeren:
-
Een incidentenrapport verzenden naar de mensen die u kiest (zoals de compliance officer) met informatie over de gebeurtenis. Dit rapport bevat informatie over de gedetecteerde inhoud, zoals de titel, de eigenaar van het document en welke gevoelige informatie is aangetroffen. Als u incidentenrapporten wilt verzenden, moet u instellingen voor uitgaande e-mail configureren in Centraal beheer.
-
De gebruiker op de hoogte stellen met een beleidstip wanneer documenten met gevoelige informatie worden opgeslagen of bewerkt. In de beleidstip wordt uitgelegd waarom dit document in strijd is met een DLP-beleid, zodat mensen corrigerende acties kunnen ondernemen (bijvoorbeeld de gevoelige informatie uit het document verwijderen). Wanneer het document weer voldoet aan het DLP-beleid, verdwijnt de beleidstip.
-
Toegang tot de inhoud blokkeren voor iedereen, met uitzondering van de site-eigenaar, de eigenaar van het document en de persoon die het document het laatst heeft gewijzigd. Deze personen kunnen de gevoelige informatie uit het document verwijderen of andere corrigerende acties ondernemen. Wanneer het document weer voldoet aan het DLP-beleid, worden de oorspronkelijke machtigingen automatisch hersteld. Het is belangrijk dat u weet dat de beleidstip personen de mogelijkheid biedt om de blokkering te negeren. Beleidstips kunnen gebruikers zo op de hoogte stellen van uw DLP-beleid en de naleving ervan afdwingen zonder ze van hun werk te houden.
Stap 2: Een DLP-beleid toewijzen
Wanneer u een DLP-beleid hebt gemaakt, moet u dit toewijzen aan een of meer siteverzamelingen, zodat hiermee gevoelige informatie op deze locaties kan worden beschermd. Eén beleid kan worden toegewezen aan veel siteverzamelingen, maar elke toewijzing moet één voor één worden gemaakt.
Beleidstips
U wilt dat mensen in uw organisatie die met gevoelige informatie werken uw DLP-beleid naleven, maar u wilt niet dat ze te veel worden gehinderd bij het uitvoeren van hun werkzaamheden. Hiervoor kunt u beleidstips gebruiken.
Een beleidstip is een melding of waarschuwing die wordt weergegeven wanneer iemand werkt met inhoud die een conflict met een DLP-beleid veroorzaakt, bijvoorbeeld als inhoud in een Excel-werkmap persoonsgegevens bevat en op een site wordt opgeslagen.
U kunt beleidstips gebruiken om mensen hier bewust van te maken en te informeren over de beleidsregels van uw organisatie. Via de beleidstips kunnen mensen het beleid ook negeren, zodat ze niet worden geblokkeerd als ze een geldige zakelijke reden hebben of als het beleid een fout-positief detecteert.
Een beleidstip bekijken of negeren
Als u een actie wilt uitvoeren in een document, zoals het negeren van het DLP-beleid of het melden van een fout-positief, selecteert u het menu Openen … voor het item > Beleidstip weergeven.
In de beleidstip worden de problemen met de inhoud aangegeven en kunt u Oplossen en Negeren kiezen voor de beleidstip of Rapporteren als u een fout-positief wilt melden.
Meer informatie over de werking van beleidstips
Inhoud kan voldoen aan meerdere DLP-beleidsregels, maar alleen de beleidstip van het meest beperkende beleid met de hoogste prioriteit wordt weergegeven. Een beleidstip van een DLP-beleid waarmee toegang tot inhoud wordt geblokkeerd, heeft bijvoorbeeld prioriteit boven een beleidstip van een regel waarmee de gebruiker alleen op de hoogte wordt gesteld. Hiermee voorkomt u dat mensen een groot aantal beleidstips zien. Als mensen het beleid kunnen negeren via de beleidstips in het meest beperkende beleid, worden door het negeren van dit beleid ook andere beleidsregels genegeerd waaraan de inhoud voldoet.
DLP-beleid wordt gesynchroniseerd naar sites en inhoud wordt regelmatig asynchroon geëvalueerd op basis van dit beleid (zie de volgende sectie), dus kan er enige vertraging zitten tussen het tijdstip waarop u het DLP-beleid maakt en het tijdstip waarop de beleidstips voor het eerst worden weergegeven.
De werking van DLP-beleid
Met DLP wordt gevoelige informatie gedetecteerd via een uitgebreide inhoudsanalyse (niet alleen een eenvoudige tekstscan). In deze uitgebreide inhoudsanalyse wordt gezocht naar bepaalde sleutelwoorden en worden reguliere expressies, interne functies en andere methoden geëvalueerd om inhoud te detecteren die overeenkomt met het DLP-beleid. Mogelijk wordt slechts een klein percentage van de gegevens beschouwd als gevoelig. Met DLP-beleid kunnen alleen deze gegevens worden geïdentificeerd, gecontroleerd en automatisch worden beschermd, zonder personen te hinderen die met de rest van de inhoud werken.
Wanneer u DLP-beleid hebt gemaakt in het Compliancebeleidcentrum, wordt dit op deze site opgeslagen als een beleidsdefinitie. Wanneer u het beleid toewijst aan verschillende siteverzamelingen, wordt het beleid naar deze locaties gesynchroniseerd, waar vervolgens inhoud wordt geëvalueerd en acties worden uitgevoerd, zoals het verzenden van incidentenrapporten, het weergeven van beleidstips en het blokkeren van toegang.
Evaluatie van beleid op sites
In al uw siteverzamelingen veranderen documenten voortdurend: ze worden continu gemaakt, bewerkt, gedeeld enzovoort. Dit betekent dat documenten op elk moment kunnen conflicteren met of voldoen aan DLP-beleid. Iemand kan bijvoorbeeld een document dat geen gevoelige informatie bevat naar de teamsite uploaden, waarna iemand anders later hetzelfde document bewerkt en hieraan gevoelige informatie toevoegt.
Om deze reden worden documenten regelmatig op de achtergrond gecontroleerd op beleidsovereenkomsten. U kunt dit zien als asynchrone beleidsevaluatie.
Dit werkt als volgt. Wanneer mensen documenten toevoegen of wijzigen op hun sites, wordt de inhoud gescand met het zoekprogramma, zodat u hier later naar kunt zoeken. Terwijl dit gebeurt, wordt de inhoud ook gecontroleerd op gevoelige informatie. Alle gevoelige informatie die wordt gevonden, wordt veilig opgeslagen in de zoekindex, zodat alleen het complianceteam hiertoe toegang heeft, maar niet de gewone gebruikers. Elk DLP-beleid dat u hebt ingeschakeld, wordt op de achtergrond uitgevoerd (asynchroon), waarbij regelmatig wordt gecontroleerd op inhoud die overeenkomt met een beleid en acties worden uitgevoerd om de inhoud te beschermen tegen onbedoelde lekken.
Ten slotte kunnen documenten conflicteren met DLP-beleid, maar ze kunnen later ook weer voldoen aan het DLP-beleid. Als iemand bijvoorbeeld creditcardnummers toevoegt aan een document, kan het document automatisch worden geblokkeerd door het DLP-beleid. Maar als de gevoelige informatie later wordt verwijderd, wordt de actie (in dit geval blokkeren) automatisch ongedaan gemaakt wanneer het document de volgende keer wordt geëvalueerd op basis van het beleid.
Met DLP wordt alle inhoud geëvalueerd die kan worden geïndexeerd. Zie Bestandsnaamextensies en geparseerde bestandstypen die standaard worden verkend voor meer informatie over de bestandstypen die standaard worden verkend.
DLP-gebeurtenissen bekijken in de gebruikslogboeken
U kunt de activiteit van DLP-beleidsregels bekijken in de gebruikslogboeken op de server met SharePoint Server 2016. U kunt bijvoorbeeld de tekst bekijken die is ingevoerd door gebruikers wanneer ze een beleidstip negeren of een fout-positief melden.
U moet eerst de optie inschakelen in Centraal beheer (Controle > Status- en gebruiksgegevens verzamelen configureren > Eenvoudig gebruik van logboekgebeurtenissen Usage Data_SPUnifiedAuditEntry). Zie Status- en gebruiksgegevens verzamelen configureren voor meer informatie over gebruikslogboekregistratie.
Wanneer u deze functie hebt ingeschakeld, kunt u de gebruiksrapporten op de server openen en de redenen van gebruikers voor het negeren van een DLP-beleidstip en andere DLP-gebeurtenissen bekijken.
Voordat u aan de slag gaat met DLP
In dit onderwerp vindt u een aantal functies waarvan DLP afhankelijk is. Dit zijn onder andere:
-
Voor het detecteren en classificeren van gevoelige informatie in uw siteverzamelingen start u de zoekservice en definieert u een verkenningsschema voor uw inhoud.
-
Schakel uitgaande e-mailbericht in.
-
Schakel het gebruiksrapport in om door de gebruiker genegeerd beleid en andere DLP-gebeurtenissen te bekijken.
-
Maak de volgende siteverzamelingen:
-
Maak de eDiscovery Center-siteverzameling voor DLP-query's.
-
Maak de Compliancebeleidcentrum-siteverzameling voor DLP-beleidsregels.
-
-
Maak een beveiligingsgroep voor uw complianceteam en voeg de beveiligingsgroep toe aan de groep Eigenaren in het eDiscovery Center of het Compliancebeleidcentrum.
-
Als u DLP-query's wilt uitvoeren, zijn weergavemachtigingen vereist voor alle inhoud waarnaar wordt gezocht met de query. Zie Een DLP-query maken in SharePoint Server 2016 voor meer informatie.
