Zero trust, IAM en Purview: de 3 musketiers van dataveiligheid

Dataveiligheid staat inmiddels bij elke organisatie hoog op de agenda. De steeds strengere wetgeving en beveiligingseisen rond data doen daar nog een schepje bovenop.

Maar hoe bescherm je waardevolle bedrijfsinformatie effectief, zonder dat je interne processen vastlopen of de samenwerking met partners onmogelijk wordt?

Een van de sleutels: scheer niet alle data over één kam, maar differentieer de bescherming van data gericht. Want als je data classificeert en per type de juiste beveiligingsmaatregelen kiest, bescherm je data op het juiste niveau en houd je het gebruiksgemak binnen je ict-omgeving zo hoog mogelijk.

Met Microsoft Purview, identity & access management (IAM) en een zero trust-architectuur geef je alleen de juiste mensen, onder de juiste omstandigheden toegang tot jouw data, en blijft je organisatie toch wendbaar.

IT-security consultant Wybren de Jong legt je in deze blog uit hoe deze drie oplossingen samen voor zoveel data-veiligheid zorgen.

Zero trust: niemand vertrouwen, alles controleren

Een zero trust-beveiligingsarchitectuur verifieert steeds opnieuw of individuele gebruikers en systemen toegang mogen krijgen tot onderdelen van je ict-omgeving. Zero trust gaat uit van het principe ‘Vertrouw niks en niemand standaard, zelfs niet binnen je eigen netwerk’. Elke toegangspoging tot elk stukje van je data wordt daarom gecontroleerd: wie ben je, wat wil je, en mag dat wel?

Wybren: “Zero trust moet je eigenlijk zien als een set aan regels die richting geeft aan hoe je beveiligingsmodel eruit moet zien. Dit leidt tot een beveiligingsarchitectuur die alleen honderd procent geauthentiseerde gebruikers, applicaties en devices toegang geeft tot elk onderdeel van je omgeving. Dat klinkt misschien extreem. Maar gezien de vele aanvallen die via vertrouwde verbindingen binnenkomen is het nodig.”

In het eerste kwartaal van 2025 is het aantal cyberaanvallen wereldwijd gestegen met 47%, wat neerkomt op gemiddeld 1.925 aanvallen per organisatie per week! In Nederland is deze stijging zelfs 53%, en de aanvallen worden steeds complexer. Zero trust is dus allesbehalve een overbodige luxe.

Lees meer: Cybersecurity voor het mkb: ontdek de achterdeurtjes in je ict-omgeving

Zero trust tegen phishing-aanvallen

Zero trust voorkomt niet alleen aanvallen en datalekken, het helpt ook de schade te beperken als het toch mis gaat. Denk bijvoorbeeld aan phishing. Bij deze vorm van internetfraude verleiden criminelen mensen tot het verstrekken van gevoelige informatie, zoals gebruikersnamen, wachtwoorden en financiële gegevens. Dit doen zij bijvoorbeeld via een e-mail. 

Wybren: “Een zero trust-architectuur helpt de impact van een geslaagde phishing-aanval verkleinen. Dat komt doordat aanvallers vanwege de zero trust-architectuur niet direct bij alle data kunnen. Ze kunnen alleen bij het kleine stukje waar ze op dat moment toegang toe hebben gekregen. De rest blijft op slot.”

Lees verder: Zo pas je zero-trust toe binnen jouw organisatie

IAM: het fundament van digitale veiligheid

IAM kun je zien als een digitale poortwachter. Het is een set aan tools waarmee je het toegangsbeheer regelt: wie krijgt toegang tot welke systemen en data, en onder welke voorwaarden. Denk aan het toepassen van multifactor authenticatie, rolgebaseerde toegang en het monitoren van afwijkend gedrag. Het is een essentieel onderdeel van zero trust.

Wybren: “IAM vormt het fundament van een veilige, efficiënte en compliant digitale werkomgeving. Het zorgt dat alleen de juiste mensen toegang krijgen tot de juiste informatie. Maar dit geldt ook voor AI-systemen: ook zij moeten alleen bij de juiste informatie kunnen en niet ongewenst met allerlei gevoelige informatie aan de haal gaan. IAM is daarmee een terechte strategische noodzaak.”

IAM is van belang om de volgende redenen:

• Beveiliging van data: alleen bevoegde personen (of bots!) krijgen toegang.
• Compliance: je voldoet aan AVG en andere compliance-verordeningen dankzij toegangslogs en rechtenrapportages.
• Operationele efficiëntie: IAM automatiseert toegang, versnelt onboarding en voorkomt handmatig werk.
• Risicobeheersing: afwijkend gedrag wordt gespot voordat het misgaat, waarmee je gegevensmisbruik voorkomt.
• Centrale identiteitscontrole: zowel voor medewerkers als systemen, API’s en bots.

Lees meer over IAM: Waarom Identity and Access Management (IAM) belangrijk is voor jouw organisatie

Microsoft Purview: slimme datawacht met superkrachten

Waar zero trust de situatie steeds scherp in de gaten houdt en IAM regelt wie erdoor mag, bepaalt Microsoft Purview welke data in welke mate beschermd moet worden.

Wybren: “Purview is een set aan tools waarmee je de beveiliging van al je Microsoft 365-systemen eenduidig kunt beheren. Je kunt de tool zien als een slimme data-beveiliger, die je data automatisch scant, labelt en beveiligt.”

Dataclassificatie met sensitivity labels

Dataclassificatie is in dit beveiligingsbeheer de eerste stap. Met Purview kunnen medewerkers alle data binnen je omgeving een ‘sensitivity label’ geven. Denk aan labels als ‘vertrouwelijk’, ‘intern’ of ‘openbaar’. Zo classificeer je je gegevens en kun je deze beveiligen op basis van hun gevoeligheid. Vertrouwelijke data kun je bijvoorbeeld versleutelen, of je kunt hier toegangsbeperkingen voor instellen. Purview past deze labels onder andere toe op documenten, e-mails en SharePoint-sites. 

Wybren: “Data-classificatie richt je in door als organisatie zelf context (metadata) aan je bedrijfsgegevens te geven. Dit proces kun je ook automatiseren op basis van logica. Vervolgens kan Purview op basis van deze context toegang tot data beperken, gegevens beschermen, alerts genereren, en inzicht in je data geven.

Deze gedifferentieerde classificatie voorkomt dat je data strenger beveiligt dan nodig is, wat het gebruiksgemak binnen je omgeving in het gedrang zou brengen. Aan de andere kant voorkom je dat je data te laag beveiligt, wat zou gebeuren als je bijvoorbeeld een gemiddeld beveiligingsniveau zou hangen aan een zeer vertrouwelijk stuk informatie. De differentiatie zorgt er dus voor dat alle data precies op het juiste niveau is beveiligd.”

eDisovery voor audits en informatieverzoeken

Het segmenteren van je data vanwege zero trust levert ook een nadeel op: het snel terugvinden van de juiste informatie kan lastig zijn door de versnipperde data-opslag. Maar gelukkig heeft Microsoft hier iets op bedacht. De eDiscovery-tool binnen Purview helpt je als organisatie bij het snel identificeren, verzamelen, analyseren en exporteren van elektronische informatie. Dit is vooral handig en nodig voor juridische doeleinden zoals audits en WOO-verzoeken (Wet Open Overheid).

Wybren: “eDiscovery zoekt razendsnel alle relevante documenten, mails en Teams-chats bij elkaar en bouwt zo een complete paper trail voor je op. Zo kun je precies laten zien wie, wat, wanneer heeft besproken of besloten, zonder dat je zelf uren hoeft te zoeken en tegen allerlei digitale beveiligingsmuren oploopt. Dit bespaart enorm veel tijd, kosten en frustratie.

Een ander voordeel is dat je als organisatie met zekerheid kan zeggen dat bepaalde informatie niet bestaat als je het met eDiscovery niet hebt gevonden.”

Data lifecycle management met Purview retentiebeleid

Met Microsoft Purview kun je ook je data lifecycle management goed inrichten. Doordat je data en document labelt, kun je op die labels de juiste actie ‘plakken’ wat betreft retentie. Zo zorg je dat data gedurende de juiste termijn wordt bewaard, en dat het daarna netjes wordt verwijderd. En met de functie Records Management kun je hier nog iets verder in gaan, door nog specifieker te kijken naar het soort document waarmee je te maken hebt.

Denk aan een cv van een sollicitant die je niet hebt aangenomen. Zo’n cv moet wettelijk gezien binnen vier weken verwijderd zijn uit je omgeving, nadat je de procedure hebt gesloten. Met Purview hang je die actie vast aan het label dat dit document heeft gekregen. Zo wordt de actie automatisch op het juiste moment uitgevoerd.

Met het retentiebeleid van Purview:

• bewaar of verwijder je data automatisch op basis van compliance-regels;
• bespaar je kosten door verouderde of overbodige data op tijd te verwijderen;
• verklein je het risico op boetes en reputatieschade door het overtreden van wetten en reguleringen.

Een ijzersterk drietal

Zo vormen zero trust, Identity & Access Management en Microsoft Purview samen een ijzersterk drietal, dat jouw organisatie precies op het juiste niveau beschermt tegen de datarisico’s van vandaag en morgen. En dat tegelijkertijd voorkomt dat je ict-omgeving te zeer wordt dichtgetimmerd om maar een datalek te voorkomen.

Elk van de drie oplossingen en tools speelt daarin zijn eigen, onmisbare rol. Juist door deze slimme combinatie van continue controle, gedifferentieerde dataclassificatie en het bepalen wie toegang heeft tot de data, ontstaat een solide, schaalbaar en toekomstbestendig beveiligingsfundament. Zo minimaliseer je risico’s, blijft het gebruiksgemak op een aanvaardbaar niveau en is - en blijft - je data in goede handen.

Meer actuele posts over cybersecurity:

• 8 lessen die we hebben geleerd op het gebied van cloudsoevereiniteit
• Citrix onder vuur: hoe houd je je remote toegang veilig?
• Met deze 3 stappen voorkom je schade door phishing