Stel: een collega deelt een map met offertes met een leverancier, via "Iedereen met de link". Handig, het werkt meteen. Maanden later staat in diezelfde map ook een overzicht met klantgegevens, en de link werkt nog steeds. Bij iedereen die hem ooit heeft ontvangen of doorgestuurd.
Zo ontstaan veel datalekken in Microsoft 365: niet door een hacker, maar door een deellink die te ruim is ingesteld en nooit is opgeruimd. Het goede nieuws: met een paar gewoontes en een paar instellingen voorkom je het meeste.
De drie soorten deellinks
Als je in OneDrive of SharePoint op Delen klikt, kies je wie de link kan gebruiken. De belangrijkste opties:
- Iedereen met de link. Werkt zonder inloggen. Wie de link heeft, kan het bestand openen, ook als die is doorgestuurd. Je kunt niet zien wie het bestand heeft geopend.
- Personen in je organisatie. Werkt alleen voor collega's die zijn ingelogd met hun werkaccount. Doorgestuurd naar iemand buiten je bedrijf, werkt de link niet.
- Specifieke personen. Werkt alleen voor de mensen die je kiest. Externen moeten bevestigen wie ze zijn, met hun eigen Microsoft-account of met een code die ze per mail krijgen.
Welke opties je ziet, hangt af van wat je beheerder heeft toegestaan. Microsoft beschrijft de instellingen in Instellingen voor delen beheren in SharePoint en OneDrive.
Zes gewoontes voor je team
- Kies standaard "Specifieke personen". Zeker voor alles wat naar buiten gaat. Dan weet je wie er toegang heeft.
- Alleen lezen, tenzij bewerken echt nodig is. Zet bij het delen het vinkje voor bewerken uit als de ander het bestand alleen hoeft te bekijken.
- Zet een einddatum op links. Bij een link voor iedereen kun je in de linkinstellingen een vervaldatum kiezen. Na een project heeft niemand die link meer nodig.
- Deel een bestand, geen hele map. Een map groeit. Wat je vandaag deelt, bevat over een paar maanden ook bestanden die nooit bedoeld waren om te delen.
- Nooit naar privéadressen. Deel niet met het Gmail- of Hotmail-adres van een collega of klant. Gebruik zakelijke adressen, zodat de toegang bij het bedrijf blijft als iemand vertrekt.
- Ruim op na een project. Open het bestand of de map, kies Toegang beheren en verwijder links en personen die geen toegang meer nodig hebben.
Wat je beheerder kan instellen
Gewoontes helpen, maar de veiligste route is dat de instellingen het goede gedrag makkelijk maken. In het SharePoint-beheercentrum, onder Beleid en dan Delen, kan je beheerder of IT-partner onder meer:
- Het niveau voor extern delen bepalen. Van "Iedereen" (ook links zonder inloggen) tot "Alleen personen in je organisatie". Voor OneDrive kan dat strenger zijn dan voor SharePoint, maar niet ruimer.
- Een maximale geldigheid voor links zonder inloggen instellen. Bijvoorbeeld 30 dagen. Daarna werkt zo'n link niet meer.
- Links zonder inloggen beperken tot alleen lezen.
- De standaardlink instellen op "Personen in je organisatie". Dan moet een medewerker bewust kiezen voor delen met externen, in plaats van per ongeluk.
- Extern delen beperken tot bepaalde domeinen, bijvoorbeeld alleen de domeinen van je vaste klanten en leveranciers.
- Gasttoegang automatisch laten verlopen na een aantal dagen.
- Per site strenger zijn. Een site met personeelsdossiers kan bijvoorbeeld helemaal niet extern gedeeld worden, terwijl een projectsite dat wel kan.
Gebruik je Microsoft 365 Business Premium, dan kun je ook gevoelige bestanden extra beschermen met gevoeligheidslabels en regels tegen gegevensverlies (DLP). Zo'n regel kan bijvoorbeeld voorkomen dat een bestand met burgerservicenummers via een link voor iedereen wordt gedeeld.
Als het toch misgaat
Merk je dat een bestand te ruim is gedeeld, of bij de verkeerde persoon is beland?
- Haal de toegang direct weg. Verwijder de link via Toegang beheren, of verwijder de persoon.
- Zoek uit wat er gebeurd is. Welke gegevens stonden erin, hoe lang was het gedeeld, en is het geopend? Je beheerder kan in de auditlogboeken van Microsoft 365 zien wie een bestand heeft bekeken.
- Beoordeel of het een datalek is. Konden onbevoegden persoonsgegevens inzien, dan is het een datalek. Dat meld je binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het een risico vormt voor de betrokkenen. Is het risico groot, dan informeer je ook de mensen zelf.
- Leg het vast. Elk datalek hoort in je eigen datalekregister, ook als je het niet hoeft te melden.
Gaat het niet om één verkeerde deling, maar lijkt een account te zijn overgenomen? Volg dan het stappenplan bij een gehackt Microsoft 365-account.
Automatisch laten controleren
Met de hand bijhouden wat er allemaal gedeeld is, lukt in de praktijk bijna niemand. Daarom kun je het ook laten controleren. Bij Gentic worden openbare links en delingen met externen in OneDrive, SharePoint en Google Drive automatisch gevonden en gemeld, zodat je ze kunt opruimen. De eigenaar van het bestand kan automatisch een bericht krijgen. Er wordt gekeken met wie iets gedeeld is, niet naar wat er in je bestanden staat.
Wil je zien hoe dat werkt in jullie omgeving? Plan een gratis demo. In 30 tot 60 minuten laten we zien wat er gecontroleerd wordt en wat een melding inhoudt.
