Purview, het stoplicht dat informatieverkeer veilig houdt. Blog #3 in de serie over Copilot

Blog #3 in een serie blogs over Microsoft 365 in de zorg.

Vraag: Wat gebeurt er zodra een organisatie de Copilot-knop activeert? Is dan gelijk alle informatie via Copilot voor medewerkers te vinden?

Wij krijgen deze vraag vaak van klanten. Zij willen starten met Copilot, maar wel op een veilige manier. Er leeft dan een zekere angst dat de maatregelen om informatie te beschermen onvoldoende zijn of dat men iets over het hoofd ziet.

Gelukkig is die angst niet nodig. In deze blog laten wij je zien hoe je met Purview en het Traffic Light Protocol (TLP) en  Data Loss Prevention (DLP) controle houdt over de informatie die je via Copilot aanbiedt.

Het startpunt voor veel organisaties met Copilot en Purview

De meeste organisaties hebben aan hun medewerkers wel toegangsrechten voor informatie uitgegeven, maar die rechten zijn vaak verouderd. Je kunt er als organisatie niet meer op vertrouwen.  Op zich is het goed toegangsrechten actief te onderhouden, maar daarnaast zijn andere maatregelen effectiever om gegevens maximaal te beschermen. Purview geeft je grip op de informatie die je via Copilot wel óf niet wilt aanbieden en hoe je die beschermt.

Purview Vertrouwelijkheidslabels

Purview is een beveiligingsoplossing van Microsoft 365 waarmee organisaties beschermende maatregelen implementeren op basis van de gevoeligheid van informatie. Die gevoeligheid varieert meestal van:

• groen: openbaar delen toegestaan
• oranje: beperkt openbaar delen
• rood: zeer vertrouwelijk

Je stelt dit in met Vertrouwelijkheidslabels. Het Traffic Light Protocol (TLP) is hiervoor een veel toegepast hulpmiddel.

Traffic Light Protocol (TLP)

TLP is een internationaal erkende methode om gevoelige informatie te labelen. Juist stoplichtkleuren lenen zich hiervoor. Ze zijn eenvoudig te begrijpen en te onthouden, zodat medewerkers zich bewust zijn van hoe vertrouwelijk informatie is en hoe je die dus behandelt en met wie je die mag delen.

Voorbeeld

Zo zijn de notulen (een Office-document) in onderstaand plaatje oranje gelabeld: Vertrouwelijk – Extern. Beperkte openbaarmaking, ontvangers kunnen dit alleen verspreiden op een “need-to-know” basis binnen hun organisatie en haar cliënten. De opsteller van deze notulen heeft dit label zelf toegekend. Het is ook mogelijk het systeem zo in te richten dat notulen automatisch het label oranje krijgen.

Een Office-document dat geclassificeerd is met vertrouwelijk. Zie het  oranje schildje bovenaan.

Data Loss Prevention: de datapolitie die waakt over gevoelige informatie

Met TLP hebben we de eerste stap gezet. Maar drie leuke kleurtjes zijn nog niet voldoende om controle te houden over de gegevens die Copilot verwerkt. Nadat je met Purview Vertrouwelijkheidslabels aan informatie hebt gehangen, kun je met Data Loss Prevention (DLP) data echt beschermen.

In DLP selecteer je namelijk de Vertrouwelijkheidslabels die je niet wilt laten verwerken door Copilot. Zodra je documenten hebt gelabeld (met oranje of rood), zorgt DLP ervoor dat Copilot de documenten met deze labels respecteert door de informatie uit deze documenten niet op te nemen in de antwoorden van Copilot. Dit helpt bijvoorbeeld organisaties zeer gevoelige informatie, zoals privégegevens van medewerkers, uit te sluiten van Copilot.

Voorbeeld

Hieronder laten wij je zien hoe dat er in Microsoft Teams uit ziet. Een medewerker stelt een vraag aan Copilot (de prompt in het blauwgrijze vlak) en neemt daarbij mee een link mee naar een bepaald document. Dat document heeft het label Zeer vertrouwelijk (toegekend met TLP). DLP zorgt ervoor dat Copilot aangeeft dat je geen informatie uit het document mag delen (zie de reactie van Copilot in het plaatje).

De  prompt verwijst naar een vertrouwelijk document. Ondanks dat geeft Copilot geen informatie uit het document.

DLP is een praktische oplossing die weinig gebruikersbegeleiding vraagt. Deze feature is momenteel als preview beschikbaar en komt volgens planning algemeen beschikbaar medio maart 2025.

Praktisch starten met Purview

Een veilige start met Copilot vraagt om goede toegangsbescherming en databescherming. Purview geeft met Vertrouwelijkheidslabels en DLP de volledige controle over de informatie die je via Copilot aanbiedt. Vertrouwelijkheidslabels herinneren medewerkers aan de gevoeligheid van informatie en de correcte omgang hiermee. Data Loss Prevention ondersteunt de labels en biedt uitkomst om gegevens uit te sluiten voor Copilot. Hiermee voldoet de organisatie aan de basisinvulling van wet- en regelgeving en ISO27001 / NEN7510, die het organisaties verplicht hun informatie te classificeren.