Gevoeligheidslabels voor documenten in Microsoft 365

Wat een gevoeligheidslabel technisch is

Een gevoeligheidslabel is een classificatie die in het bestand zelf wordt opgeslagen, niet in de bibliotheek waar het bestand toevallig staat. Dat onderscheid is de kern van het hele onderwerp. Machtigingen op een SharePoint-site regelen wie erbij kan zolang het document daar staat. Zodra iemand het downloadt, doorstuurt of naar een externe opslag kopieert, houdt die bescherming op. Een label reist mee. Het blijft aan het bestand plakken door mappen, mailboxen, USB-sticks en systemen van derden heen.

Dat maakt labelen tot de enige maatregel die iets zegt over een document ongeacht zijn locatie. Het maakt het ook tot een maatregel die je zorgvuldig moet ontwerpen, want een classificatie die eenmaal op duizenden bestanden staat, corrigeer je niet in een middag. De ontwerpkeuzes die je aan het begin maakt, blijven jaren zichtbaar.

Classificatie, markering en versleuteling zijn drie dingen

In gesprekken over labels lopen drie verschillende functies structureel door elkaar. De eerste is classificatie: het label zelf, een waarde die zegt hoe gevoelig de inhoud is. Dat is puur informatie, zonder enige technische beperking. De tweede is markering: de zichtbare weerslag van die classificatie in het document, als koptekst, voettekst of watermerk. Markering is een gedragsmaatregel — de lezer ziet waar hij mee bezig is — en geen beveiliging. De derde is rechtenbeperking of versleuteling: het label koppelt een technische beperking aan het bestand, zodat alleen bepaalde personen of groepen het kunnen openen, en soms alleen met beperkte mogelijkheden.

Alleen de derde functie blokkeert daadwerkelijk iets. De eerste twee informeren. In de praktijk is dat onderscheid essentieel bij het verwachtingsmanagement rond een labeluitrol: als de directie hoort dat "documenten nu beveiligd zijn" terwijl er alleen geclassificeerd en gemarkeerd wordt, ontstaat er een gat tussen beleid en werkelijkheid. Zeg dus expliciet per labelniveau welke van de drie functies actief is.

Hoe een label eruitziet voor de gebruiker

In Word vindt de gebruiker labels op het tabblad Start, in de groep Gevoeligheid. Eén klik opent de lijst met beschikbare labels; het gekozen label verschijnt daarna als aanduiding in de balk. Is er markering aan het label gekoppeld, dan verschijnt die direct in de kop- of voettekst of als watermerk over de pagina. Hetzelfde principe geldt in Excel, PowerPoint en Outlook. De exacte plek op het lint kan per versie licht verschillen; controleer hoe het er in jouw tenant uitziet voordat je de werkinstructie schrijft.

In SharePoint-bibliotheken is de classificatie zichtbaar als kolom in de lijstweergave, zodat een beheerder in één oogopslag ziet wat er in een bibliotheek staat en wat er ontbreekt. Die kolom is het belangrijkste sturingsinstrument dat je hebt: een bibliotheek waarin driekwart van de documenten geen label heeft, vertelt je meer over de haalbaarheid van je beleid dan welk rapport dan ook. Hoe je die kolommen betekenisvol inricht staat in SharePoint metadata.

Een labeltaxonomie ontwerpen die gebruikt wordt

Het ontwerp van de taxonomie bepaalt of labelen slaagt. De praktische vuistregel: drie tot vier niveaus, met namen die een medewerker zonder toelichting begrijpt. Iets in de trant van openbaar, intern, vertrouwelijk en streng vertrouwelijk werkt omdat het aansluit bij hoe mensen al over documenten praten. Namen die verwijzen naar beleidsdocumenten of naar interne codes werken niet, omdat de gebruiker op het moment van kiezen geen beleidsdocument openslaat.

Belangrijker dan de naam is de beslisregel. Bij elk label hoort één zin die zegt wanneer je het kiest, geformuleerd vanuit de schade bij ongewenste openbaarmaking: wie mag dit niet zien, en wat gebeurt er als hij het toch ziet. Zolang die zin er niet staat, kiest iedereen op gevoel en krijg je dezelfde documentsoort op drie verschillende niveaus.

Sublabels per afdeling zijn een terugkerende valkuil. Ze ontstaan bijna altijd omdat twee afdelingen het niet eens werden over de definitie van "vertrouwelijk", en de oplossing was om beide definities op te nemen. Daarmee verplaats je een organisatorisch meningsverschil naar een keuzemenu, waar het bij elke medewerker opnieuw opgelost moet worden. Los het meningsverschil op, of accepteer het bredere niveau.

Standaardlabel, verplicht labelen en motivatie bij verlagen

Drie beleidsknoppen bepalen hoe dwingend het systeem is. Het standaardlabel is het label dat automatisch wordt toegekend als de gebruiker niets kiest. Zet dat niet te hoog: een standaard op "vertrouwelijk" lijkt veilig, maar zorgt ervoor dat gewone interne stukken een watermerk krijgen, dat gebruikers gaan verlagen om van de markering af te komen, en dat de classificatie binnen een maand betekenisloos is.

Verplicht labelen betekent dat een document niet opgeslagen kan worden zonder classificatie. Dat werkt alleen als de labellijst kort en begrijpelijk is; bij een lange lijst leidt verplichting tot willekeurige keuzes, wat erger is dan geen label. Motivatie bij verlagen vraagt de gebruiker een reden op te geven wanneer hij een classificatie naar beneden bijstelt, en legt die vast. Dat is minder een controlemaatregel dan een meetinstrument: de verzameling motivaties is de beste bron om te zien waar je taxonomie niet klopt.

Reken erop dat elke verplichting weerstand oproept op het moment dat hij tijdens een deadline in de weg zit. Die weerstand is meestal terecht en wijst op een ontwerpfout, niet op onwil. Zie ook compliance documentbeheer voor de bredere inbedding.

Wat labels niet oplossen

Labels worden regelmatig gepresenteerd als het sluitstuk van informatiebeveiliging. Dat zijn ze niet, en het is verstandig dat vooraf te benoemen. Een label vervangt geen machtigingen: wie toegang heeft tot de bibliotheek, heeft toegang tot het document, ongeacht de classificatie, tenzij het label rechtenbeperking afdwingt. Een label vervangt geen retentiebeleid: het zegt niets over bewaren of vernietigen. Een label vervangt geen metadata: het vertelt niet bij welke klant, welk dossier of welk project een document hoort, en is dus ongeschikt als ordeningsprincipe. En een label vervangt geen sjabloonbeheer: het zegt niets over of de inhoud juist, actueel of goedgekeurd is.

De juiste mentale indeling is: metadata ordent, machtigingen verlenen toegang, retentie bepaalt de levensduur, labels classificeren en beschermen onderweg. Vier lagen die elkaar aanvullen. Wie er één als vervanging voor de andere inzet, krijgt een systeem dat op papier compleet is en in de praktijk gaten vertoont. De samenhang beschrijven we verder in documentbeheer in Microsoft 365.

Labelen bij de bron in plaats van achteraf

De meeste labelprojecten richten zich op het classificeren van wat er al staat. Dat is de moeilijkste variant: iemand moet per bestand bepalen wat het is, vaak zonder context en soms jaren na dato. De veel effectievere route is labelen op het moment dat het document ontstaat.

Dat is mogelijk omdat de documentsoort op dat moment bekend is. Wie een arbeidsovereenkomst start, maakt een document waarvan de classificatie bij voorbaat vaststaat. Wie een persbericht start, ook. Als de startkeuze van de gebruiker een sjabloon is, kan de classificatie aan dat sjabloon hangen in plaats van aan de individuele beslissing van de medewerker. Daarmee verschuift labelen van een dagelijkse gebruikershandeling naar een eenmalige beheerkeuze per documentsoort — en dat is precies waar classificatie thuishoort.

De consequentie is dat sjabloonbeheer en labelbeleid bij elkaar horen. Wordt een sjabloon rondgemaild als bestand, dan is er geen bron om de classificatie aan te koppelen. Wordt het sjabloon centraal aangeboden, dan kun je per documentsoort vastleggen wat de standaardclassificatie is, en hoeft de gebruiker alleen nog in uitzonderingsgevallen af te wijken.

Uitrolvolgorde die werkt

Een labeluitrol die met verplichting begint, eindigt met willekeurige classificaties. De volgorde die wel standhoudt:

• Ontwerp klein. Drie tot vier niveaus, per niveau één beslisregel van één zin, en per niveau expliciet vastgelegd of er markering en rechtenbeperking aan hangt.
• Start met een pilotgroep van één afdeling met een overzichtelijke documentstroom, en laat labelen vrijwillig zijn.
• Meet wat er gekozen wordt. Gebruik de classificatiekolom in de bibliotheken. Zie je één label domineren, dan is de taxonomie te fijn of de beslisregel onduidelijk.
• Pas het ontwerp aan op basis van die meting, voordat je verbreedt. Dit is de stap die het vaakst wordt overgeslagen.
• Verbreed en dwing daarna pas af, eerst met een standaardlabel, pas later met verplicht labelen.

Controleer vooraf welke labelfunctionaliteit in jouw tenant beschikbaar is en welke licentie daarvoor vereist is; dat verschilt per omgeving en bepaalt welke onderdelen van het ontwerp je daadwerkelijk kunt inzetten. Neem die controle op in de voorbereiding, niet halverwege de pilot. Wat labels betekenen voor het delen van documenten met externen staat in veilig documenten delen in Microsoft 365.