Word document beveiligen: wat werkt, wat schijnzekerheid is

Eerst de vraag achter de vraag

Er zijn drie verschillende problemen die allemaal "beveiligen" heten, en ze hebben drie verschillende oplossingen.

Bescherming tegen meelezen. Het document bevat gegevens die niet bij onbevoegden terecht mogen komen. Dan gaat het over vertrouwelijkheid: versleuteling, toegangsrechten en zorgvuldig delen. De bewerkbaarheid van het document is hier niet het punt.

Bescherming tegen wijzigen door de ontvanger. Het document gaat naar buiten en moet als vaststaand stuk aankomen. Dan gaat het over integriteit: een PDF is hier vaak het juiste antwoord, niet een beveiligd Word-bestand.

Bescherming tegen ongewenste wijzigingen door bevoegde collega's. Dit is verreweg het meest voorkomende scenario en tegelijk het minst begrepen. Iedereen mag het document openen en bewerken, maar bepaalde delen — de goedgekeurde clausule, de aansprakelijkheidsbepaling, het ondertekenblok — moeten onaangeroerd blijven. Dit is geen beveiligingsvraagstuk maar een sjabloonvraagstuk.

Stel deze vraag altijd eerst. In veel gevallen blijkt het derde scenario aan de orde en is een wachtwoord op het bestand de slechtste van de beschikbare oplossingen.

Versleutelen met een wachtwoord

De route is Bestand → Info → Document beveiligen → Versleutelen met wachtwoord. Word versleutelt de inhoud; zonder het wachtwoord is het bestand niet te openen. Dat is echte bescherming, en precies daarom draagt het echte risico's.

Twee organisatorische kanttekeningen wegen zwaarder dan de techniek. Ten eerste: een wachtwoord dat je in dezelfde mail meestuurt als het document beschermt niets. Wie de mail onderschept of doorgestuurd krijgt, heeft beide. Wil je het serieus doen, dan gaat het wachtwoord via een ander kanaal, of — beter — deel je het document helemaal niet als bijlage maar via een beheerde link. Zie veilig documenten delen in Microsoft 365.

Ten tweede: een vergeten wachtwoord op een dossierstuk is onherstelbaar. Er is geen beheerdersroute die het bestand weer opent. Voor documenten die jarenlang bewaard moeten blijven, is een wachtwoord daarom vaak juist een risico in plaats van een maatregel. Leg in beleid vast welke documentsoorten überhaupt versleuteld mogen worden en waar het wachtwoord centraal beheerd wordt bewaard.

Markeren als definitief: een signaal, geen slot

Bestand → Info → Document beveiligen → Markeren als definitief zet het document in alleen-lezen en toont bovenin een gele balk. Elke gebruiker kan die met één klik op "Toch bewerken" opzij zetten. Dat is geen tekortkoming maar het ontwerp: het is bedoeld als statusaanduiding, niet als beveiliging.

Als statusaanduiding is het bruikbaar, mits je organisatiebreed dezelfde betekenis afspreekt — bijvoorbeeld: "definitief" betekent goedgekeurd en verzonden, en een wijziging vraagt om een nieuwe versie. Zonder die afspraak is het een gele balk die iedereen wegklikt. De echte statusregistratie hoort thuis in versiebeheer en goedkeuring, niet in een vlag op het bestand.

Bewerking beperken: de drie modi

Via Controleren → Bewerken beperken opent het deelvenster met de bewerkingsbeperkingen. Dit is de meest onderschatte functie in Word en tegelijk de nuttigste voor dagelijks gebruik. Je kiest één van drie modi en beschermt daarna met een wachtwoord (dat hier alleen de instelling beschermt, niet de inhoud).

Geen wijzigingen (alleen-lezen), met uitzonderingen. Het document is vergrendeld, behalve de gebieden die je selecteert en expliciet vrijgeeft. Dit is de modus voor documenten met vaste tekst en enkele variabele delen. De vrijgegeven gebieden worden gemarkeerd zodat de gebruiker ziet waar hij mag werken.

Bijgehouden wijzigingen. De gebruiker kan alles bewerken, maar elke wijziging wordt vastgelegd als revisie en kan niet worden geaccepteerd of geweigerd zolang de bescherming aanstaat. Nuttig bij review van contracten en beleidsstukken: je ziet exact wat er is voorgesteld.

Formulieren invullen. Alleen de formuliervelden zijn bewerkbaar, de rest ligt vast. Dit is de strengste variant en tegelijk de meest beperkende; in documenten die ook echt vrije tekst nodig hebben, werkt hij te knellend.

Belangrijk om te weten: het wachtwoord bij bewerking beperken beschermt de instelling, niet de inhoud. Iemand die het document opslaat in een ander formaat en terugconverteert, of de tekst simpelweg kopieert, komt eromheen. Beschouw het dus als een sturingsmechanisme dat gebruikers op het juiste pad houdt, niet als een barrière tegen kwade opzet.

Contentcontrols: vast wat vast moet, vrij wat vrij mag

De enige aanpak die in sjablonen op de lange termijn houdbaar is, combineert contentcontrols met bewerkingsbeperking. Op het tabblad Ontwikkelaars voeg je besturingselementen toe voor de variabele delen: tekst, datum, keuzelijst. Per besturingselement kun je in de eigenschappen instellen dat het niet verwijderd en/of niet bewerkt mag worden. De rest van het document zet je op alleen-lezen met de invulvelden als uitzondering.

Het resultaat is een document dat zich gedraagt zoals je wilt: de standaardtekst staat vast, de gebruiker vult in wat hij moet invullen en kan niet per ongeluk een halve alinea wissen. Voor juridische documenten kun je dit verder differentiëren naar drie niveaus — vergrendeld, semi-vrij (aanpasbaar binnen kaders) en vrij bewerkbaar — zodat de clausules die niet mogen wijzigen ook echt niet wijzigen, terwijl de casusspecifieke tekst wél te schrijven blijft. Dat model werken we uit in de clausebibliotheek in Word.

De winst zit niet in de techniek maar in de plaats waar hij zit: in het sjabloon. Bescherming die per document handmatig moet worden aangezet, wordt vergeten. Bescherming die in het sjabloon zit, geldt vanaf document één. Hoe je die instellingen in een bestaand sjabloon opneemt staat in Word sjabloon aanpassen.

Documentbeveiliging versus rechtenbeheer in Microsoft 365

Alles hierboven speelt zich af binnen het bestand. Daarnaast bestaat er een laag die om het bestand heen zit: machtigingen op SharePoint-sites en bibliotheken, deellinks met beperkingen, en vertrouwelijkheidslabels die een classificatie aan een document hangen. Die laag is fundamenteel sterker, omdat toegang aan identiteit is gekoppeld in plaats van aan een wachtwoord dat kan rondzwerven.

Wat er precies beschikbaar is en hoe labels zich gedragen, hangt af van je Microsoft 365-configuratie; dat is een vraag voor je beheerder en niet iets wat je vanuit Word instelt. De vuistregel voor de meeste organisaties: regel vertrouwelijkheid in de Microsoft 365-laag, regel bewerkbaarheid in het sjabloon, en gebruik documentwachtwoorden alleen in uitzonderingsgevallen met een expliciete reden. De bredere inrichting daarvan komt aan bod in compliance in documentbeheer.

Waarom te veel vergrendelen averechts werkt

Dit is het punt dat in beveiligingsdiscussies het vaakst wordt overgeslagen. Een document dat niet meewerkt terwijl er een deadline is, wordt omzeild. De gebruiker selecteert de tekst, plakt hem in een leeg document, werkt daar verder en mailt dat rond. Het beheerde sjabloon is dan uit beeld, er is geen versieregistratie, geen documentkenmerk en geen goedgekeurde clausuletekst meer.

Elke vergrendeling die niet uit te leggen is aan degene die ermee moet werken, produceert op termijn een schaduwproces. Bescherm daarom gericht en motiveer per beperking waarom hij er staat. En zorg dat de beheerde route ook de snelste route is: zolang een document uit het goedgekeurde sjabloon starten meer moeite kost dan een oud bestand kopiëren, verlies je die strijd ongeacht hoe goed je beveiliging is.

Wat je in beleid vastlegt

• Welke documentsoorten welke bescherming krijgen. Niet per document beslissen, maar per soort: offerte, contract, beleidsstuk, dossierstuk, interne notitie.
• Wie mag ontgrendelen. Eén rol met een plaatsvervanger, en de afspraak dat ontgrendelen wordt vastgelegd inclusief reden.
• Hoe uitzonderingen worden geregistreerd. Een uitzondering die nergens staat, is over een half jaar de nieuwe norm.
• Waar wachtwoorden worden bewaard. Centraal en beheerd, of helemaal niet gebruiken.
• Wat er gebeurt bij vertrek van een medewerker. Documenten met een persoonlijk wachtwoord zijn dan het probleem van de organisatie geworden.

Beveiliging als eigenschap van het sjabloon

De volwassen aanpak verplaatst de vraag. In plaats van "hoe beveilig ik dit document?" stel je de vraag "welke delen van dit documenttype mogen wijzigen, en door wie?" — en beantwoord je die één keer, in het sjabloon, in plaats van duizend keer per document.

Praktisch betekent dat: goedgekeurde standaardtekst als vergrendeld tekstblok, casusspecifieke tekst als vrij bewerkbaar gebied, en variabele gegevens als velden die uit het bronsysteem komen in plaats van met de hand worden ingetypt. De gebruiker merkt er weinig van, want hij start gewoon een document en de kaders staan er al in. Dat is precies het doel: bescherming die niemand hoeft aan te zetten. Zie template governance voor de inrichting van die laag.