DLP in Microsoft Purview beheren: van simulatie naar aantoonbare controle

Een medewerker mailt een klantenexport naar een privé-adres om thuis verder te werken. Een salarisbestand komt in een te breed toegankelijk Teams-kanaal terecht. Of een leverancier ontvangt per ongeluk een document met identiteitsgegevens van een andere klant. Zulke fouten ontstaan meestal niet door kwade opzet, maar kunnen wel leiden tot een serieus beveiligings- of privacy-incident.

Microsoft Purview Data Loss Prevention, meestal afgekort tot DLP, helpt gevoelige informatie te herkennen en beschermingsregels toe te passen. Afhankelijk van je licenties en inrichting kan DLP onder meer werken in Exchange Online, SharePoint, OneDrive, Teams en op ondersteunde apparaten. Het systeem kan een gebruiker waarschuwen, een handeling blokkeren, een uitzondering laten motiveren en een melding voor onderzoek maken.

De techniek is maar de helft van het werk. Een breed beleid dat zonder voorbereiding alles blokkeert, verstoort legitieme processen en veroorzaakt meldingsmoeheid. Een beleid dat alleen registreert maar nooit wordt beoordeeld, levert schijncontrole op. Deze gids laat daarom zien hoe je DLP als een beheerd proces inricht: van één concreet gegevensrisico naar een geteste regel, een werkbare gebruikersmelding en aantoonbare incidentopvolging.

Het belangrijkste koopmotief is governance en ontlasting van de IT-verantwoordelijke. Je wilt niet afhankelijk zijn van toevallige meldingen van medewerkers, maar ook niet iedere dag honderden onduidelijke signalen uitzoeken. Met een klein aantal goed gekozen regels, een vaste eigenaar en een meetbaar reviewritme wordt DLP een bruikbare beheersmaatregel. Wil je eerst weten waar delen, identiteiten en beveiligingsinstellingen in jullie Microsoft 365-omgeving de grootste risico’s vormen? Laat de omgeving beoordelen met de IT-scan.

Wat Microsoft Purview DLP precies doet

Een DLP-beleid combineert vier bouwstenen:

1. Locatie: waar de controle geldt, bijvoorbeeld Exchange, SharePoint, OneDrive, Teams of ondersteunde endpoints.
2. Detectie: welke gevoelige informatie of classificatie de regel herkent, zoals een ingebouwd gevoelig informatietype.
3. Voorwaarden en uitzonderingen: in welke context de regel geldt, bijvoorbeeld bij extern delen of vanaf een bepaald aantal gevonden records.
4. Actie en opvolging: wat de gebruiker merkt en wat de organisatie registreert, waarschuwt, beperkt of blokkeert.

Microsoft levert veel ingebouwde gevoelige informatietypen. Die herkennen bijvoorbeeld financiële, persoonlijke of nationale identificatiegegevens. De detectie kijkt niet alleen naar één los nummer. Afhankelijk van het type gebruikt Microsoft ook patronen, controlesommen, ondersteunende woorden en een betrouwbaarheidsniveau. Daardoor kan de regel onderscheid maken tussen een toevallige cijferreeks en informatie die waarschijnlijk werkelijk gevoelig is.

Je kunt ook eigen informatietypen en andere classificaties gebruiken. Begin daar pas mee als de ingebouwde typen onvoldoende aansluiten. Een eigen patroon dat te algemeen is, kan grote aantallen normale documenten markeren. Dat verhoogt de beheerlast en verlaagt het vertrouwen van medewerkers in waarschuwingen.

DLP is geen back-up, geen vervanging voor toegangsbeheer en geen garantie dat informatie nooit buiten de organisatie komt. Het is één laag in een bredere aanpak met MFA, apparaatbeheer, correcte rechten, logging, training en incidentrespons.

Begin bij een risico, niet bij een sjabloon

Een Microsoft-sjabloon kan de technische inrichting versnellen, maar kent jullie processen niet. Start daarom met één zin die het risico beschrijft. Bijvoorbeeld:

Voorkom dat een bestand met meerdere identiteitsgegevens via e-mail of een openbare deellink buiten de organisatie terechtkomt.

Die formulering dwingt je om keuzes te maken. Welke gegevens tellen mee? Hoeveel records vormen een verhoogd risico? Geldt de regel alleen extern? Wie mag bij uitzondering wel delen? En welk veilig alternatief heeft de medewerker?

Maak vóór configuratie een eenvoudige beslismatrix:

Informatiesoort	Normale opslag	Toegestane ontvangers	Eerste reactie
Personeelsdossier	Afgeschermde SharePoint-site	HR en aangewezen verwerker	Extern delen blokkeren en melden
Klantenexport	CRM of beperkte bibliotheek	Alleen goedgekeurde zakelijke ontvanger	Waarschuwen, motivering vragen en incident vastleggen
Factuur met één IBAN	Boekhouding en e-mail	Klant of leverancier	Alleen ingrijpen bij extra risicosignalen
Kopie identiteitsbewijs	Beperkte dossieromgeving	Alleen volgens vastgesteld proces	Blokkeren en direct laten beoordelen
Vertrouwelijk contract	Projectsite met bekende leden	Betrokken partijen	Waarschuwen bij onbekende externe ontvanger

Deze matrix voorkomt dat alle gevoelige informatie automatisch dezelfde behandeling krijgt. Eén IBAN op een normale factuur is iets anders dan een export met honderden rekeningnummers. Ook intern delen is niet per definitie veilig: een bestand in een organisatiebreed team kan te breed zichtbaar zijn.

DLP herstelt bestaande rechten niet. Controleer dus ook SharePoint-machtigingen op site-, bibliotheek- en mapniveau en leg vast hoe je gasttoegang in Microsoft Entra ID beheert. Een goed DLP-signaal boven op onbeheerde gastaccounts blijft een onvolledige maatregel.

Bepaal vooraf eigenaarschap en bevoegdheden

Wijs vóór de eerste technische wijziging rollen toe. Minimaal zijn nodig:

• een proceseigenaar die bepaalt welke gegevensstroom zakelijk nodig is;
• een privacy- of securityverantwoordelijke die de mogelijke impact beoordeelt;
• een technisch beheerder die beleid, scope en meldingen onderhoudt;
• een servicedesk of supportproces voor vragen van medewerkers;
• een vervanger en escalatiepad bij afwezigheid of een mogelijk datalek.

Geef beheerders alleen de Purview-rollen die voor hun taak nodig zijn. Gebruik een breed beheerdersaccount niet als dagelijkse onderzoeksidentiteit. Scheid waar mogelijk beleid wijzigen van alleen bekijken en onderzoeken. Bescherm bevoegde accounts met MFA en een beheerd apparaat.

Leg ook vast wie een wijziging mag goedkeuren. Een technische beheerder kan zien dat een regel veel matches geeft, maar de salarisadministratie of proceseigenaar moet beoordelen of de gevonden handeling normaal werk is. Zonder die samenwerking ontstaat vaak een van twee slechte uitkomsten: de regel blijft permanent in simulatie staan of een hele afdeling krijgt een brede uitzondering.

Gebruik simulatie als besluitfase

Microsoft adviseert een DLP-beleid eerst in simulatiemodus te gebruiken voordat je het inschakelt. Simulatie laat zien wat het beleid zou herkennen en welke items geraakt zouden worden, zonder direct de gekozen handhavingsacties toe te passen. Je kunt daarbij, afhankelijk van de gekozen optie en configuratie, ook beleidstips aan gebruikers tonen.

Simulatie is geen wachtruimte zonder einddatum. Maak vooraf een testplan met:

• de start- en beslisdatum;
• de locaties en gebruikers in scope;
• het verwachte normale proces;
• enkele gecontroleerde positieve tests;
• scenario’s die juist niet mogen matchen;
• de eigenaar van iedere gevonden uitzondering;
• criteria om naar waarschuwing of blokkade te gaan.

Laat de simulatie lang genoeg lopen om normale werkcycli te bevatten. Voor salarisinformatie moet bijvoorbeeld minstens een salarisrun in de meetperiode vallen. Voor een kwartaalrapportage is twee weken mogelijk niet representatief. Kies de periode dus op het bedrijfsproces en niet op een willekeurig aantal dagen.

Beoordeel vervolgens niet alleen het aantal matches. Neem een steekproef en classificeer de uitkomsten:

Uitkomst	Betekenis	Vervolg
Terechte match, ongewenste handeling	De regel vindt een werkelijk risico	Handhaving en veilige werkwijze voorbereiden
Terechte match, legitiem proces	Detectie klopt, maar het proces is toegestaan	Voorwaarde verfijnen of smalle uitzondering ontwerpen
Onterechte match	De inhoud is niet werkelijk gevoelig	Informatietype, aantal instanties of betrouwbaarheid aanpassen
Verwachte match ontbreekt	De regel heeft een dekkingsgat	Locatie, scope, detectie en testbestand onderzoeken

Test ook de negatieve route. Een regel die één gecontroleerd testdocument vindt, kan alsnog normale facturen onterecht blokkeren. Omgekeerd kan een stille simulatie betekenen dat de gekozen locatie, groep of conditie niet klopt. Geen meldingen is dus niet automatisch goed nieuws.

Bouw de regel zo smal mogelijk op

Een beheersbare eerste regel richt zich op één scenario. Geef het beleid een naam die doel, gegevenssoort, bereik en fase duidelijk maakt, bijvoorbeeld Persoonsgegevens extern delen, Exchange en SharePoint, simulatie.

Controleer daarna bewust:

• welke Microsoft 365-locaties werkelijk nodig zijn;
• welke gebruikers of groepen in scope vallen;
• welke gevoelige informatietypen relevant zijn;
• hoeveel gevonden instanties de regel activeren;
• welk betrouwbaarheidsniveau passend is;
• of alleen extern delen telt of ook intern gebruik;
• welke gebruikersmelding verschijnt;
• of overschrijven is toegestaan en met welke motivering;
• wie een waarschuwing of incident ontvangt;
• welke uitzondering aantoonbaar nodig is.

Activeer niet zonder analyse tegelijk Exchange, Teams, SharePoint, OneDrive en endpoints. Iedere locatie heeft andere gegevensstromen en gebruikershandelingen. Een regel voor uitgaande e-mail kan een andere melding en uitzondering nodig hebben dan een regel voor een openbare SharePoint-link.

Controleer ook de licenties voordat je een ontwerp belooft. De beschikbare DLP-locaties, endpointfuncties, classificatieopties, rapportages en analyses hangen af van het abonnement. Bevestig de rechten in de actuele Microsoft-documentatie en de eigen contractgegevens. Baseer een project niet op een functie die alleen in een andere licentievorm beschikbaar is.

Schrijf een gebruikersmelding die gedrag verandert

Een melding als “Dit is geblokkeerd door beleid” helpt niemand. Een goede beleidstip beantwoordt vier vragen:

1. Welke categorie informatie is gevonden?
2. Waarom is deze handeling risicovol of niet toegestaan?
3. Wat is de veilige vervolgroute?
4. Waar kan de medewerker terecht als de detectie niet klopt?

Een werkbare tekst kan bijvoorbeeld zijn:

Dit bestand bevat waarschijnlijk meerdere identiteitsgegevens en kan niet met deze externe ontvanger worden gedeeld. Gebruik de goedgekeurde beveiligde overdracht of neem contact op met de servicedesk als dit een geautoriseerde uitzondering is.

Gebruik geen juridische taal als een korte handelingsinstructie volstaat. Test de melding met echte medewerkers uit de pilotgroep. Zij moeten begrijpen wat er is gevonden zonder dat je gevoelige inhoud onnodig in de melding herhaalt.

Kies bewust tussen waarschuwing, overschrijven en blokkeren

Niet ieder risico vraagt direct om blokkeren. Gebruik een oplopend handhavingsmodel:

Niveau	Ervaring voor medewerker	Geschikt wanneer
Alleen simuleren	Geen handhaving	Detectie en impact nog onderzocht worden
Beleidstip	Medewerker krijgt uitleg	Bewustwording en veilige alternatieven centraal staan
Overschrijven met reden	Handeling kan gemotiveerd doorgaan	Legitieme uitzonderingen bestaan en je die wilt analyseren
Blokkeren	Handeling stopt	De gegevensstroom volgens vastgesteld beleid niet is toegestaan

Een overschrijving is geen vrijblijvende knop. Beoordeel motiveringen periodiek. Veel herhaalde overschrijvingen met dezelfde reden wijzen op een te brede regel of een bedrijfsproces dat via een veiliger kanaal moet worden ingericht.

Maak uitzonderingen beperkt in tijd en scope. Een specifiek goedgekeurd domein, proces of groep is beter dan een complete afdeling uitsluiten. Leg bij iedere uitzondering eigenaar, zakelijke reden, goedkeurder, ingangsdatum, vervaldatum en herbeoordeling vast.

Richt waarschuwingen in als operationele werkvoorraad

DLP kan waarschuwingen en gebeurtenissen opleveren die in Microsoft Purview onderzocht moeten worden. Het DLP-waarschuwingsdashboard geeft bevoegde medewerkers een centrale plek om waarschuwingen te bekijken, filteren, onderzoeken en beheren. Microsoft groepeert bepaalde gerelateerde gebeurtenissen in een waarschuwing, zodat niet ieder signaal als los onderzoek hoeft te starten.

Spreek per ernst en scenario af hoe snel iemand kijkt:

Situatie	Richting voor opvolging
Mogelijke grote export naar externe ontvanger	Direct triëren en proceseigenaar betrekken
Geblokkeerde identiteitsgegevens	Dezelfde werkdag oorzaak en eventuele herhaling beoordelen
Gemotiveerde overschrijving	Binnen afgesproken reviewtermijn zakelijke reden controleren
Terugkerende waarschuwingen bij één proces	Regel en proces samen evalueren
Lage volumes zonder externe blootstelling	Bundelen in periodieke review

Leg bij onderzoek minimaal vast: tijdstip, locatie, informatietype, aantal gevonden instanties, interne of externe bestemming, toegepaste actie, beoordeling, eigenaar en vervolgactie. Kopieer niet onnodig de volledige gevoelige inhoud naar een ticket of e-mail. Beperk ook toegang tot onderzoeksinformatie.

Een DLP-match is niet automatisch een meldplichtig datalek. De privacyverantwoordelijke moet beoordelen of persoonsgegevens daadwerkelijk ongeoorloofd toegankelijk, gewijzigd, verloren of verstrekt zijn. Gebruik daarvoor het incidentproces van de organisatie en verzamel tijdig bewijs. Het Microsoft 365-auditlogboek inzien en exporteren kan aanvullend helpen om relevante gebruikers- en beheeractiviteiten te reconstrueren.

Meet of de beheersmaatregel echt werkt

Rapporteer niet alleen hoeveel beleid je hebt. Meet de kwaliteit van detectie en opvolging:

• percentage verwachte testscenario’s dat correct wordt gevonden;
• verhouding terechte en onterechte matches in steekproeven;
• aantal overschrijvingen en de meest gebruikte redenen;
• tijd tussen waarschuwing en eerste beoordeling;
• open waarschuwingen ouder dan de afgesproken termijn;
• uitzonderingen zonder eigenaar of naderende vervaldatum;
• terugkerende incidenten uit hetzelfde bedrijfsproces;
• regels die langer dan gepland in simulatie staan;
• wijzigingen die zonder vastgelegde goedkeuring zijn doorgevoerd.

Voer wekelijks een korte operationele controle uit op urgente en achterstallige waarschuwingen. Beoordeel maandelijks trends, overschrijvingen en uitzonderingen met de proceseigenaren. Herzie per kwartaal scope, rollen, licenties en gebruikersmeldingen. Test ten minste na grote wijzigingen in gevoelige informatietypen, samenwerkingsprocessen of Microsoft 365-configuratie opnieuw.

Bewaar ook een wijzigingslog met oude en nieuwe instelling, reden, goedkeurder, testresultaat en ingangsdatum. Zo kun je bij een audit uitleggen welke maatregel geldt, waarom die passend is en hoe je hebt gecontroleerd dat zij werkt.

Veelgemaakte fouten

Een compliancesjabloon direct inschakelen

Een sjabloon is een technisch startpunt en geen volledige risicoanalyse. Controleer gegevenssoorten, aantallen, locaties, meldingen en uitzonderingen in de context van jullie organisatie.

Simulatie zonder testplan

Alleen wachten op willekeurige matches bewijst niet dat de regel werkt. Test verwachte en onverwachte scenario’s en plan een expliciet beslismoment.

Alle locaties tegelijk activeren

Daardoor is moeilijk te zien welke workflow problemen veroorzaakt. Breid per scenario en locatie gecontroleerd uit.

Een hele afdeling uitzonderen

Een brede uitzondering vermindert ruis, maar opent ook een groot gat. Zoek de exacte legitieme gegevensstroom en beperk de uitzondering daarop.

Meldingen naar één persoon sturen

Bij verlof, ziekte of functiewijziging blijft onderzoek liggen. Gebruik een bewaakte werkvoorraad met vervanging en escalatie.

Iedere match als datalek behandelen

Een match is een signaal. Onderzoek blootstelling, ontvanger, toegepaste blokkade en context voordat de bevoegde rol een privacybeoordeling maakt.

Alleen techniek documenteren

Voor aantoonbare governance heb je ook eigenaar, risico, veilige werkwijze, testbewijs, incidentopvolging en evaluatiedatum nodig.

Praktische controlelijst voor ingebruikname

• Het beschermde gegevensrisico staat in één duidelijke zin beschreven.
• Proceseigenaar, security- of privacyrol en technisch beheerder zijn aangewezen.
• De gekozen locaties en functies passen bij de beschikbare licenties.
• Positieve en negatieve testscenario’s zijn uitgevoerd.
• Simulatieresultaten zijn met de proceseigenaar beoordeeld.
• False positives en gemiste detecties zijn onderzocht.
• De gebruikersmelding noemt een veilig alternatief en contactpunt.
• Overschrijven is alleen toegestaan waar dat zakelijk verantwoord is.
• Iedere uitzondering heeft eigenaar, reden, scope en vervaldatum.
• Waarschuwingen komen in een bewaakt proces met opvolgtermijnen.
• De servicedesk herkent de melding en kent de escalatieroute.
• Een wijzigingslog en periodieke review staan gepland.

Veelgestelde vragen

Kan DLP voorkomen dat medewerkers screenshots of foto’s maken?

Niet in iedere situatie. DLP beschermt ondersteunde locaties en gegevensstromen. Schermafbeeldingen, foto’s, niet-beheerde apparaten en niet-ondersteunde apps kunnen aanvullende maatregelen vragen. Combineer DLP daarom met apparaatbeheer, toegangsbeleid en training.

Werkt DLP in Teams?

Microsoft Purview kan DLP toepassen op ondersteunde Teams-gegevens, afhankelijk van licenties en configuratie. Bestanden in Teams zijn daarnaast gekoppeld aan SharePoint of OneDrive. Controleer chat- en kanaalberichten en bestandsdeling als afzonderlijke gegevensstromen.

Wat is het verschil tussen een gevoelig informatietype en een gevoeligheidslabel?

Een gevoelig informatietype herkent inhoud, zoals een identificatie- of rekeningnummer. Een gevoeligheidslabel classificeert informatie en kan bescherming toepassen. Een DLP-regel kan herkende inhoud, labels en context gebruiken om een actie te bepalen.

Hoe lang moet een beleid in simulatie blijven?

Er is geen vaste universele termijn. De periode moet de relevante bedrijfscyclus bevatten en voldoende testbewijs opleveren. Spreek vooraf criteria en een beslisdatum af, zodat simulatie geen permanente eindstatus wordt.

Moeten we medewerkers een overschrijving toestaan?

Alleen als legitieme uitzonderingen bestaan en de organisatie de redenen werkelijk beoordeelt. Voor gegevensstromen die volgens beleid nooit zijn toegestaan, is blokkeren met een veilige alternatieve route logischer.

Is een DLP-waarschuwing automatisch een datalek?

Nee. Het is een signaal dat onderzocht moet worden. De bevoegde privacy- of securityrol beoordeelt of informatie werkelijk ongeoorloofd toegankelijk, verloren, gewijzigd of verstrekt is en welke vervolgactie nodig is.

Vervangt DLP correcte SharePoint-rechten?

Nee. DLP kan detecteren of ingrijpen bij bepaalde gevoelige gegevensstromen, maar herstelt geen te brede site-, bibliotheek- of gastrechten. Toegangsbeheer blijft een aparte basismaatregel.

Hoe maken we DLP aantoonbaar voor ISO 27001 of NIS2?

Bewaar de risicoafweging, beleidsscope, eigenaar, testresultaten, uitzonderingen, waarschuwingen, opvolgacties en periodieke reviews. Het bestaan van een regel is minder sterk bewijs dan een regel waarvan werking en beheer aantoonbaar zijn.

Gebruikte Microsoft-bronnen

De productwerking, beleidsopbouw, simulatiemodus en waarschuwingafhandeling zijn op 3 september 2026 gecontroleerd tegen actuele Microsoft Learn-pagina’s. De onderstaande links zijn schoon en bevatten geen trackingparameters:

• Learn about data loss prevention
• Create and deploy a data loss prevention policy
• Data Loss Prevention policy reference
• Get started with the DLP Alerts dashboard