Waarom gewone e-mail niet genoeg is voor gevoelige gegevens
Exchange Online verstuurt e-mail naar andere mailservers meestal over een versleutelde verbinding (TLS). Dat beschermt het bericht onderweg, maar niet daarna. Bij de ontvanger staat het als gewoon leesbaar bericht in de mailbox. Wie daar toegang toe krijgt, kan het lezen, en de ontvanger kan het zonder drempel doorsturen. Gaat een bericht naar het verkeerde adres, bijvoorbeeld door automatisch aanvullen in Outlook, dan is de inhoud direct bij de verkeerde persoon.
Voor persoonsgegevens vraagt de AVG om passende beveiliging. Bij gegevens zoals een burgerservicenummer, een kopie identiteitsbewijs, salarisgegevens of medische informatie is versleuteld versturen een logische en controleerbare maatregel. Een met een wachtwoord beveiligd zip-bestand, waarbij het wachtwoord in dezelfde of de volgende mail staat, biedt die bescherming niet.
Wat Message Encryption doet
Microsoft Purview Message Encryption versleutelt het bericht zelf en de Office-bijlagen, en koppelt er rechten aan. Alleen de ontvangers die u heeft geadresseerd, kunnen het openen. In Outlook kiest een medewerker uit twee standaardopties:
- Versleutelen. Het bericht blijft versleuteld en alleen de geadresseerden kunnen het lezen. Geschikt voor de meeste gevoelige berichten.
- Niet doorsturen. Het bericht is versleuteld en de ontvanger kan het bovendien niet doorsturen, afdrukken of kopiëren. Handig voor bijvoorbeeld een loonstrook of een vertrouwelijk advies.
U vindt de opties in Outlook bij het opstellen van een bericht, onder Opties of via de knop Versleutelen. Gebruikt u gevoeligheidslabels, dan kunt u versleuteling ook aan een label koppelen, zodat een medewerker alleen ‘Vertrouwelijk’ hoeft te kiezen.
Wat de ontvanger ziet
Een ontvanger die zelf Outlook met Microsoft 365 gebruikt, opent het bericht zoals elk ander bericht. Een ontvanger met een ander e-mailadres, zoals Gmail of een eigen domein bij een andere provider, krijgt een bericht met een knop om het te lezen. Die opent een beveiligde webpagina van Microsoft, waar de ontvanger zich aanmeldt met een Google- of Microsoft-account, of een eenmalige code per e-mail ontvangt. Daar kan de ontvanger ook versleuteld antwoorden.
Leg dat vooraf uit aan klanten die dit voor het eerst krijgen. Een onverwachte mail met ‘klik hier om uw bericht te lezen’ lijkt op phishing. Een korte zin in de begeleidende tekst of op uw website voorkomt dat de ontvanger het bericht negeert of bij u terugbelt.
Automatisch versleutelen met regels
Medewerkers vergeten de knop weleens. Met een e-mailstroomregel in het Exchange-beheercentrum versleutelt u daarom automatisch. Gebruikelijke regels in het MKB:
- Vast woord in het onderwerp. Bevat het onderwerp bijvoorbeeld [versleuteld], dan wordt het bericht versleuteld. Makkelijk uit te leggen en te onthouden.
- Bepaalde afzenders of afdelingen. Alle externe mail van de salarisadministratie of HR gaat versleuteld de deur uit.
- Gevoelige inhoud. Met datalekpreventie herkent Microsoft 365 bijvoorbeeld burgerservicenummers of IBAN’s en kan het zulke berichten versleutelen of tegenhouden.
Licenties en grenzen
Message Encryption zit standaard in Microsoft 365 Business Premium en in de E3- en E5-abonnementen. Bij Business Basic of Business Standard heeft u een aanvullende licentie nodig; dat is een van de punten om mee te wegen bij het kiezen van een abonnement. Extra mogelijkheden, zoals een verloopdatum op versleutelde berichten of een verzonden bericht intrekken, vallen onder Advanced Message Encryption en vragen een E5-licentie of een add-on.
Versleuteling is niet altijd de beste vorm. Voor grote bestanden of een dossier waar u samen aan werkt, is een deellink naar alleen specifieke personen vaak handiger; lees daarvoor ook onze uitleg over externe deling in SharePoint en OneDrive. Werkt u in de zorg, dan gelden vaak aanvullende afspraken, zoals de norm NTA 7516 voor veilig mailen met medische gegevens. En versleuteling zegt niets over de echtheid van de afzender; daarvoor zijn SPF, DKIM en DMARC nodig.
Hoe Floor ICT dit regelt
Floor ICT controleert eerst of uw licenties Message Encryption bevatten en of het in uw omgeving actief is. We bepalen met u welke gegevens altijd versleuteld moeten, maken de e-mailstroomregels en, waar u dat wilt, de koppeling met gevoeligheidslabels. We testen het met een ontvanger buiten Microsoft 365, zodat u weet wat uw klant te zien krijgt, en geven medewerkers een korte instructie: wanneer versleutelen, wanneer Niet doorsturen en wanneer een deellink. Als onderdeel van onze beheerdienst passen we de regels aan wanneer uw werkwijze verandert.