DLP in Microsoft 365: zo voorkom je dat gevoelige data lekt

Met DLP (Data Loss Prevention) in Microsoft 365 voorkom je dat gevoelige gegevens zoals BSN’s, paspoortkopieën of klantdossiers per ongeluk je organisatie verlaten. Het zit in Microsoft Purview en werkt in Outlook, Teams, SharePoint, OneDrive en zelfs op de apparaten van je medewerkers. In dit artikel lees je wat DLP precies doet, welke licentie je nodig hebt, hoe je stap voor stap een eerste DLP-beleid opzet en waar je op moet letten zodat je team gewoon door kan werken.

Kort samengevat

• 🔒 DLP in Microsoft 365 heet officieel Microsoft Purview Data Loss Prevention. Het herkent gevoelige informatie en grijpt in als iemand die verkeerd deelt.
• 📍 Het werkt in Exchange Online, SharePoint, OneDrive, Teams, op apparaten en in een aantal andere locaties.
• 💼 Voor het MKB is Microsoft 365 Business Premium meestal het startpunt. Wil je meer, dan bestaat er een Purview-uitbreiding.
• 🧪 Begin klein: één beleid, eerst testen, dan pas blokkeren. Zo voorkom je dat collega’s vastlopen.
• 👀 DLP is geen “instellen en vergeten”. Meldingen beoordelen en regels bijstellen hoort er vast bij.

Inhoudsopgave

• Wat is DLP in Microsoft 365?
• Hoe herkent DLP gevoelige informatie?
• Waar werkt DLP in Microsoft 365?
• Welke licentie heb je nodig voor DLP?
• Een DLP-beleid opzetten in 6 stappen
• Voorbeeld: een eerste beleid voor een administratiekantoor
• Meldingen, beleidstips en uitzonderingen
• Beperkingen en valkuilen
• DLP en de AVG
• Onze kijk op DLP voor het MKB
• DLP laten inrichten en beheren
• Veelgestelde vragen
• Bronnen

Wat is DLP in Microsoft 365?

DLP staat voor Data Loss Prevention, in het Nederlands: preventie van gegevensverlies. Volgens Microsoft helpt DLP om gevoelige gegevens te beschermen tegen blootstelling, misbruik of verlies door te identificeren, te bewaken en te beheren hoe die gegevens worden gebruikt en gedeeld.

In de praktijk betekent dat: Microsoft 365 kijkt mee als iemand een bestand deelt, een mail verstuurt of een bericht in Teams plaatst. Staat daar iets gevoeligs in, zoals een burgerservicenummer of een creditcardnummer? Dan kan het systeem waarschuwen, om een reden vragen of de actie blokkeren.

Microsoft beschrijft drie kernfuncties:

1. Gegevens ontdekken: zien waar je gevoelige informatie staat.
2. Gegevens beschermen: regels toepassen die het gebruik ervan beperken.
3. Onderzoeken en reageren: inzicht krijgen in overtredingen, zodat je kunt bijsturen.

Het antwoord op de vraag “heeft Microsoft 365 DLP?” is dus ja. Het is geen los product van een andere partij, maar een onderdeel van Microsoft Purview, de verzameling compliance- en beveiligingstools binnen Microsoft 365.

Hoe herkent DLP gevoelige informatie?

DLP zoekt niet simpelweg naar een woord in een tekst. Microsoft legt uit dat DLP-beleid gebruikmaakt van diepe inhoudsanalyse: het combineert patronen, trefwoorden, reguliere expressies en machine learning om gevoelige items te vinden.

De bouwstenen daarvan heten typen gevoelige informatie, of SIT’s (sensitive information types). Microsoft levert er al heel veel kant-en-klaar mee. Voor Nederlandse bedrijven is handig dat daar specifieke Nederlandse typen tussen zitten, zoals het burgerservicenummer (BSN), het rijbewijsnummer, het paspoortnummer en fiscale gegevens.

Een SIT kijkt bijvoorbeeld naar:

• 🔢 Het patroon: heeft een getal het juiste aantal cijfers en de juiste opbouw?
• ✅ Een controlegetal: klopt de checksum, zodat een willekeurig getal niet meteen alarm slaat?
• 🔤 Woorden in de buurt: staat “BSN” of “burgerservicenummer” in de buurt van het getal?

Hoe meer van die signalen samenkomen, hoe zekerder DLP is dat het echt om gevoelige data gaat. Dat zekerheidsniveau kun je in je beleid gebruiken: bij lage zekerheid alleen een tip tonen, bij hoge zekerheid blokkeren.

Waar werkt DLP in Microsoft 365?

Een DLP-beleid koppel je aan één of meer locaties. In de beleidsreferentie van Microsoft staan de volgende locaties:

Voor de meeste MKB-bedrijven zijn e-mail, SharePoint, OneDrive en Teams de belangrijkste plekken. Daar gebeurt het meeste delen, en daar gaat het dus ook het vaakst mis. Heb je nog een eigen server? Lees dan ook ons artikel over Microsoft 365 of een eigen server.

Welke licentie heb je nodig voor DLP?

Is Microsoft DLP gratis? Niet helemaal. Het zit niet in elk Microsoft 365-abonnement, en de mogelijkheden verschillen per licentie. Dit is wat Microsoft zelf aangeeft:

• Microsoft 365 Business Premium: de versie zonder Teams voor de Europese markt biedt volgens Microsoft preventie van gegevensverlies en gevoeligheidslabels met Microsoft Purview Informatiebeveiliging. Voor de meeste MKB-bedrijven is dit het logische startpunt.
• Purview Suite voor Business Premium: een uitbreiding die onder meer preventie van gegevensverlies toevoegt aan Business Premium, met uitgebreidere mogelijkheden.
• Enterprise-licenties: organisaties met Microsoft 365 E3, EMS + Office E3 of een versie zonder Teams komen in aanmerking voor de Purview Suite.

Heb je Business Basic of Business Standard? Dan heb je de DLP-functies uit dit artikel meestal niet, of maar beperkt. Check dus eerst wat je nu afneemt, voordat je aan beleid begint. Licenties en prijzen wijzigen regelmatig, dus kijk voor de actuele stand op de pagina’s van Microsoft.

💡 Tip: Business Premium bevat meer dan alleen DLP. Denk aan Intune voor devicebeheer en extra beveiliging op inloggen. Combineer DLP altijd met een sterke basis, zoals MFA voor Microsoft 365. DLP helpt weinig als een aanvaller gewoon kan inloggen met een gestolen wachtwoord.

Een DLP-beleid opzetten in 6 stappen

Microsoft verdeelt een DLP-implementatie in vier fasen: plannen en ontwerpen, oplossingen implementeren, beleidsregels maken en verfijnen, en incidenten onderzoeken. Voor een MKB-bedrijf werken we dat graag uit in zes concrete stappen.

1. Breng in kaart welke data gevoelig is

Microsoft noemt het identificeren en categoriseren van gevoelige items de cruciale eerste stap. Stel jezelf een paar vragen:

• Welke persoonsgegevens verwerken we? Denk aan BSN’s, ID-kopieën, medische of financiële gegevens.
• Waar staan die gegevens nu? In SharePoint, in mailboxen, in een eigen map op iemands OneDrive?
• Wie moet er echt bij kunnen?

Een handig hulpmiddel hierbij is de inventarisatie van je AVG-verplichtingen in Microsoft 365. Wat je daar opschrijft, wordt straks de basis van je beleid.

2. Kies een sjabloon of bouw zelf

In de Purview-portal vind je onder Preventie van gegevensverlies kant-en-klare sjablonen. Een sjabloon is een prima begin. Je kunt daarna zelf SIT’s toevoegen of weghalen.

3. Kies de locaties

Begin met de plekken waar het meeste risico zit. Voor veel bedrijven is dat Exchange (mail naar buiten) en OneDrive (delen met externen). Teams en apparaten kun je in een tweede ronde toevoegen.

4. Stel de regels en acties in

Een regel bestaat uit voorwaarden en acties. Bijvoorbeeld: “als de inhoud minimaal één BSN bevat en gedeeld wordt met iemand buiten de organisatie, dan…”. De actie kan zijn: een beleidstip tonen, de beheerder waarschuwen, of de verzending blokkeren.

5. Test eerst, blokkeer later

Zet het beleid niet direct op blokkeren. In de DLP-beleidsreferentie beschrijft Microsoft dat je een beleid eerst in simulatie kunt laten draaien. Dan zie je welke gebeurtenissen het beleid zou raken, zonder dat iemand wordt tegengehouden. Laat dit een paar weken lopen en kijk hoeveel treffers er zijn en of die terecht zijn.

6. Zet het aan en blijf bijstellen

Daarna zet je het beleid stap voor stap scherper: eerst tips, dan blokkeren met de mogelijkheid om een reden op te geven, en pas bij duidelijke gevallen volledig blokkeren. Plan een vast moment, bijvoorbeeld maandelijks, om meldingen te bekijken en regels aan te passen.

Voorbeeld: een eerste beleid voor een administratiekantoor

Zo kan een eerste beleid eruitzien voor een kantoor met twintig medewerkers dat loonadministratie doet voor klanten. Dit is een voorbeeld om de opbouw te laten zien, geen vast recept.

Waarom zo? Eén BSN in een mail aan een klant over zijn eigen loonstrook is vaak gewoon werk. Een bestand met tientallen BSN’s naar een onbekend adres is dat bijna nooit. Door een drempel te gebruiken, hou je het werk soepel en vang je de echt risicovolle gevallen.

Meldingen, beleidstips en uitzonderingen

Een goed DLP-beleid is niet alleen een slot op de deur. Het is ook een leermiddel voor je team.

Beleidstips 💬 zijn korte meldingen in Outlook, Teams of de browser. Ze laten een medewerker zien dat er gevoelige data in het bericht staat, nog vóór het verzonden wordt. Microsoft noemt dit een manier om gebruikers compliant te houden zonder hun werkstroom te onderbreken.

Gebruikersoverschrijvingen ✍️ geven een medewerker de ruimte om toch door te gaan, mits hij een zakelijke reden opgeeft. Dat voorkomt onnodige blokkades. De reden wordt vastgelegd, zodat je later kunt zien wie wat waarom deed.

Waarschuwingen voor beheerders 🚨 komen samen op één plek. DLP-waarschuwingen herken je aan een id die begint met “dl” en ze verschijnen in de wachtrij voor waarschuwingen in de Microsoft Defender-portal. Daar kun je ze beoordelen, naast andere beveiligingsmeldingen.

Wil je achteraf precies nagaan wat er met een bestand is gebeurd? Dan komt de M365 audit log van pas. En moet je bij een incident bewijs veiligstellen, lees dan hoe eDiscovery in Microsoft 365 werkt.

Beperkingen en valkuilen

DLP is krachtig, maar niet magisch. Microsoft noemt zelf een paar aandachtspunten:

• ⚠️ Vals-positieven: een factuurnummer dat toevallig lijkt op een BSN, of een testbestand met nepdata. Te veel valse meldingen en je team gaat ze negeren.
• 🧩 Complexiteit: goed beleid opstellen en onderhouden kost tijd en kennis. Je organisatie verandert, dus je beleid moet meebewegen.
• 💶 Kosten: naast de licentie zijn er kosten voor inrichting, integratie en het dagelijks opvolgen van meldingen.
• ⏳ Vertraging bij Copilot: wijzigingen in een DLP-beleid kunnen tot vier uur duren voordat ze werken in Microsoft 365 Copilot en Copilot Chat.

Daarnaast stelt Microsoft dat goede preventie van gegevensverlies een combinatie van tools vraagt die samenwerken, in plaats van één systeem. DLP vangt bijvoorbeeld geen foto die iemand met zijn telefoon van het scherm maakt. Ook een slecht ingerichte SharePoint-omgeving, waar iedereen overal bij kan, los je niet op met DLP. Daarvoor heb je goede rechten en een heldere structuur nodig, zoals bij een doordachte inrichting van SharePoint en Teams.

DLP en de AVG

De AVG verplicht je niet om DLP te gebruiken. Wel moet je passende maatregelen nemen om persoonsgegevens te beschermen. DLP is één van de technische maatregelen waarmee je dat kunt laten zien.

Het werkt het best als je privacy al vanaf het begin meeneemt in hoe je werkt en welke systemen je kiest. Dat principe heet privacy by design onder de AVG, en het past goed bij de manier waarop je DLP plant: eerst bepalen welke gegevens je hebt en waarom, dan pas regels bouwen.

Vraag je je ook af waar je data fysiek staat? Lees dan meer over de datalocatie van Microsoft 365 in Nederland. Gaat het toch een keer mis, dan moet je een datalek in veel gevallen melden bij de Autoriteit Persoonsgegevens. Twijfel je of een incident meldplichtig is, overleg dan met je functionaris gegevensbescherming of een privacyjurist.

Onze kijk op DLP voor het MKB

We zien DLP vaak als laatste stap genoemd worden, terwijl het pas goed werkt als het fundament klopt. Een DLP-beleid op een omgeving zonder MFA, zonder beheerde apparaten en met mappen die iedereen kan openen, is als een alarm op een huis waarvan de achterdeur openstaat.

Daarom beginnen we bij klanten altijd met de basis: veilige toegang, beheerde werkplekken en een duidelijke structuur in SharePoint en Teams. Pas daarna bouwen we DLP op, klein en in simulatie, zodat niemand vastloopt.

Wat ons ook opvalt: medewerkers willen het meestal gewoon goed doen. Een beleidstip die op het juiste moment verschijnt, doet vaak meer dan een blokkade. Blokkeren bewaren we voor de duidelijke gevallen. En omdat we 24/7 monitoren en je ons direct kunt bellen, zonder ticketsysteem, lossen we een onterechte blokkade snel op. Zo blijft DLP een hulpmiddel en geen obstakel.

— Mick

DLP laten inrichten en beheren

Je kunt DLP zelf inrichten, maar het vraagt tijd: de juiste licentie kiezen, beleid opzetten, testen en meldingen blijven opvolgen. Bij ASTIA nemen we dat graag van je over, als onderdeel van het volledige beheer van je Microsoft 365-omgeving. Je betaalt een vast bedrag per werkplek en hebt één aanspreekpunt voor je hele IT.

Benieuwd wat dit voor jouw bedrijf betekent? Bekijk onze aanpak voor IT-beveiliging voor het MKB of lees meer over Microsoft 365-beheer uitbesteden.

Veelgestelde vragen

Heeft Microsoft 365 standaard DLP?

Microsoft 365 heeft DLP via Microsoft Purview, maar niet in elk abonnement. In Microsoft 365 Business Premium zit preventie van gegevensverlies inbegrepen. Bij Business Basic en Business Standard ontbreken deze functies grotendeels.

Is Microsoft DLP gratis?

Nee, je betaalt ervoor via je licentie. DLP zit in onder meer Business Premium en de enterprise-suites, en met de Purview Suite kun je uitbreiden. Sommige Purview-functies worden daarnaast per gebruik afgerekend.

Blokkeert DLP ook het werk van mijn medewerkers?

Dat hangt af van hoe je het instelt. Met beleidstips en gebruikersoverschrijvingen kan een medewerker met een zakelijke reden toch doorgaan. Door eerst in simulatie te testen, zie je vooraf welke acties het beleid zou raken.

Herkent DLP Nederlandse gegevens zoals een BSN?

Ja. Microsoft Purview heeft ingebouwde typen gevoelige informatie voor onder meer het Nederlandse burgerservicenummer, rijbewijs, paspoort en fiscale gegevens. Die kun je direct in je beleid gebruiken.

Werkt DLP ook met Microsoft 365 Copilot?

Ja, Copilot is een DLP-locatie, al staat die op het moment van schrijven nog in preview. Houd er rekening mee dat wijzigingen in je beleid tot vier uur kunnen duren voordat ze in Copilot werken.

Bronnen

• Wat is preventie van gegevensverlies (DLP)? | Microsoft
• Data privacy protection: protect and govern | Microsoft Learn
• Definities van typen gevoelige informatie | Microsoft Learn
• Data Loss Prevention policy reference | Microsoft Learn
• Data Loss Prevention policy reference, beleidsmodus en overschrijvingen | Microsoft Learn
• Microsoft 365-beveiliging: prijzen voor bedrijven (zonder Teams) | Microsoft
• Microsoft Purview Suite voor Microsoft 365 Business Premium | Microsoft
• Microsoft Purview Beheer van insider-risico’s | Microsoft
• Describe data loss prevention alerts | Microsoft Learn
• Waarschuwingen onderzoeken in Microsoft Defender XDR | Microsoft Learn
• Microsoft Purview DLP voor Microsoft 365 Copilot | Microsoft Learn

Aanbevelingen

• Microsoft 365 datalocatie Nederland: waar staat jouw data?
• eDiscovery in Microsoft 365: zo vind en bewaar je bewijs
• AVG en Microsoft 365: hoe u de werkomgeving veilig en compliant inricht
• M365 audit log voor IT-beheerders: snel starten