Microsoft Office 365 compliance: veiligheid en recordsmanagement

Waar de cloud tot voor enkele jaren geleden vooral in overheidsorganisaties een no go was voor de archivering van ongestructureerde informatie, lijkt het nu welhaast een onontkoombare keuze. Ik vraag de deelnemers in mijn cursus weleens waarom hun organisatie heeft gekozen voor Office 365. Of wat de doorslag heeft gegeven. En hoe het in hun ICT-architectuur gaat passen. Tussen andere tooling die misschien wel hier en daar dezelfde of overlappende functionaliteit heeft te bieden. Het blijkt dan soms niet zo duidelijk wat Office 365 allemaal te bieden heeft. Of juist niet helemaal kan bieden. Dat is ook lastig, aangezien het tempo van vernieuwing in het product nauwelijks door een professional – met meer te doen dan Microsoft blogs vertalen-naar-de-eigen-organisatie – is bij te houden. En compliance in de Microsoft cloud – het kan. Maar niet alles kan en nog niet alles is nu al mogelijk; enkele bevindingen om te delen.

Organisaties zien steeds beter dat ze hun ongestructureerde informatie in tal van systemen onderbrengen en daarmee de toenemend gevoelde compliance last op al die plaatsen zouden moeten inlossen. Financiële documenten in het financiële systeem, contracten in het contractbeheersysteem, personeelsdossiers in het personeelssysteem, afdelingsdocumenten op de fileshares, etc.  Gezien de afzonderlijke functionaliteiten waarvoor die systemen zijn aangeschaft gaat het niet aan om alle documenten altijd beter in één systeem onder te brengen. Met alle koppelingen en complexiteit van dien. De gedachte achter Office 365 is dat één compliance paraplu  -om veiligheid en recordsmanagement onder één set van beleid en functionaliteiten te brengen – de organisatie tot voordeel is. Efficiënter om dit zoveel mogelijk vanuit één punt te laten regelen. En veiliger om minder aan dat beleid en die functionaliteiten te kunnen laten ontsnappen.

Het is dus zaak om voor processen die afweging te maken: wat kan nu of straks waar ondergebracht. Het is dan nodig om te weten wat Office 365 te bieden heeft voor veiligheid en recordsmanagement. Wat lastig is: dat verandert nog voortdurend. En bovendien: sommige functionaliteiten overlappen met eerder toegevoegde, soms in een andere vorm bestaande functionaliteiten. Zo beschikt SharePoint Online over de al veel langer in SharePoint bestaande mogelijkheden: 1. Records-ter-plaatse; 2. Verzending naar het recordcenter met bewaarbeleid o.b.v. inhoudstypen; 3. Verzending naar het recordcenter met bewaarbeleid o.b.v. metadata en recordbibliotheken.

Office 365 biedt inmiddels voor vrijwel alle content, dus bijvoorbeeld voor zowel e-mails in Exchange als documenten in SharePoint,  een nieuwe vorm van bewaarbeleid door labels. Labels hebben meer functionaliteit dan recordsmanagement alleen. Ze kunnen bijvoorbeeld ook content kenmerken om de vertrouwelijkheid te bevorderen. Of voorkomen of beperken dat content verzonden wordt naar buiten. Of privacygevoelige informatie automatisch kenmerken. Of op een hele Groep toegepast. Maar labels kunnen dus ook in een bewaarbeleid toegepast en werken wel degelijk.

Deze nieuwe functionaliteit heeft dus juist in deze tijd met (over-)gevoeligheid voor privacy, lekkage en openbaarheid dus veel te brengen. En juist de gedachte om dan zoveel mogelijk ongestructureerde content on deze paraplu te brengen heeft dan meerwaarde. Twee belangrijke beperkingen zijn er dan wel.

• Wie verwacht de complexiteit van selectielijsten met hun potentieel wisselende termijnen (bv. bij bezwaar) te kunnen toepassen moet het nog even doen met een splinternieuwe functionaliteit voor resultaatgerichte archivering. Waarbij wel het traditionele idee van zaakdossiers, bevattende content van verschillende aard vooralsnog hoog gegrepen is. Dat zal een zaaksysteem uitkomst bieden (en zelfs dat zou met Dynamics en SharePoint Online in Office 365 kunnen worden gerealiseerd). Maar dat laat niet onverlet dat er strategieën mogelijk zijn voor toepassing van de labels bij risicovolle, maar minder complex geordende content.
• De andere beperking is dat geautomatiseerde toekenning van de labels aan content op dit moment (nog?) is beperkt tot abonnement E5: ‘Note that auto-apply labels require an Office 365 Enterprise E5 subscription.’ (hfdst : Applying a label automatically based on conditions). Abonnement E3 biedt (vooralsnog?) alleen handmatige toekenning van labels. Je kunt Office 365 E3 wel uitbreiden met Azure Information Protection Plan 2. Daar zit ook automatisch labels toekennen in. dan heb je ook de mogelijkheid om AIP scanning toe te passen, voor automatische classificatie ten behoeve van informatiebeveiliging.

Handmatig archiveren… Dat is aardig, maar verwacht van de eindgebruiker een eigen extra handeling om te archiveren. En we weten dat zo’n extra handeling meestal een brug te ver is. Automatiseren is het enige wat archieven nog kan redden.