Know your data: waarom inzicht in je data de basis is van security, compliance en AI

Veel organisaties investeren in beveiliging. Ze plaatsen firewalls, gebruiken virusscanners en richten steeds meer securitymaatregelen in. Toch blijft één vraag vaak onbeantwoord: waar staat de écht gevoelige data van de organisatie? Volgens Danny Werdler, Cloud Consultant bij IT-Value, begint daar juist alles. Of je nu aan de slag wilt met AI, compliance, governance of databeveiliging: zonder inzicht in je data blijf je werken op basis van aannames. 

Waarom veel organisaties hun eigen data niet écht kennen

Wie aan Danny vraagt waar Microsoft Purview voor bedoeld is, krijgt geen technisch verhaal over scans, labels of dashboards. Hij begint bij de basis. “Voordat je iets kunt beschermen of beperken, moet je eerst weten welke data je hebt. Dat klinkt logisch, maar in de praktijk blijkt dat voor veel organisaties lastig.” Dat geldt volgens hem voor vrijwel iedere sector. Organisaties weten vaak welke systemen ze gebruiken, maar hebben veel minder zicht op de informatie die daarin rondgaat. Welke documenten zijn bedrijfskritisch? Welke gegevens mogen absoluut niet uitlekken? Welke informatie valt onder wet- en regelgeving? “Wij noemen dat vaak de kroonjuwelen van een organisatie. Welke informatie zou echt een probleem vormen als die morgen op straat ligt?” Die vraag blijkt verrassend lastig te beantwoorden, omdat data zich door de jaren heen verspreidt over Teams, OneDrive, SharePoint, e-mail en allerlei andere systemen. Bovendien verandert een organisatie voortdurend. Er komen nieuwe medewerkers, nieuwe processen en nieuwe documenten bij. Danny: “Dat is precies waarom de fase ‘Know your data’ zo belangrijk is.” Dit onderwerp past dan weer prima bij de fase ‘Kijken’ binnen onze beproefde methodiek. 

AI begint niet bij technologie, maar bij inzicht

Steeds meer organisaties willen AI inzetten. Vaak ontstaat dan direct de vraag hoe Copilot, AI-agents of andere oplossingen veilig kunnen worden gebruikt. 

Volgens Danny wordt ook daarbij soms een belangrijke stap overgeslagen. “Veel organisaties willen AI-ready worden. Maar voordat je kunt bepalen welke data een AI-oplossing mag gebruiken, moet je eerst weten waar die data staat en hoe gevoelig die is.” Daarom ziet Danny Know your data niet als een los project, maar als de basis onder vrijwel iedere moderne datastrategie. Wie die stap overslaat, loopt tegen problemen aan bij security, governance, compliance en AI. “Uiteindelijk kom je altijd weer terug bij dezelfde vraag: welke data hebben we eigenlijk en hoe gaan we daarmee om?” 

Waarom Microsoft Purview hierbij een belangrijke rol speelt 

Microsoft Purview helpt organisaties om dat inzicht te krijgen. Het platform maakt zichtbaar waar gevoelige informatie zich bevindt en welke risico’s daarbij horen. 

Volgens Danny zit de kracht niet alleen in de techniek, maar vooral in het totaalplaatje. 

“Purview biedt een verzameling mogelijkheden waarmee je data kunt classificeren, beveiligen en beheren. Daarmee kun je beleid koppelen aan de informatie zelf.” 

Dat klinkt misschien als een klein verschil, maar volgens Danny is het fundamenteel anders dan traditionele beveiliging. “We hebben jarenlang vooral de muren rondom onze data beschermd. Firewalls, virusscanners, netwerkbeveiliging. Maar we hebben veel minder gekeken naar de data zelf. We zijn vaak bezig geweest met het opvangen van problemen. Terwijl je eigenlijk naar de bron moet kijken.” Door data te classificeren en van de juiste labels te voorzien, ontstaat veel meer controle. Organisaties kunnen bijvoorbeeld bepalen welke documenten mogen worden gedeeld, welke informatie versleuteld moet blijven en wanneer gegevens automatisch vernietigd moeten worden. 

Waarom aannames gevaarlijk zijn

Een van de meest opvallende praktijkvoorbeelden die Danny noemt, komt uit de zorgsector. Een organisatie was ervan overtuigd dat gevoelige cliëntgegevens uitsluitend in het elektronisch cliëntendossier aanwezig waren. Medewerkers konden documenten bekijken, maar volgens de organisatie stonden deze gegevens nergens anders opgeslagen. Danny besloot dat te testen. “We kregen een voorbeeldsjabloon aangeleverd en hebben Purview ingericht om vergelijkbare documenten te herkennen. Vervolgens bleek dat dezelfde informatie op veel meer plekken aanwezig was dan gedacht.” 

Documenten werden teruggevonden in e-mailboxen, Teams-omgevingen en persoonlijke opslaglocaties. Dit liet zien hoe gemakkelijk informatie zich binnen een organisatie verspreidt. 

“De organisatie had goede processen ingericht. Alleen niemand kon met zekerheid zeggen dat een document na gebruik ook overal weer werd verwijderd. Dat inzicht zorgde voor een belangrijk gesprek. Niet over techniek, maar over risico’s, verantwoordelijkheden en beleid.”

Know your data is geen project, maar een proces

Volgens Danny maken veel organisaties dezelfde fout: ze zien Know your data als een eenmalige exercitie. In werkelijkheid verandert data voortdurend. Nieuwe documenten worden aangemaakt, processen wijzigen en wetgeving ontwikkelt zich verder. 

“Je kunt niet aannemen dat wat vandaag klopt, over twee jaar nog steeds klopt.” 

Daarom hoort bij een volwassen data-aanpak ook een proces van evalueren, bijsturen en controleren. Labels moeten worden gecontroleerd, classificaties moeten worden aangescherpt en afdelingen moeten blijven nadenken over hun kroonjuwelen. 

Dat vraagt niet alleen techniek, maar ook betrokkenheid vanuit de organisatie zelf. 

“Je moet met afdelingen in gesprek blijven. Welke data gebruiken jullie? Wat zijn de risico’s? Wat is voor jullie bedrijfskritisch? Dat blijft een doorlopend proces.” 

Hierom kiezen organisaties voor IT-Value

Hoewel Microsoft Purview een belangrijke rol speelt, benadrukt Danny dat technologie nooit het volledige antwoord is. “Wij kijken niet alleen naar de tooling. We kijken vooral naar de vraag wat een organisatie probeert op te lossen.” Volgens hem zit daar ook het verschil met veel grotere partijen. IT-Value combineert diepgaande kennis van Microsoft-oplossingen met ervaring op het gebied van governance, security en datamanagement. Daardoor ontstaat een advies dat verder gaat dan het implementeren van een product. 

“Wij proberen organisaties niet een standaardoplossing te verkopen. We willen eerst begrijpen wat hun risico’s zijn, welke data belangrijk is en welke aanpak daarbij past. 

Dat maatwerk zorgt ervoor dat organisaties niet blijven hangen in aannames, maar daadwerkelijk grip krijgen op hun data. Want wie zijn data kent, kan betere keuzes maken. Over security. Over compliance. En uiteindelijk ook over AI”, besluit Danny.