Gids · Management: Copilot en oversharing: wat je eerst regelt in SharePoint

Microsoft 365 Copilot laat medewerkers alleen gegevens zien waar ze al bij kunnen. Dat klinkt veilig, maar het betekent ook dat Copilot elke te ruime toegang benut. Een map die openstaat voor de hele organisatie was vroeger lastig te vinden. Met Copilot is één vraag genoeg. Wie Copilot wil invoeren, regelt daarom eerst drie dingen: weten waar gegevens te breed gedeeld zijn, gevoelige plekken tijdelijk afschermen en daarna samen met de eigenaren opruimen. Dat is geen technisch project, maar een reeks besluiten.

Waarom Copilot oversharing zichtbaar maakt

Copilot verandert niets aan de rechten in SharePoint. Microsoft schrijft dat Copilot alleen organisatiegegevens toont waar een gebruiker minimaal leesrechten op heeft, en dat het daarbij gebruikmaakt van dezelfde toegangsregels als de rest van Microsoft 365.

Het verschil zit in vindbaarheid. Zonder Copilot moest iemand weten waar een document stond en ernaar zoeken. Met Copilot vraagt een medewerker gewoon "wat verdienen de collega's van mijn team?" of "welke contracten lopen er met leverancier X?". Staan die gegevens op een plek waar die medewerker technisch bij kan, dan kunnen ze in het antwoord terechtkomen.

Dat heet oversharing: gegevens die voor meer mensen toegankelijk zijn dan nodig. Het probleem bestond al. Copilot maakt het alleen sneller zichtbaar.

Wat oversharing in de praktijk is

Oversharing ontstaat zelden bewust. Het groeit mee met jaren samenwerken. De meest voorkomende vormen:

• Sites die openstaan voor iedereen. De groep Iedereen behalve externe gebruikers (Everyone except external users) bevat automatisch alle interne medewerkers. Staat die groep op een site, dan kan de hele organisatie erbij.
• Deellinks die blijven werken. Een link voor iedereen (Anyone) werkt zonder in te loggen. Een link voor de hele organisatie geeft elke medewerker toegang tot het gedeelde bestand of de map.
• Gasten die nooit zijn opgeruimd. Externe gebruikers die ooit voor een project zijn uitgenodigd, houden toegang tot iemand ze verwijdert.
• Mappen met eigen rechten. Waar de overerving van rechten is verbroken, gelden andere regels dan op de site eromheen.
• Sites zonder eigenaar. Als niemand verantwoordelijk is, controleert ook niemand wie erbij kan.

In het artikel SharePoint in kaart brengen met AI lees je hoe je deze patronen over alle sites heen zichtbaar maakt.

Vijf besluiten voor het management

De techniek is het kleinste deel van het werk. Wat een Copilot-uitrol veilig maakt, zijn vijf besluiten die alleen het management kan nemen.

1. Wie is eigenaar van de opvolging? Iemand moet verantwoordelijk zijn voor wat er gevonden wordt, en de tijd krijgen om het op te lossen. Zonder eigenaar blijft een inventarisatie een rapport in een la.
2. Welke gegevens zijn gevoelig? Personeelsdossiers, salarissen, contracten, financiële cijfers, medische of juridische stukken. De organisatie weet welke sites die bevatten, de techniek niet.
3. Begin je met een pilot? Copilot eerst voor een kleine groep geeft tijd om te zien wat er naar boven komt, voordat iedereen ermee werkt.
4. Eerst afschermen of eerst opruimen? Opruimen kost tijd. Gevoelige sites tijdelijk buiten Copilot houden kan de uitrol versnellen, maar is geen vervanging voor opruimen.
5. Wie bewaakt het daarna? Rechten groeien weer scheef zodra niemand oplet. Spreek af wie regelmatig kijkt, en hoe vaak.

Wat Microsoft je biedt met een Copilot-licentie

Bij een Copilot-licentie hoort SharePoint Advanced Management. Microsoft noemt dat in zijn eigen stappenplan voor een veilige basis onder Copilot. Daarmee krijg je onder meer:

• Rapporten over gegevenstoegang (Data access governance). Die laten zien welke sites het breedst gedeeld zijn, waar de groep Iedereen behalve externe gebruikers is gebruikt en waar recent veel deellinks zijn gemaakt.
• Een controle door site-eigenaren (Site access review). Je vraagt de eigenaar van een site om de rechten na te lopen.
• Toegang beperken tot een groep (Restricted access control). Alleen leden van een gekozen groep komen nog op de site.
• Inhoud uit Copilot houden (Restricted Content Discovery). De site verdwijnt uit Copilot en uit het zoeken in de hele organisatie.

Let op één voorwaarde. Volgens de documentatie van Microsoft hoort bij SharePoint Advanced Management een Enterprise-basisabonnement, zoals Microsoft 365 E3 of E5. Business-abonnementen staan niet in die lijst. Werk je met Business Premium, controleer dan vooraf welke van deze functies je echt krijgt.

Afschermen is geen opruimen

Restricted Content Discovery is handig, maar het wordt vaak verkeerd begrepen. Microsoft is er duidelijk over:

• Het verandert geen rechten. Wie toegang had, heeft die nog steeds en kan het document gewoon openen.
• Het is bedoeld als tijdelijke maatregel, om tijd te kopen voor een controle.
• Het werkt alleen voor SharePoint-sites, niet voor OneDrive.
• Wie het te breed inzet, maakt Copilot minder bruikbaar, omdat er minder inhoud overblijft voor antwoorden.

Afschermen voorkomt dus dat Copilot een gevoelige map aanhaalt, maar de medewerker die per ongeluk toegang heeft, houdt die toegang. Het echte werk blijft het rechtzetten van de rechten.

Een stappenplan in vier fases

Microsoft verdeelt het werk in drie pijlers: oversharing oplossen, vangrails instellen en aan regelgeving voldoen. Voor een MKB-organisatie werkt een eenvoudige volgorde in vier fases.

1. Inventariseren

Breng in kaart waar gevoelige gegevens staan en wie erbij kan. Welke sites staan open voor iedereen, welke deellinks werken nog, welke gasten zijn er, en welke sites hebben geen eigenaar meer? Zonder dit overzicht kies je in het donker.

2. Tijdelijk afschermen

Heb je de mogelijkheid, houd de meest gevoelige sites dan tijdelijk buiten Copilot terwijl je ze controleert. Doe dit gericht, alleen voor sites waar het risico het grootst is.

3. Opruimen met de eigenaren

Leg de bevindingen voor aan de eigenaren van de sites. Klopt de toegang nog? Kan de link weg? Hoort deze gast er nog bij? Rechten zijn er niet voor niets. Wie opruimt zonder te overleggen, legt werk stil.

4. Borgen

Spreek af hoe het goed blijft: wie eigenaar is van welke site, welke regels er gelden voor extern delen, en wanneer je opnieuw kijkt. Microsoft adviseert de rapporten over rechten elk kwartaal te draaien en de activiteitenrapporten elke maand.

Veelgemaakte misverstanden

• "Copilot uitstellen lost het op." Nee. De te ruime rechten bestaan nu al. Een medewerker die zoekt, vindt dezelfde gegevens, alleen langzamer.
• "We zetten alles dicht." Dan wordt Copilot onbruikbaar en gaan mensen gegevens buiten SharePoint delen. Het doel is juiste toegang, niet zo min mogelijk toegang.
• "Dit is een IT-klus." De inventarisatie is technisch. De keuzes over wat gevoelig is, wie erbij mag en wie het bewaakt, horen bij het management.

Zo begin je

1. Wijs een eigenaar aan die de opvolging trekt.
2. Maak een lijst van de gevoeligste soorten gegevens en de sites waar ze waarschijnlijk staan.
3. Breng de rechten in kaart. Met SharePoint Advanced Management via de rapporten over gegevenstoegang, of met een eenmalige, volledige SharePoint Audit.
4. Bespreek de bevindingen met de site-eigenaren en ruim stap voor stap op. Hoe je SharePoint daarna logisch inricht, lees je bij Microsoft 365 en SharePoint.
5. Spreek af wie het bijhoudt. Dat kan intern, of uitbesteed via SharePoint-beheer.