Hoe beheert u het Microsoft 365-beleid voor het bewaren van e-mail?

E-mail blijft de primaire manier waarop bedrijven communiceren en communiceren met de wereld. Daarom is het van cruciaal belang om een strikt beleid voor het bewaren van e-mail te voeren en dit toe te passen op Microsoft 365. Standaard bewaart het veelgebruikte platform e-mails totdat ze handmatig worden verwijderd, wat risico's voor compliance en cyberbeveiliging met zich mee kan brengen. Het gebruikt ook waardevolle serverruimte.

Het probleem wordt nog gecompliceerder door onopzettelijke verwijdering en gegevensverlies, omdat mappen met berichten verloren gaan door onopzettelijk klikken of kwaadwillige activiteiten. Het enorme aantal berichten in typische bedrijfsomgevingen maakt het risico alleen maar groter.

Daarom moeten bedrijven hun huidige Microsoft 365 e-mail retentiebeleid herzien en begrijpen hoe ze instellingen in het platform kunnen bijwerken en wijzigen om beter aan de behoeften van het bedrijf te voldoen. Een andere vraag is of de retentie- en archiveringsmogelijkheden verder moeten worden uitgebreid dan wat Microsoft biedt met een externe leverancier van e-mailbeveiliging en archiefdiensten.

Het belang van een beleid voor het bewaren van e-mail

E-mail fungeert tegenwoordig als het centrale zenuwstelsel van een organisatie. Het bevat bedrijfsgeheimen, klantgegevens en andere bedrijfseigen informatie, en het raakt steeds meer aan wettelijke en juridische eisen, cyberbeveiligingsbehoeften en regels inzake gegevensprivacy.

De eerste stap naar het formuleren van een effectievere e-mailbewaringsstrategie is na te gaan welke e-mailgegevens er zijn, wat moet worden beschermd, en welke berichten uit een systeem kunnen en moeten worden verwijderd. Volgens Microsoft zijn er drie sleutelfactoren die centraal staan in een e-mail retentie strategie:[1]

• Voldoen aan branchevoorschriften en intern beleid: Het gaat hierbij om mandaten zoals de California Consumer Privacy Act (CCPA) en de General Data Protection Regulation (GDPR) van de Europese Unie voor gegevensprivacy, de Health Insurance Portability and Accountability Act (HIPAA) voor persoonlijke gezondheidsinformatie, de Sarbanes-Oxley Act voor boekhoudkundige en financiële openbaarmakingen en de eigen normen van uw bedrijf voor de juiste procedures en het gedrag van uw werknemers. Veel van deze voorschriften bevatten specifieke termijnen voor het bewaren of verwijderen van e-mail. Verschillende bedrijfstakken zijn onderworpen aan verschillende voorschriften, en zelfs binnen een organisatie kunnen de afdelingsverplichtingen verschillen.
• Vermindering van risico's in verband met een inbreuk op de beveiliging en/of rechtszaken: Beleid voor het bewaren en verwijderen van e-mail kan veel minder van uw gevoelige gegevens blootstellen aan risico's op het gebied van cyberbeveiliging. Ze kunnen ook informatie bewaren die u ooit nodig zou kunnen hebben voor een juridische verdediging.
• Prestaties optimaliseren: Het juiste kader vermindert niet alleen de behoefte aan opslag, maar zorgt er ook voor dat werknemers alleen zien wat voor hen relevant is.

Inleiding tot het Microsoft 365 retentiebeleid

Gegevensclassificatie vormt de basis voor het beleid voor het bewaren van e-mail. Het is geen taak om licht op te vatten.[2] Het kan de inbreng van verschillende leiders en teams binnen de organisatie vereisen. Maar zodra een organisatie een duidelijk beeld heeft van hoe, wanneer en waar berichten en de bijbehorende gegevens moeten worden bewaard en verwijderd, is het mogelijk beleidsregels op te stellen die aansluiten bij specifieke rollen en verantwoordelijkheden.

Binnen Microsoft 365 kunnen beheerders een archiverings- en verwijderingsbeleid opstellen dat items automatisch naar een gewenste locatie verplaatst. Een beheerder begint met het maken van een retentiebeleid in het platform met behulp van gevoeligheidslabels en retentietags.[3] Een regel kan worden toegewezen aan specifieke mailboxen en worden geprogrammeerd om items naar een archief te verplaatsen en ze vervolgens te verwijderen op basis van leeftijd en andere parameters.

Hier volgt een illustratief voorbeeld van hoe een organisatie een e-mailbewaarbeleid zou kunnen instellen en de zojuist beschreven hulpmiddelen zou kunnen gebruiken om dit te implementeren: Een beheerder kan een archiefmailbox aanmaken voor iedereen in de organisatie of voor verschillende groepen werknemers. De beheerder kan bepaalde groepen berichten labelen om ze na drie jaar automatisch te archiveren en zo ruimte vrij te maken in de primaire mailbox van een gebruiker. Na vijf jaar worden items in de map "verwijderde items" naar een verborgen map met verwijderde items gestuurd, waar ze, indien nodig, nog kunnen worden teruggehaald. Tenslotte wist het systeem na zeven jaar de berichten in zowel het archief als de verborgen mappen.

Retentiebeleid instellen voor Microsoft 365

Microsoft beveelt een aanpak in vier stappen aan voor het opzetten van een retentiekader:[4]

1. Archiveer mailboxen inschakelen: Het Microsoft 365-platform biedt tools voor bulkbewerking voor het instellen van groepen mailboxen. Het maakt ook een geïndividualiseerde behandeling van specifieke werknemers mogelijk.
2. Maak nieuwe retentietags voor het archief- en verwijderingsbeleid: Dit omvat het toevoegen van een naam, retentieactie en retentieperiode. Het omvat ook een aangepaste tag voor standaard verwijderingsbeleid en een aangepaste tag voor bewaarbeleid voor de map met verwijderde items.
3. Maak een nieuw retentiebeleid: Met behulp van aangepaste tags is het mogelijk om specifiek beleid toe te wijzen op basis van de verschillende criteria.
4. Wijs het nieuwe retentiebeleid toe aan gebruikerspostvakken: Telkens wanneer een beheerder een nieuw postvak maakt, krijgt dit automatisch de naam "standaard MRM". Microsoft beperkt het aantal retentiebeleidslijnen dat aan een account is gekoppeld tot één, dus het is belangrijk om de standaardnaam te vervangen door de nieuwe retentiebeleidslijn die in de vorige stap is gemaakt.

Verwijderde e-mails kunnen bijna voor onbepaalde tijd in het Microsoft 365-platform worden bewaard door het standaard Messaging Records Management (MRM) te herconfigureren van 30 naar 24.855 dagen.[5]

Beheer van bewaarbeleid en auditlogs

Het beheer van uw e-mail retentiebeleid is geen eenmalige activiteit; het moet periodiek worden geëvalueerd en herzien. Zoals een juridisch adviseur het formuleerde: "Verschuivingen in de staats- en federale wetgeving, verfijningen van de regelgeving en voortschrijdende technologie zijn slechts enkele van de externe invloeden die regelmatig toezicht vereisen om in overeenstemming te blijven." [6]

Een andere voortdurende overweging betreft het bijhouden van auditlogs als dagelijkse gedetailleerde verslagen die bewijs kunnen leveren als een kwaadwillende een cyberaanval lanceert of een werknemer zich bezighoudt met ongeoorloofde activiteiten.[7]

Externe e-maildienstverleners zoals Mimecast bieden uitbreidingen op de mogelijkheden voor e-mailretentie van Microsoft 365 , met webgebaseerde consoles en granulaire beheerfuncties waarmee beheerders beleidsregels kunnen instellen, handhaven en afdwingen, activiteiten kunnen volgen en auditen en gerelateerde tools kunnen integreren voor bijvoorbeeld e-discovery.

De kern van de zaak

Microsoft 365 e-mail retentie uitvoeren op de standaardinstellingen is geen recept voor goede naleving van de regelgeving, cybersecurity en operationele efficiëntie. Een organisatie moet gegevens classificeren, een e-mailbewaarbeleid formuleren dat specifiek is voor haar behoeften en controles instellen om ervoor te zorgen dat werknemers zich aan haar beleid en regels houden. Veel van deze activiteiten kunnen worden afgehandeld op het Microsoft 365-platform, terwijl meer robuuste functionaliteit beschikbaar is bij e-mail service providers van derden, zoals Mimecast.

[1] "Meer informatie over retentiebeleid en retentielabels,"

[2] "Ken uw gegevens - overzicht gegevensclassificatie," Microsoft

[3] "Meer informatie over gevoeligheidslabels," Microsoft

[4] "Een archiverings- en verwijderingsbeleid instellen voor postbussen in uw organisatie," Microsoft

[5] "Behoud van verwijderde items en quota's voor terug te halen items configureren," Microsoft

[6] "7 factoren waarmee rekening moet worden gehouden voordat een beleid voor het bewaren van e-mail wordt opgesteld," Special Counsel

[7] "Doorzoek het auditlogboek om algemene ondersteuningsproblemen te onderzoeken," Microsoft