Automatisch Verwijderen Van Oude Browserdata Uitgeschakeld

Het BrowserDataMigrationEnabled-beleid bepaalt of Microsoft Edge automatisch oude browserdata kan migreren en opschonen tijdens upgrades of profielswitches. Voor bedrijfsomgevingen moet deze functie uitgeschakeld zijn om vier kritieke redenen. Ten eerste is audittrail-preservatie essentieel: automatische datacleanup kan forensisch belangrijke browsergeschiedenis verwijderen die nodig is voor compliance-verificatie en juridische procedures. Ten tweede vereisen regelgevingsvereisten vaak behoud van gebruikersactiviteitslogs voor gespecificeerde bewaartermijnen. Automatisch verwijderen tijdens migraties overtreedt deze vereisten en kan leiden tot complianceproblemen. Ten derde moet bij beveiligingsincidenten de volledige browsergeschiedenis beschikbaar blijven voor tijdlijnreconstructie en forensisch onderzoek. Ten vierde vereisen bedrijfsomgevingen beheerde, geplande migraties met back-upprocedures, niet ongecontroleerde automatische cleanup die IT-beheerders geen controle geeft over wanneer en welke data wordt verwijderd.

Implementatie

Deze control configureert BrowserDataMigrationEnabled op 0 via het register (HKLM:\SOFTWARE\Policies\Microsoft\Edge\BrowserDataMigrationEnabled = 0). Dit voorkomt dat Edge automatisch oude browserdata verwijdert tijdens migraties of upgrades. Gegevensretentie blijft beheerd door IT-beheerders via centraal beleid, waardoor organisaties volledige controle behouden over wanneer en hoe data wordt verwijderd.

Vereisten

Voordat deze control kan worden geïmplementeerd, moeten organisaties voldoen aan een aantal essentiële vereisten die ervoor zorgen dat de uitschakeling van automatische datamigratie op een veilige en gecontroleerde manier plaatsvindt. Deze vereisten vormen de basis voor een effectieve implementatie die zowel beveiliging als compliance waarborgt.

Ten eerste is een geïnstalleerde Microsoft Edge-browser vereist op alle werkstations binnen de organisatie. Dit lijkt vanzelfsprekend, maar het is cruciaal om te verifiëren dat alle endpoints daadwerkelijk gebruikmaken van Microsoft Edge en niet van andere browsers, omdat deze control alleen van toepassing is op Edge. Organisaties moeten een inventarisatie uitvoeren van alle apparaten die Edge gebruiken en een overzicht hebben van eventuele uitzonderingen waarbij andere browsers worden gebruikt voor specifieke toepassingen.

Ten tweede is een uitgebreid gegevensretentiebeleid met gespecificeerde bewaartermijnen essentieel. Dit beleid moet duidelijk definiëren hoe lang verschillende typen browserdata moeten worden bewaard, rekening houdend met regelgevingsvereisten zoals de AVG, WOO en sectorale compliance-standaarden. Het beleid moet specifiek zijn over browsergeschiedenis, cookies, cache, downloads en andere datatypen. Organisaties moeten ook procedures hebben voor het archiveren en verwijderen van data na het verstrijken van de bewaartermijn, zodat IT-beheerders weten wanneer en hoe data veilig kan worden verwijderd zonder complianceproblemen te veroorzaken.

Ten derde zijn robuuste back-upprocedures voor browsermigraties onmisbaar. Wanneer automatische migratie is uitgeschakeld, moeten IT-beheerders zelf geplande migraties uitvoeren met adequate back-ups. Deze procedures moeten stap-voor-stap instructies bevatten voor het maken van back-ups vóór migraties, het verifiëren van back-upsucess, en het herstellen van data indien nodig. Organisaties moeten testprocedures hebben waarbij migraties worden uitgevoerd in een testomgeving voordat ze in productie worden toegepast, om te garanderen dat geen data verloren gaat tijdens het proces.

Ten vierde zijn beheerde upgrade- en migratieprocedures cruciaal. In plaats van automatische updates die Edge op de achtergrond uitvoert, moeten organisaties een proces hebben waarbij upgrades worden gepland, getest en gecontroleerd uitgevoerd. Dit omvat een change management-proces waarbij upgrades worden aangekondigd, gepland en gecommuniceerd met gebruikers. IT-beheerders moeten de mogelijkheid hebben om upgrades in fases uit te rollen, beginnend met een pilotgroep, om eventuele problemen te identificeren voordat de volledige organisatie wordt bijgewerkt.

Daarnaast moeten organisaties monitoring- en verificatieprocedures hebben om te controleren of de automatische datamigratie daadwerkelijk is uitgeschakeld en dat data niet onbedoeld wordt verwijderd. Dit omvat regelmatige controles van het register en verificatie dat het beleid correct is toegepast op alle endpoints.

Implementatie

Gebruik PowerShell-script delete-old-browser-data-disabled.ps1 (functie Invoke-Remediation) – PowerShell-script voor uitschakeling van automatische datamigratie.

De implementatie van deze control kan op verschillende manieren worden uitgevoerd, afhankelijk van de beheerinfrastructuur van de organisatie. De meest voorkomende en aanbevolen aanpak is via Microsoft Intune, waarmee het beleid centraal kan worden beheerd en automatisch op alle endpoints kan worden toegepast. Voor organisaties die nog gebruikmaken van Group Policy Objecten (GPO) is een alternatieve implementatiemethode beschikbaar via Active Directory.

Voor implementatie via Microsoft Intune begint het proces in het Intune-beheercentrum. IT-beheerders navigeren naar de sectie Configuration profiles, waar nieuwe beleidsregels kunnen worden aangemaakt en beheerd. Het is belangrijk om te selecteren voor apparaten met Windows 10 of hoger, aangezien deze control specifiek is voor moderne Windows-versies die Microsoft Edge ondersteunen. Binnen de Configuration profiles wordt gekozen voor het aanmaken van een nieuw profiel van het type Settings catalog, wat de meest flexibele manier is om Edge-beleid te configureren.

In de Settings catalog moet worden gezocht naar Microsoft Edge-beleid. De catalogus biedt een uitgebreide lijst met configureerbare Edge-instellingen, georganiseerd per functionaliteit. IT-beheerders typen 'BrowserDataMigrationEnabled' in het zoekveld of navigeren naar de Microsoft Edge-sectie en zoeken naar het specifieke beleid. Het is belangrijk om de juiste beleidsinstelling te selecteren, aangezien Edge veel vergelijkbaar klinkende beleidsregels heeft die verschillende functionaliteiten beïnvloeden.

Zodra het BrowserDataMigrationEnabled-beleid is gevonden, moet deze worden ingesteld op False, wat overeenkomt met de waarde 0 in het register. Deze instelling schakelt de automatische datamigratie volledig uit en zorgt ervoor dat Edge geen browserdata automatisch verwijdert tijdens upgrades of profielswitches. Na het configureren van deze instelling moet het profiel een beschrijvende naam krijgen die duidelijk aangeeft wat het doel is, zoals 'Edge - Uitschakeling Automatische Datamigratie', en optioneel kan een beschrijving worden toegevoegd met details over waarom dit beleid is geïmplementeerd.

De laatste cruciale stap is het toewijzen van het profiel aan de juiste gebruikers of apparaten. Afhankelijk van de organisatiestructuur kan dit worden gedaan via gebruikersgroepen, apparaatgroepen of combinaties daarvan. Het is aan te raden om het profiel eerst toe te wijzen aan een pilotgroep van gebruikers of apparaten om te verifiëren dat het beleid correct wordt toegepast zonder onverwachte gevolgen. Na succesvolle verificatie kan het beleid worden uitgebreid naar de volledige organisatie.

Voor organisaties die nog gebruikmaken van Group Policy kan het beleid ook worden geconfigureerd via een GPO in Active Directory. In de Group Policy Management Console wordt een nieuw beleidsobject aangemaakt of een bestaand object gewijzigd. Onder Computer Configuration of User Configuration wordt genavigeerd naar Administrative Templates, gevolgd door Microsoft Edge. Het BrowserDataMigrationEnabled-beleid wordt gevonden en ingeschakeld met de waarde 0. Het beleid wordt vervolgens gekoppeld aan de relevante organisatie-eenheden waar het moet worden toegepast.

Na implementatie via beide methoden is verificatie essentieel. IT-beheerders moeten controleren of het register op endpoints daadwerkelijk de waarde 0 bevat op het pad HKLM:\SOFTWARE\Policies\Microsoft\Edge\BrowserDataMigrationEnabled. Dit kan worden gedaan via het meegeleverde PowerShell-script voor monitoring of handmatig via de register-editor. Het is belangrijk om regelmatig te verifiëren dat het beleid blijft gehandhaafd en niet wordt overschreven door andere configuraties of door gebruikers met lokale beheerrechten.

Monitoring

Gebruik PowerShell-script delete-old-browser-data-disabled.ps1 (functie Invoke-Monitoring) – Controleert datamigratie uitgeschakelde status.

Effectieve monitoring van deze control is essentieel om te garanderen dat automatische datamigratie blijft uitgeschakeld en dat de organisatie voldoet aan compliance-vereisten. Monitoring moet zowel technisch als procesmatig worden aangepakt, met regelmatige controles en verificaties op verschillende niveaus binnen de organisatie.

De primaire technische monitoringmethode is verificatie van de registerinstelling op endpoints. Het registerpad HKLM:\SOFTWARE\Policies\Microsoft\Edge\BrowserDataMigrationEnabled moet de waarde 0 bevatten om te bevestigen dat automatische datamigratie is uitgeschakeld. Deze verificatie kan worden geautomatiseerd via het meegeleverde PowerShell-script Invoke-Monitoring, dat op afstand kan worden uitgevoerd op endpoints om de status te controleren. Het script kan worden geïntegreerd in bestaande monitoringtools of worden uitgevoerd als onderdeel van regelmatige compliance-audits. Organisaties moeten deze controle minimaal maandelijks uitvoeren, en vaker bij grote wijzigingen zoals Edge-upgrades of belangrijke migraties.

Naast technische verificatie is procesmatige monitoring cruciaal om te garanderen dat audittrails daadwerkelijk worden behouden tijdens updates en upgrades. Dit omvat verificatie dat browsergeschiedenis en andere relevante data niet onbedoeld worden verwijderd wanneer Edge wordt bijgewerkt naar nieuwe versies. IT-beheerders moeten procedures hebben om vóór en na belangrijke updates te controleren of historische data nog beschikbaar is. Dit kan worden gedaan door steekproefsgewijs te verifiëren op representatieve endpoints of door gebruikers te vragen te bevestigen dat hun browsergeschiedenis nog toegankelijk is na updates.

Gegevensretentiecompliance moet regelmatig worden gemonitord om te garanderen dat de organisatie voldoet aan regelgevingsvereisten. Dit omvat verificatie dat browserdata wordt bewaard voor de vereiste bewaartermijnen zoals gespecificeerd in het gegevensretentiebeleid. Monitoring moet controleren of data niet te vroeg wordt verwijderd, wat complianceproblemen zou veroorzaken, maar ook of oude data wordt verwijderd na het verstrijken van de bewaartermijn, wat onnodige opslagkosten en privacyrisico's met zich meebrengt. Organisaties moeten rapportagesystemen hebben die aangeven wanneer data de bewaartermijn nadert of heeft overschreden, zodat IT-beheerders tijdig actie kunnen ondernemen.

Monitoring moet ook aandacht besteden aan uitzonderingen en bijzondere gevallen. Soms kunnen endpoints het beleid niet correct ontvangen door netwerkproblemen, ontbrekende machtigingen of conflicterende configuraties. Monitoringtools moeten deze uitzonderingen identificeren en melden, zodat IT-beheerders proactief kunnen ingrijpen voordat complianceproblemen ontstaan. Daarnaast moet worden gemonitord of nieuwe endpoints automatisch het beleid ontvangen wanneer ze aan de organisatie worden toegevoegd, om te garanderen dat ook nieuwe apparaten vanaf het begin correct zijn geconfigureerd.

Voor organisaties met strikte compliance-vereisten kan monitoring worden uitgebreid met forensische verificaties waarbij daadwerkelijk wordt gecontroleerd of historische browsergeschiedenis beschikbaar is voor forensisch onderzoek. Dit kan worden gedaan als onderdeel van periodieke beveiligingsbeoordelingen of incidentresponse-oefeningen. Het doel is niet alleen om te verifiëren dat de technische configuratie correct is, maar ook om te bevestigen dat de beoogde bedrijfsresultaat - behoud van forensisch belangrijke data - daadwerkelijk wordt bereikt.

Compliance en Audit

Het uitschakelen van automatische browsermigratie en datacleanup is cruciaal voor naleving van verschillende internationale en nationale compliance-standaarden en regelgevingsvereisten. Deze control ondersteunt organisaties bij het voldoen aan verplichtingen met betrekking tot logbehoud, audittrail-preservatie en incidentresponscapaciteiten die essentieel zijn voor moderne informatiebeveiligingsmanagement.

Voor ISO 27001:2022, de internationale standaard voor informatiebeveiligingsmanagementsystemen, is deze control direct relevant voor controle A.8.15 over logging. Deze controle vereist dat organisaties logging-mechanismen implementeren die audittrails genereren, opslaan en beschermen voor gespecificeerde bewaartermijnen. Door automatische datacleanup uit te schakelen, garanderen organisaties dat browsergeschiedenis en gebruikersactiviteitslogs niet onbedoeld worden verwijderd voordat de vereiste bewaartermijn is verstreken. Dit is met name belangrijk voor organisaties die moeten aantonen dat ze volledige en onveranderlijke logs hebben behouden voor auditdoeleinden, wat een kernvereiste is voor ISO 27001-certificering.

Gegevensretentie-regelgevingsvereisten, zoals opgelegd door de Algemene Verordening Gegevensbescherming (AVG) in Europa en soortgelijke privacywetgeving wereldwijd, vereisen dat organisaties data bewaren voor gespecificeerde perioden wanneer dit wettelijk verplicht is. Tegelijkertijd moeten organisaties data verwijderen wanneer de bewaartermijn is verstreken om te voldoen aan het principe van dataminimalisatie. Automatische datacleanup schendt deze vereisten door data te verwijderen op onvoorspelbare momenten die niet in overeenstemming zijn met het gegevensretentiebeleid van de organisatie. Door deze control te implementeren, behouden organisaties controle over wanneer data wordt verwijderd, waardoor ze kunnen voldoen aan zowel bewaarplichten als verwijderingsvereisten op een gecontroleerde en gedocumenteerde manier.

Voor SOC 2-audits, die vooral belangrijk zijn voor organisaties die cloudservices leveren of verwerken, is auditlogretentie een kritieke vereiste. SOC 2 Type II-audits vereisen dat organisaties aantonen dat ze adequate logging- en monitoringmechanismen hebben die logs behouden voor voldoende perioden om beveiligingsincidenten te detecteren en te onderzoeken. Door browsergeschiedenis en gebruikersactiviteitslogs te behouden via deze control, kunnen organisaties voldoen aan SOC 2-vereisten voor logretentie en incidentrespons. Dit is met name relevant voor organisaties waarbij browseractiviteit kan wijzen op beveiligingsincidenten, zoals onbevoegde toegang, datalekken of andere kwaadwillende activiteiten.

De NIS2-richtlijn, de Europese Network and Information Systems-richtlijn die in 2024 in werking is getreden, vereist in Artikel 21 dat essentiële en belangrijke entiteiten incidentdetectie- en onderzoekcapaciteiten hebben. Dit omvat het vermogen om beveiligingsincidenten te identificeren, analyseren en onderzoeken, wat vaak afhankelijk is van beschikbare logdata en historische informatie. Door automatische datacleanup uit te schakelen en browsergeschiedenis te behouden, ondersteunt deze control organisaties bij het voldoen aan NIS2-vereisten voor incidentdetectiecapaciteiten. Dit is met name belangrijk omdat browseractiviteit vaak de eerste indicator kan zijn van beveiligingsincidenten, zoals phishingpogingen, malware-infecties of onbevoegde toegang tot systemen.

Naast deze specifieke standaarden is deze control ook relevant voor andere compliance-frameworks zoals de BIO (Baseline Informatiebeveiliging Overheid) in Nederland, die vergelijkbare vereisten stelt aan logbehoud en incidentrespons. Voor overheidsorganisaties die moeten voldoen aan de WOO (Wet Open Overheid) is het behouden van audittrails belangrijk voor transparantie en verantwoording. Organisaties in de financiële sector die moeten voldoen aan financiële regelgeving kunnen deze control gebruiken om te garanderen dat browseractiviteit wordt behouden voor compliance- en auditdoeleinden.

Voor auditingdoeleinden moeten organisaties kunnen aantonen dat deze control correct is geïmplementeerd en wordt gehandhaafd. Dit omvat documentatie van het beleid, bewijs van implementatie op endpoints, en bewijs van regelmatige monitoring en verificatie. Auditoren zullen willen verifiëren dat het register correct is geconfigureerd, dat het beleid wordt toegepast op alle relevante endpoints, en dat er procedures zijn voor het behouden van data in overeenstemming met gegevensretentievereisten. Organisaties moeten ook kunnen aantonen dat ze processen hebben voor gecontroleerde datacleanup wanneer de bewaartermijn is verstreken, om te garanderen dat ze voldoen aan zowel bewaarplichten als verwijderingsvereisten.

Remediatie

Gebruik PowerShell-script delete-old-browser-data-disabled.ps1 (functie Invoke-Remediation) – Herstelt de correcte configuratie voor uitschakeling van automatische datamigratie.

Wanneer monitoring of audits aangeven dat automatische datamigratie niet correct is uitgeschakeld, moet onmiddellijk remediatie worden uitgevoerd om de configuratie te herstellen en compliance-risico's te mitigeren. Remediatie moet systematisch worden aangepakt, beginnend met identificatie van de oorzaak van het probleem, gevolgd door correctie van de configuratie en verificatie dat het probleem is opgelost.

Het meegeleverde PowerShell-script Invoke-Remediation biedt geautomatiseerde remediatie die de registerinstelling correct configureert op endpoints waar het beleid ontbreekt of onjuist is ingesteld. Het script controleert eerst de huidige status van de registerinstelling en past deze alleen aan indien nodig, wat voorkomt dat correct geconfigureerde endpoints worden gewijzigd. Het script kan worden uitgevoerd via Intune Remediation, waardoor het automatisch kan worden geactiveerd wanneer monitoring detecteert dat het beleid niet correct is geïmplementeerd.

Voor handmatige remediatie moeten IT-beheerders de register-editor openen op het betrokken endpoint en navigeren naar HKLM:\SOFTWARE\Policies\Microsoft\Edge. Als de map Edge niet bestaat, moet deze worden aangemaakt. Vervolgens wordt de DWORD-waarde BrowserDataMigrationEnabled aangemaakt of aangepast naar 0. Het is belangrijk om te verifiëren dat de wijziging correct is toegepast door de registerwaarde opnieuw te controleren na het sluiten van de editor.

Na remediatie moet worden onderzocht waarom het beleid niet correct was toegepast. Mogelijke oorzaken zijn netwerkproblemen die verhinderden dat endpoints het Intune-beleid ontvingen, conflicterende GPO's die het beleid overschreven, of lokale wijzigingen door gebruikers met beheerrechten. Deze oorzaken moeten worden aangepakt om te voorkomen dat het probleem opnieuw optreedt. Voor endpoints met conflicterende configuraties moet worden bepaald welke configuratie prioriteit heeft en of de conflicterende bron moet worden verwijderd of aangepast.

Voor endpoints waar data mogelijk al is verwijderd door automatische cleanup, moet worden geëvalueerd of deze data kan worden hersteld vanuit back-ups. Als back-ups beschikbaar zijn, moet worden overwogen of herstel zinvol is gezien de kosten en inspanning versus de waarde van de verwijderde data. Dit besluit moet worden genomen in overleg met compliance- en juridische teams, vooral als de verwijderde data relevant kan zijn voor lopende of toekomstige audits of incidentenonderzoeken.

Na succesvolle remediatie moet de monitoringfrequentie tijdelijk worden verhoogd om te garanderen dat het probleem niet opnieuw optreedt. Daarnaast moeten processen worden verbeterd om soortgelijke problemen in de toekomst te voorkomen, zoals betere communicatie bij wijzigingen aan configuraties, verbeterde monitoringtools, of extra controles voordat belangrijke wijzigingen worden doorgevoerd.

Compliance & Frameworks

• ISO 27001:2022: A.8.15 - audittrail-preservatie
• NIS2: Artikel - Incidentdetectie en onderzoek

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Schakel automatische browsermigratie uit (BrowserDataMigrationEnabled = 0) om audittrails te behouden. Voorkomt ongecontroleerde dataverwijdering tijdens upgrades en ondersteunt compliance-vereisten. Implementatietijd: 15-30 minuten.

• Implementatietijd: 0.75 uur
• FTE required: 0.005 FTE