Related Matches Cloud Service Uitgeschakeld

De Related Matches functionaliteit in Microsoft Edge analyseert bezochte websites en suggereert gerelateerde content via Microsoft cloud services. Hoewel deze functionaliteit voor consumenten handig kan zijn, brengt het voor organisaties aanzienlijke privacyrisico's met zich mee die niet overeenkomen met de beveiligings- en privacyvereisten van bedrijfsomgevingen. Het primaire privacyprobleem betreft website tracking. Wanneer Related Matches is ingeschakeld, worden alle bezochte URL's door Edge verzonden naar Microsoft cloud services voor analyse. Dit betekent dat Microsoft een volledig overzicht krijgt van alle websites die gebruikers binnen de organisatie bezoeken, inclusief interne applicaties, gevoelige bedrijfsinformatie en mogelijk persoonlijke websites. Deze tracking gebeurt zonder expliciete toestemming van de gebruiker en zonder dat organisaties volledige controle hebben over welke gegevens worden verzonden. Een tweede belangrijk privacyrisico is behavioral profiling. Microsoft gebruikt de verzamelde websitegegevens om uitgebreide gebruikersprofielen te creëren die de interesses, werkpatronen en online gedrag van gebruikers beschrijven. Deze profielen kunnen worden gebruikt voor gerichte advertenties, contentaanbevelingen en andere doeleinden die niet passen bij een zakelijke omgeving. Voor organisaties die moeten voldoen aan de Algemene Verordening Gegevensbescherming (AVG) en andere privacyregelgeving, vormt dit ongeautoriseerde profilering een directe schending van privacyvereisten. Bovendien zijn de gerelateerde content suggesties die door deze service worden gegenereerd vaak niet relevant voor zakelijk werk. De algoritmes zijn geoptimaliseerd voor consumentengebruik en suggereren content op basis van algemene interesses, wat kan leiden tot afleiding en verminderde productiviteit. In een zakelijke context waar gebruikers zich moeten focussen op specifieke taken en workflows, zijn deze suggesties niet alleen onnodig maar kunnen ze ook de werkflow verstoren. Voor Nederlandse organisaties die moeten voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) en de AVG, is het uitschakelen van Related Matches een essentiële privacybeschermingsmaatregel. Het voorkomt onnodige gegevensoverdracht naar externe cloud services, vermindert het risico op privacy schendingen en geeft organisaties volledige controle over welke gegevens worden gedeeld met Microsoft. Door deze functionaliteit uit te schakelen, tonen organisaties aan dat zij serieus omgaan met privacy en dataprotectie, wat essentieel is voor compliance en het opbouwen van vertrouwen bij stakeholders.

Implementatie

Het uitschakelen van Related Matches betekent dat de RelatedMatchesCloudServiceEnabled registry instelling wordt ingesteld op waarde 0, waardoor de cloud service volledig wordt gedeactiveerd. Wanneer deze instelling is uitgeschakeld, verzendt Edge geen websitebezoekgegevens meer naar Microsoft cloud services voor analyse en contentaanbevelingen. Gebruikers zien geen gerelateerde content suggesties meer in de browser interface, en alle tracking functionaliteit die gerelateerd is aan deze service wordt stopgezet. Deze configuratie kan worden toegepast via Microsoft Intune Settings Catalog of via Group Policy Objects, afhankelijk van de device management infrastructuur van de organisatie. De instelling is van toepassing op alle Edge browsers binnen de organisatie en voorkomt dat gebruikers deze functionaliteit lokaal kunnen inschakelen, wat zorgt voor consistente privacybescherming across de gehele organisatie. Het uitschakelen van Related Matches heeft geen negatieve impact op de core functionaliteit van Edge. Gebruikers kunnen nog steeds alle websites bezoeken, bladwijzers gebruiken, en profiteren van andere Edge features. Alleen de cloud-based contentaanbevelingen worden uitgeschakeld, wat voor zakelijke omgevingen een voordeel is in plaats van een beperking.

Vereisten

Voor het implementeren van het uitschakelen van Related Matches in Microsoft Edge zijn verschillende technische en organisatorische vereisten van toepassing. Deze vereisten vormen de basis voor een succesvolle implementatie die de privacy van gebruikers waarborgt en voldoet aan compliance normen. De primaire technische vereiste is de beschikbaarheid van Microsoft Edge als webbrowser binnen de organisatie. Edge moet geïnstalleerd zijn op alle werkstations waar deze privacybeschermingsmaatregel van toepassing is. Organisaties moeten ervoor zorgen dat zij een beheerde versie van Edge gebruiken die ondersteuning biedt voor policy-based configuratie via Microsoft Intune of Group Policy Objects (GPO). Een kritieke organisatorische vereiste is de noodzaak om te voldoen aan privacy- en dataprotectieregelgeving. Nederlandse organisaties moeten voldoen aan de Algemene Verordening Gegevensbescherming (AVG), die vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Het voorkomen van onnodige gegevensoverdracht naar externe cloud services is een essentieel onderdeel van deze maatregelen. Voor overheidsorganisaties is daarnaast compliance met de Baseline Informatiebeveiliging Overheid (BIO) verplicht, die specifieke eisen stelt aan privacybescherming en gegevensbeveiliging. Voor de technische implementatie is toegang tot een beheersysteem vereist. Organisaties kunnen kiezen tussen Microsoft Intune voor cloud-based device management of Group Policy Objects voor on-premises Active Directory omgevingen. Beide systemen bieden de mogelijkheid om Edge-beleid centraal te configureren en te distribueren naar alle beheerde apparaten. De keuze tussen Intune en GPO hangt af van de infrastructuur en het device management model van de organisatie. Daarnaast is het belangrijk dat de IT-afdeling beschikt over de juiste rechten en toegang tot het beheersysteem. Voor Intune is een licentie voor Microsoft Endpoint Manager vereist, terwijl voor GPO toegang tot de Group Policy Management Console nodig is met voldoende rechten om beleid te maken en toe te wijzen aan organisatorische units. IT-beheerders moeten bekend zijn met Edge-beleidsconfiguratie en de specifieke registry instellingen die nodig zijn voor het uitschakelen van Related Matches. Organisaties moeten ook rekening houden met de impact op gebruikerservaring. Het uitschakelen van Related Matches heeft geen negatieve impact op de core functionaliteit van Edge, maar gebruikers zullen geen gerelateerde content suggesties meer zien. Het is belangrijk om gebruikers vooraf te informeren over deze privacybeschermingsmaatregel en de achterliggende redenen, zodat zij begrijpen waarom deze functionaliteit is uitgeschakeld. Tot slot is documentatie en training een belangrijke vereiste. IT-beheerders moeten getraind zijn in het configureren en monitoren van Edge-beleid, terwijl gebruikers geïnformeerd moeten worden over de privacyvoordelen van deze maatregel. Organisaties moeten ook een proces hebben voor het monitoren van de effectiviteit van deze instelling en het verifiëren dat de configuratie correct wordt toegepast op alle apparaten.

Implementatie

De implementatie van het uitschakelen van Related Matches in Microsoft Edge vereist een gestructureerde aanpak die begint met het identificeren van de juiste beleidsinstellingen en eindigt met verificatie en monitoring. Deze implementatie kan worden uitgevoerd via Microsoft Intune Settings Catalog of via Group Policy Objects, afhankelijk van de infrastructuur van de organisatie. Voor organisaties die Microsoft Intune gebruiken, begint de implementatie met het openen van de Microsoft Endpoint Manager admin center. Navigeer naar Devices, selecteer Configuration profiles en klik op Create profile. Kies het platform Windows 10 and later en selecteer Settings catalog als profieltype. Geef het profiel een duidelijke naam zoals 'Edge Related Matches Disabled' en een beschrijving die het doel van het beleid uitlegt, namelijk het uitschakelen van website tracking naar Microsoft cloud services. In de Settings catalog moet de beheerder zoeken naar Edge-specifieke instellingen. Navigeer naar de categorie Microsoft Edge en selecteer de subcategorie Privacy. Hier is de instelling 'Related Matches Cloud Service Enabled' beschikbaar die moet worden ingesteld op 'Disabled' om de functionaliteit volledig uit te schakelen. Deze instelling correspondeert met de registry waarde RelatedMatchesCloudServiceEnabled die wordt ingesteld op 0. Wanneer deze instelling is uitgeschakeld, verzendt Edge geen websitebezoekgegevens meer naar Microsoft cloud services. De browser stopt met het analyseren van bezochte websites voor contentaanbevelingen en gebruikers zien geen gerelateerde content suggesties meer in de browser interface. Alle tracking functionaliteit die gerelateerd is aan deze service wordt volledig stopgezet, wat de privacy van gebruikers beschermt en compliance met AVG en BIO vereisten waarborgt. Na het configureren van de instelling, moet het beleid worden toegewezen aan de juiste gebruikersgroepen of apparaten. Organisaties kunnen ervoor kiezen om het beleid toe te wijzen aan alle apparaten, specifieke security groups, of apparaten met bepaalde tags. Het is belangrijk om de scope zorgvuldig te bepalen, aangezien deze instelling van toepassing moet zijn op alle Edge browsers binnen de organisatie om consistente privacybescherming te garanderen. Voor organisaties die Group Policy Objects gebruiken, is het proces vergelijkbaar maar wordt uitgevoerd via de Group Policy Management Console. Maak een nieuw GPO of bewerk een bestaand GPO en navigeer naar Computer Configuration of User Configuration, afhankelijk van de gewenste scope. Ga naar Administrative Templates, Microsoft Edge en vervolgens naar Privacy. Configureer de instelling 'Related Matches Cloud Service Enabled' op 'Disabled'. Alternatief kunnen organisaties de registry instelling direct configureren via GPO. Navigeer naar Computer Configuration of User Configuration, ga naar Preferences, Windows Settings, en selecteer Registry. Maak een nieuwe registry item voor het pad HKLM:\SOFTWARE\Policies\Microsoft\Edge\RelatedMatchesCloudServiceEnabled met waarde 0 en type REG_DWORD. Deze methode biedt dezelfde functionaliteit als de Administrative Template instelling maar geeft meer controle over de exacte registry configuratie. Na het toepassen van het beleid, moeten organisaties een testperiode inplannen om te verifiëren dat de instellingen correct worden toegepast. Dit kan worden gedaan door het beleid eerst toe te wijzen aan een kleine testgroep voordat het wordt uitgerold naar de volledige organisatie. Tijdens de testperiode moeten IT-beheerders controleren of de Related Matches functionaliteit daadwerkelijk is uitgeschakeld door te testen of websitebezoeken niet meer worden getracked en of gebruikers geen gerelateerde content suggesties meer zien. De implementatie is pas compleet wanneer verificatie heeft aangetoond dat de instelling correct is toegepast op alle doelapparaten. Organisaties moeten een monitoring proces opzetten om te zorgen dat het beleid actief blijft en niet wordt overschreven door lokale configuraties of andere beleidsregels. Het gebruik van PowerShell scripts voor monitoring en verificatie kan helpen bij het automatiseren van deze controle processen.

Gebruik PowerShell-script related-matches-disabled.ps1 (functie Invoke-Remediation) – PowerShell script voor automatische implementatie.

Compliance

Het uitschakelen van Related Matches in Microsoft Edge draagt direct bij aan compliance met verschillende belangrijke privacy- en beveiligingsstandaarden die van toepassing zijn op Nederlandse organisaties. Deze maatregel adresseert specifieke vereisten uit de Algemene Verordening Gegevensbescherming (AVG), de Baseline Informatiebeveiliging Overheid (BIO), en ISO 27001. De Algemene Verordening Gegevensbescherming (AVG) vereist in artikel 32 dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen. Het voorkomen van onnodige gegevensoverdracht naar externe cloud services is een essentieel onderdeel van deze maatregelen. Wanneer Related Matches is ingeschakeld, worden websitebezoekgegevens verzonden naar Microsoft cloud services zonder dat dit noodzakelijk is voor de bedrijfsvoering. Door deze functionaliteit uit te schakelen, voorkomt de organisatie onnodige verwerking van persoonsgegevens en voldoet aan het beginsel van 'data protection by design and by default' zoals vereist in artikel 25 van de AVG. Bovendien vereist artikel 5 van de AVG dat persoonsgegevens worden verwerkt op een wijze die ten opzichte van de betrokkene rechtmatig, behoorlijk en transparant is. Het automatisch verzenden van websitebezoekgegevens naar Microsoft zonder expliciete toestemming of transparante communicatie kan in strijd zijn met deze vereisten. Door Related Matches uit te schakelen, zorgt de organisatie ervoor dat alleen noodzakelijke gegevens worden verwerkt en dat gebruikers volledige controle hebben over welke gegevens worden gedeeld. De Baseline Informatiebeveiliging Overheid (BIO) is de Nederlandse beveiligingsstandaard voor overheidsorganisaties. Control 11.01.01 van de BIO vereist dat organisaties maatregelen nemen om privacy te beschermen en onnodige gegevensverwerking te voorkomen. Het uitschakelen van Related Matches voorkomt dat websitebezoekgegevens worden verzonden naar externe cloud services, wat bijdraagt aan het waarborgen van de privacy van gebruikers en het voldoen aan BIO vereisten. Voor overheidsorganisaties is compliance met de BIO verplicht, waardoor deze maatregel essentieel is voor het behalen van certificeringen en het opbouwen van vertrouwen bij burgers en stakeholders. ISO 27001, de internationale standaard voor informatiebeveiligingsmanagement, vereist in controle A.8.11 dat organisaties maatregelen nemen om gegevens te beschermen tegen onbevoegde toegang, wijziging of vernietiging. Het voorkomen van onnodige gegevensoverdracht naar externe services is een concrete beheersmaatregel die het risico op datalekken en privacy schendingen vermindert. Door Related Matches uit te schakelen, toont de organisatie aan dat zij serieus omgaat met gegevensbescherming en risicobeheer. Voor Nederlandse organisaties is compliance met deze standaarden niet alleen een juridische vereiste maar ook een essentiële component van goed bestuur. Het implementeren van privacybeschermingsmaatregelen zoals het uitschakelen van Related Matches draagt bij aan het opbouwen van vertrouwen bij gebruikers, stakeholders en toezichthouders. Organisaties die kunnen aantonen dat zij proactief maatregelen nemen om privacy te beschermen, zijn beter voorbereid op audits en certificeringsprocessen. Het is belangrijk om te benadrukken dat compliance een continu proces is en niet een eenmalige activiteit. Organisaties moeten regelmatig controleren of de beveiligingsmaatregelen nog steeds effectief zijn en of zij nog steeds voldoen aan de vereisten van de verschillende standaarden. Het monitoren van de Edge-beleidsinstellingen en het verifiëren dat Related Matches daadwerkelijk is uitgeschakeld, vormt een belangrijk onderdeel van dit compliance proces. Organisaties moeten ook documentatie bijhouden van de genomen maatregelen en de rationale achter deze beslissingen, zodat deze informatie beschikbaar is voor audits en compliance verificaties.

Monitoring

Effectieve monitoring van het uitschakelen van Related Matches is essentieel om te verifiëren dat de privacybeschermingsmaatregel correct wordt toegepast en actief blijft op alle Edge browsers binnen de organisatie. Monitoring helpt organisaties om compliance te waarborgen, problemen vroegtijdig te identificeren, en te verifiëren dat de configuratie niet wordt overschreven door lokale instellingen of andere beleidsregels. De primaire monitoringmethode is het controleren van de registry instelling RelatedMatchesCloudServiceEnabled op alle beheerde apparaten. Deze instelling bevindt zich in het pad HKLM:\SOFTWARE\Policies\Microsoft\Edge\RelatedMatchesCloudServiceEnabled en moet de waarde 0 hebben om aan te geven dat Related Matches is uitgeschakeld. Wanneer deze waarde 0 is, betekent dit dat de cloud service volledig is gedeactiveerd en dat Edge geen websitebezoekgegevens meer verzendt naar Microsoft cloud services voor analyse en contentaanbevelingen. Organisaties kunnen deze monitoring uitvoeren via verschillende methoden. PowerShell scripts bieden een geautomatiseerde manier om de registry instelling te controleren op meerdere apparaten tegelijk. Deze scripts kunnen worden geïntegreerd in bestaande monitoring systemen zoals Microsoft Endpoint Manager, System Center Configuration Manager, of andere enterprise monitoring tools. Het gebruik van geautomatiseerde monitoring helpt organisaties om snel afwijkingen te detecteren en te reageren op configuratiewijzigingen die de privacybescherming kunnen compromitteren. Naast technische monitoring is het ook belangrijk om gebruikerservaring te monitoren. IT-beheerders moeten periodiek controleren of gebruikers daadwerkelijk geen gerelateerde content suggesties meer zien in Edge. Dit kan worden gedaan door gebruikers te vragen om te rapporteren als zij nog steeds gerelateerde content zien, of door proactief te testen op verschillende apparaten binnen de organisatie. Als gebruikers nog steeds gerelateerde content zien, kan dit wijzen op een probleem met de beleidstoepassing of een configuratiefout die moet worden gecorrigeerd. Voor organisaties die Microsoft Intune gebruiken, biedt de Endpoint Manager admin center ingebouwde monitoring mogelijkheden. Beheerders kunnen de compliance status van configuratieprofielen bekijken om te zien welke apparaten de instelling correct hebben toegepast en welke apparaten mogelijk problemen hebben. Intune rapporteert ook wanneer beleidsinstellingen worden overschreven of conflicteren met andere configuraties, wat helpt bij het identificeren en oplossen van configuratieproblemen. Voor organisaties die Group Policy Objects gebruiken, kunnen beheerders de Group Policy Results tool gebruiken om te verifiëren dat het beleid correct wordt toegepast. Deze tool toont welke GPO's van toepassing zijn op specifieke apparaten en of er conflicten zijn met andere beleidsregels. Daarnaast kunnen beheerders de Group Policy Management Console gebruiken om de status van GPO's te monitoren en te verifiëren dat zij correct zijn gekoppeld aan de juiste organisatorische units. Het is belangrijk om monitoring regelmatig uit te voeren, niet alleen direct na implementatie maar ook als onderdeel van een continu compliance proces. Organisaties moeten een schema opstellen voor periodieke verificatie, bijvoorbeeld maandelijks of kwartaalsgewijs, om te zorgen dat de instelling actief blijft en niet wordt gewijzigd door updates, herconfiguraties of andere wijzigingen in de IT-omgeving. Monitoring moet ook worden uitgevoerd na belangrijke wijzigingen zoals Edge updates, Windows updates, of wijzigingen in de device management configuratie. Documentatie van monitoring resultaten is essentieel voor compliance en audit doeleinden. Organisaties moeten bijhouden wanneer monitoring is uitgevoerd, welke resultaten zijn gevonden, en welke acties zijn ondernomen om problemen op te lossen. Deze documentatie kan worden gebruikt om aan te tonen dat de organisatie proactief maatregelen neemt om privacy te beschermen en dat de beveiligingsmaatregelen effectief zijn geïmplementeerd en worden gehandhaafd.

Gebruik PowerShell-script related-matches-disabled.ps1 (functie Invoke-Monitoring) – PowerShell script voor geautomatiseerde monitoring.

Remediatie

Wanneer monitoring aangeeft dat Related Matches niet correct is uitgeschakeld of wanneer de instelling is gewijzigd, moeten organisaties onmiddellijk actie ondernemen om de configuratie te herstellen. Remediatie is essentieel om te zorgen dat de privacybeschermingsmaatregel actief blijft en dat de organisatie voldoet aan compliance vereisten. De eerste stap in het remediatieproces is het identificeren van de oorzaak van het probleem. Mogelijke oorzaken kunnen zijn: het beleid is niet correct toegepast, een andere configuratie heeft het beleid overschreven, een Edge update heeft de instelling gereset, of een gebruiker heeft lokale wijzigingen aangebracht. Door de oorzaak te identificeren, kunnen organisaties de juiste remediatiestappen ondernemen en voorkomen dat het probleem opnieuw optreedt. Voor apparaten waar het beleid niet correct is toegepast, moeten organisaties het beleid opnieuw toepassen via het beheersysteem. Bij Microsoft Intune kan dit worden gedaan door het configuratieprofiel opnieuw toe te wijzen aan het apparaat of door het apparaat te dwingen om het beleid opnieuw te synchroniseren. Bij Group Policy Objects kan dit worden gedaan door een Group Policy update uit te voeren op het betreffende apparaat, wat kan worden gedaan via de commandoregel met de opdracht gpupdate /force. Wanneer een andere configuratie het beleid heeft overschreven, moeten organisaties de configuratiehiërarchie controleren om te bepalen welke instelling prioriteit heeft. In Microsoft Intune kunnen configuratieconflicten worden geïdentificeerd via de Endpoint Manager admin center, waar beheerders kunnen zien welke instellingen conflicteren en welke prioriteit hebben. Voor GPO's kunnen beheerders de Group Policy Results tool gebruiken om te zien welke GPO's van toepassing zijn en in welke volgorde. Als een Edge update de instelling heeft gereset, moeten organisaties het beleid opnieuw toepassen en overwegen om een proces op te zetten dat automatisch controleert of instellingen correct blijven na updates. Dit kan worden geautomatiseerd via PowerShell scripts die regelmatig de registry instelling controleren en het beleid opnieuw toepassen indien nodig. Wanneer gebruikers lokale wijzigingen hebben aangebracht, moeten organisaties overwegen om de lokale configuratiemogelijkheden verder te beperken. Dit kan worden gedaan door aanvullende beleidsregels in te stellen die voorkomen dat gebruikers Edge-instellingen kunnen wijzigen, of door gebruikers te informeren over het belang van deze privacybeschermingsmaatregel en waarom lokale wijzigingen niet zijn toegestaan. Na het uitvoeren van remediatie, moeten organisaties verificatie uitvoeren om te bevestigen dat de instelling correct is hersteld. Dit moet worden gedaan via dezelfde monitoringmethoden die worden gebruikt voor reguliere verificatie, inclusief het controleren van de registry instelling en het testen van de gebruikerservaring. Alleen wanneer verificatie heeft aangetoond dat de instelling correct is hersteld, kan het remediatieproces als voltooid worden beschouwd. Het is belangrijk om alle remediatieacties te documenteren voor compliance en audit doeleinden. Organisaties moeten bijhouden wanneer problemen zijn geïdentificeerd, welke remediatiestappen zijn ondernomen, en wat de resultaten waren. Deze documentatie helpt bij het identificeren van patronen en het verbeteren van het beheerproces om toekomstige problemen te voorkomen.

Gebruik PowerShell-script related-matches-disabled.ps1 (functie Invoke-Remediation) – PowerShell script voor geautomatiseerde remediatie.

Compliance & Frameworks

• BIO: 11.01.01 - Privacy bescherming
• ISO 27001:2022: A.8.11 - Data bescherming

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Schakel related matches (RelatedMatchesCloudServiceEnabled is 0). Implementatie: 15-30 min.

• Implementatietijd: 0.5 uur
• FTE required: 0.005 FTE