Configuratie Van Retention Policies In Microsoft 365: Praktische Implementatie

Zonder correct geconfigureerde retention policies kunnen Nederlandse overheidsorganisaties niet voldoen aan hun wettelijke verplichtingen. De Archiefwet vereist dat bepaalde categorieën overheidsinformatie voor langere perioden of blijvend worden bewaard, terwijl de AVG voorschrijft dat persoonsgegevens niet langer worden bewaard dan noodzakelijk. Zonder geautomatiseerde retention policies moeten beheerders handmatig data beheren, wat leidt tot menselijke fouten, inconsistenties en het risico dat informatie te vroeg wordt verwijderd of onnodig lang wordt bewaard. Dit kan resulteren in archiefrechtelijke tekortkomingen, AVG-schendingen met boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet, en reputatieschade wanneer datalekken optreden door onbeheerde data-opslag. Bovendien vereist de BIO dat organisaties passende maatregelen treffen voor het beheer van de volledige levenscyclus van informatie, inclusief vernietiging na afloop van bewaartermijnen. Microsoft 365 biedt via Microsoft Purview Data Lifecycle Management krachtige mogelijkheden om retention policies te configureren die automatisch informatie bewaren of vernietigen op basis van configureerbare regels, maar deze functionaliteit vereist een doordachte technische implementatie om effectief te zijn.

Implementatie

Dit artikel biedt een praktische gids voor het technisch configureren van retention policies in Microsoft 365 via Microsoft Purview Data Lifecycle Management. Het artikel beschrijft stap voor stap hoe retention policies worden aangemaakt voor verschillende workloads zoals Exchange Online, SharePoint Online, OneDrive for Business en Microsoft Teams, hoe retention rules worden geconfigureerd met specifieke bewaartermijnen en acties, en hoe policies worden toegepast op specifieke locaties of gebruikersgroepen. Daarnaast wordt uitgebreid ingegaan op geavanceerde configuratie-opties zoals adaptive scopes voor dynamische toepassing, exclude filters voor uitzonderingen, en de combinatie met retention labels voor meer granulariteit. Het artikel behandelt ook praktische aspecten zoals het monitoren van policy-status, het verifiëren van correcte toepassing, het troubleshooten van veelvoorkomende problemen, en het beheren van wijzigingen en uitzonderingen. Nederlandse overheidsorganisaties leren hoe zij retention policies kunnen configureren die aansluiten op hun bewaarschema, hoe zij kunnen verifiëren dat policies correct werken, en hoe zij compliance kunnen aantonen richting auditors en toezichthouders door middel van geautomatiseerde controles en rapportage.

Vereisten en basisconfiguratie

Voor het configureren van retention policies in Microsoft 365 zijn specifieke licentievereisten en bevoegdheden nodig. Microsoft Purview Data Lifecycle Management, waarin retention policies worden beheerd, is beschikbaar voor organisaties met Microsoft 365 E3 of E5-licenties. Microsoft 365 E1 biedt beperkte retention-mogelijkheden, maar ontbeert geavanceerde functies zoals adaptive scopes en exclude filters. Voor volledige functionaliteit moeten alle gebruikers en workloads waarvoor retention policies moeten gelden, beschikken over E3 of E5-licenties. Daarnaast zijn specifieke beheerdersrollen vereist: Compliance Administrator voor het maken en beheren van retention policies, Security Administrator voor het configureren van beveiligingsinstellingen die retention policies kunnen beïnvloeden, en Records Management Administrator voor geavanceerde records management-functionaliteit. Organisaties die gebruik maken van Microsoft 365 Government of andere gespecialiseerde cloud-omgevingen moeten verifiëren dat Data Lifecycle Management beschikbaar is in hun specifieke tenant-configuratie.

De technische implementatie begint met het verbinden met Microsoft Purview via Security & Compliance PowerShell. De ExchangeOnlineManagement-module bevat de benodigde cmdlets zoals Connect-IPPSSession voor authenticatie, Get-RetentionCompliancePolicy voor het opvragen van bestaande policies, en New-RetentionCompliancePolicy voor het aanmaken van nieuwe policies. Voordat retention policies worden geconfigureerd, moeten organisaties een duidelijk beeld hebben van hun bewaarschema: welke informatiecategorieën welke bewaartermijnen vereisen, welke workloads moeten worden afgedekt, en of er specifieke uitzonderingen of uitsluitingen nodig zijn. Dit bewaarschema vormt de basis voor de technische configuratie en moet zijn gedocumenteerd voordat de implementatie begint. Daarnaast is het verstandig om eerst een test-policy aan te maken en te verifiëren dat deze correct werkt voordat productie-policies worden geconfigureerd.

Een belangrijke overweging bij de configuratie is de relatie tussen retention policies en andere informatiebeveiligingsmechanismen in Microsoft 365. Retention policies werken samen met sensitivity labels, eDiscovery holds, litigation holds en records management, waarbij er specifieke prioriteitsregels gelden wanneer meerdere mechanismen van toepassing zijn. EDiscovery holds en litigation holds hebben bijvoorbeeld altijd voorrang op retention policies, wat betekent dat informatie die onder een hold valt niet wordt verwijderd, ongeacht de retention policy-instellingen. Organisaties moeten daarom zorgvuldig nadenken over de interactie tussen verschillende mechanismen en ervoor zorgen dat hun configuratie geen conflicten veroorzaakt. Bovendien moeten organisaties rekening houden met de impact van retention policies op gebruikerservaring: wanneer retention policies automatisch items verwijderen, kunnen gebruikers deze niet meer terugvinden, wat kan leiden tot verwarring of frustratie als dit niet duidelijk wordt gecommuniceerd.

Stap-voor-stap configuratie van retention policies

De configuratie van retention policies begint met het definiëren van de policy zelf via de New-RetentionCompliancePolicy-cmdlet. Een retention policy heeft een unieke naam, een optionele beschrijving, en specificeert op welke workloads de policy van toepassing is: Exchange voor e-mailberichten, SharePoint voor sites en documentenbibliotheken, OneDrive voor persoonlijke bestanden, en Teams voor kanalen en chats. Organisaties kunnen kiezen voor een organisation-wide policy die automatisch op alle locaties van toepassing is, of voor een specifieke policy die alleen op bepaalde sites, mailboxen of gebruikersgroepen wordt toegepast. Voor Nederlandse overheidsorganisaties is het verstandig om te beginnen met een generieke policy die alle workloads afdekt met een standaard bewaartermijn, bijvoorbeeld zeven jaar conform veelvoorkomende archiefwetvereisten, en vervolgens specifieke policies toe te voegen voor uitzonderingen of bijzondere categorieën informatie.

Na het aanmaken van de policy moet een retention rule worden geconfigureerd die de daadwerkelijke retentieregels definieert. De New-RetentionComplianceRule-cmdlet koppelt een rule aan een policy en specificeert de retention duration in dagen, de retention action (Keep, KeepAndDelete, of DeleteOnly), en optionele voorwaarden zoals content types of gevoelige informatie. Voor Nederlandse overheidsorganisaties is de KeepAndDelete-actie meestal het meest geschikt: informatie wordt bewaard voor de gespecificeerde periode en vervolgens automatisch verwijderd, wat zorgt voor dataminimalisatie conform AVG-vereisten. De retention duration wordt bepaald op basis van het bewaarschema: veelvoorkomende termijnen zijn zeven jaar voor algemene overheidsinformatie conform archiefwet, vijf jaar voor financiële administratie, of specifieke termijnen voor sectoren zoals zorg of belastingen. Organisaties moeten ervoor zorgen dat de retention duration correct wordt berekend: Microsoft 365 gebruikt dagen als eenheid, dus zeven jaar komt overeen met 2555 dagen.

Gebruik PowerShell-script retention-policies-configured.ps1 (functie Invoke-Monitoring) – Controleert of retention policies correct zijn geconfigureerd in Microsoft 365, inclusief policy-status, rule-configuratie en toepassing op workloads.

Voor geavanceerde scenario's kunnen organisaties gebruik maken van adaptive scopes, waarmee retention policies dynamisch kunnen worden toegepast op basis van gebruikers- of site-eigenschappen. Adaptive scopes maken het mogelijk om bijvoorbeeld alleen retention policies toe te passen op gebruikers in bepaalde afdelingen, of op sites met specifieke metadata-tags. Dit is vooral nuttig voor grote organisaties waar verschillende afdelingen verschillende retentievereisten hebben. Exclude filters bieden de mogelijkheid om specifieke locaties of gebruikers uit te sluiten van een retention policy, bijvoorbeeld wanneer bepaalde mailboxen onder een aparte litigation hold vallen of wanneer specifieke sites permanente bewaring vereisen. De configuratie van adaptive scopes en exclude filters vereist een goed begrip van de organisatiestructuur en de eigenschappen die beschikbaar zijn in Microsoft 365, en moet zorgvuldig worden getest voordat deze in productie wordt gezet.

Na de configuratie is het essentieel om te verifiëren dat retention policies correct zijn toegepast. Microsoft 365 heeft enige tijd nodig om retention policies te verwerken en toe te passen, wat kan variëren van enkele minuten tot uren, afhankelijk van de omvang van de tenant en het aantal betrokken locaties. Organisaties kunnen de status van retention policies monitoren via het Microsoft Purview Compliance-portaal of via PowerShell-cmdlets zoals Get-RetentionCompliancePolicy en Get-RetentionComplianceRule. Het is verstandig om na het configureren van een nieuwe policy minimaal 24 uur te wachten voordat wordt gecontroleerd of deze daadwerkelijk actief is en correct wordt toegepast. Daarnaast kunnen organisaties gebruik maken van content search of eDiscovery-tools om te verifiëren dat items die onder een retention policy vallen inderdaad worden bewaard of verwijderd zoals verwacht. Deze verificatiestappen zijn cruciaal voor compliance en moeten regelmatig worden herhaald om te zorgen dat retention policies blijven functioneren zoals bedoeld.

Compliance en framework mapping

Correct geconfigureerde retention policies in Microsoft 365 ondersteunen directe compliance met meerdere frameworks die voor Nederlandse overheidsorganisaties relevant zijn. De Baseline Informatiebeveiliging Overheid (BIO) vereist in norm 12.04 dat organisaties systematisch beheer van informatie realiseren, inclusief het beheer van bewaartermijnen en vernietiging van informatie na afloop van de bewaartermijn. Retention policies in Microsoft 365 bieden een technische implementatie van deze vereiste door geautomatiseerd bewaartermijnen af te dwingen en informatie te vernietigen wanneer deze niet langer nodig is. Norm 18.01 vereist bovendien dat organisaties logging en archivering inrichten, waarbij retention policies kunnen helpen om te zorgen dat relevante informatie wordt bewaard voor archiveringsdoeleinden en dat logging consistent wordt toegepast over alle workloads.

De Algemene Verordening Gegevensbescherming (AVG) vereist in artikel 5 dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor de doeleinden waarvoor zij worden verzameld, en dat organisaties passende technische en organisatorische maatregelen treffen om dataminimalisatie te realiseren. Retention policies in Microsoft 365 helpen organisaties te voldoen aan deze vereiste door automatisch persoonsgegevens te vernietigen wanneer de bewaartermijn is verstreken, zonder dat handmatige interventie nodig is. Artikel 32 vereist bovendien passende technische maatregelen voor de beveiliging van persoonsgegevens, waarbij retention policies kunnen bijdragen door ervoor te zorgen dat verouderde of onnodige persoonsgegevens niet langer worden bewaard, wat het risico op datalekken reduceert. Organisaties moeten echter wel zorgvuldig zijn met de configuratie van retention policies om ervoor te zorgen dat deze niet leiden tot te vroege vernietiging van persoonsgegevens die nog nodig zijn voor wettelijke verplichtingen of gerechtelijke procedures.

De Archiefwet vereist dat Nederlandse overheidsorganisaties bepaalde categorieën informatie voor langere perioden of blijvend bewaren, waarbij selectielijsten bepalen welke informatie welke bewaartermijn heeft. Retention policies kunnen worden geconfigureerd om deze bewaartermijnen technisch af te dwingen, maar organisaties moeten ervoor zorgen dat hun configuratie aansluit op de formele selectielijsten en dat zij kunnen aantonen dat retention policies correct zijn toegepast. Voor informatie die blijvend moet worden bewaard, moeten organisaties bovendien rekening houden met de noodzaak voor migratie naar een archiefsysteem of permanente bewaring, waarbij retention policies kunnen helpen om ervoor te zorgen dat informatie niet verloren gaat voordat migratie plaatsvindt. De NIS2-richtlijn vereist dat essentiële en belangrijke entiteiten passende maatregelen treffen voor de beveiliging van netwerk- en informatiesystemen, waarbij retention policies kunnen bijdragen door ervoor te zorgen dat relevante informatie voor incidentrespons en logging wordt bewaard, terwijl onnodige informatie wordt verwijderd om het aanvalsoppervlak te reduceren.

Monitoring en verificatie

Regelmatige monitoring van retention policies is essentieel om te zorgen dat deze correct blijven functioneren en dat compliance-vereisten worden nagekomen. Organisaties moeten minimaal maandelijks controleren of alle geconfigureerde retention policies nog actief zijn, of retention rules correct zijn gekoppeld aan policies, en of policies correct worden toegepast op alle beoogde workloads en locaties. Daarnaast moeten organisaties periodiek verifiëren of de retention duration en retention actions nog aansluiten bij het actuele bewaarschema en of wijzigingen in wet- of regelgeving vereisen dat retention policies worden aangepast. Het Microsoft Purview Compliance-portaal biedt verschillende rapportages en dashboards voor het monitoren van retention policies, maar voor gedetailleerde controles en geautomatiseerde verificatie zijn PowerShell-scripts het meest geschikt.

Gebruik PowerShell-script retention-policies-configured.ps1 (functie Invoke-Remediation) – Configureert retention policies in Microsoft 365 om te voldoen aan de Nederlandse Baseline voor Veilige Cloud en compliance-vereisten.

Het bijbehorende PowerShell-script retention-policies-configured.ps1 biedt geautomatiseerde monitoringfunctionaliteit die alle retention policies in de tenant inventariseert, de configuratie verifieert, en een rapportage genereert van de compliance-status. Het script controleert of policies zijn geconfigureerd voor alle vereiste workloads, of retention rules correct zijn gekoppeld met de juiste retention duration en retention actions, en of policies actief zijn en worden toegepast zoals verwacht. De resultaten kunnen worden geëxporteerd naar CSV of JSON voor verdere analyse of integratie in GRC-systemen, en kunnen worden gebruikt als auditbewijs richting toezichthouders en externe auditors. Het script ondersteunt ook een debug-modus waarin lokale tests kunnen worden uitgevoerd zonder verbinding met Microsoft 365, wat nuttig is voor ontwikkeling en validatie van de controlelogica.

Voor een volledige audit trail moeten organisaties documenteren welke retention policies zijn geconfigureerd, wanneer deze zijn aangemaakt of gewijzigd, wie verantwoordelijk is voor het beheer ervan, en welke besluiten zijn genomen met betrekking tot uitzonderingen of afwijkingen. Deze documentatie moet worden gekoppeld aan het formele bewaarschema en moet regelmatig worden bijgewerkt wanneer wijzigingen worden doorgevoerd. Daarnaast moeten organisaties periodieke tests uitvoeren om te verifiëren dat retention policies daadwerkelijk werken zoals verwacht, bijvoorbeeld door test-items te maken, te wachten tot de retention duration is verstreken, en te verifiëren dat deze correct worden verwijderd of bewaard. Deze tests moeten worden gedocumenteerd en de resultaten moeten worden opgenomen in de reguliere compliance-rapportages. Door deze monitoring- en verificatieprocessen structureel in te richten, kunnen Nederlandse overheidsorganisaties aantoonbaar voldoen aan hun wettelijke verplichtingen en kunnen zij snel reageren wanneer afwijkingen of problemen worden gedetecteerd.

Remediatie en best practices

Wanneer monitoring afwijkingen of problemen detecteert in de configuratie van retention policies, moeten deze snel worden opgelost om compliance-risico's te beperken. Veelvoorkomende problemen zijn ontbrekende retention policies voor bepaalde workloads, retention rules die niet correct zijn gekoppeld aan policies, of policies die niet actief zijn of niet worden toegepast zoals verwacht. Het PowerShell-script retention-policies-configured.ps1 biedt remediatiefunctionaliteit die automatisch retention policies kan aanmaken of bijwerken om te voldoen aan de vereisten van de Nederlandse Baseline voor Veilige Cloud. Het script kan bijvoorbeeld automatisch een generieke retention policy aanmaken voor alle workloads met een standaard bewaartermijn van zeven jaar, of specifieke policies configureren voor bepaalde informatiecategorieën of gebruikersgroepen. Voordat remediatie wordt uitgevoerd, is het verstandig om eerst een WhatIf-check uit te voeren om te zien welke wijzigingen zouden worden doorgevoerd, en om wijzigingen te documenteren en te communiceren met betrokken stakeholders.

Best practices voor retention policies omvatten het gebruik van duidelijke en consistente naamgevingsconventies die aangeven wat de policy doet en voor welke categorie informatie deze geldt, bijvoorbeeld 'Retention - Algemene Overheidsinformatie - 7 Jaar' of 'Retention - Financiële Administratie - 5 Jaar'. Organisaties moeten bovendien zorgen voor voldoende documentatie in de policy-beschrijving, zodat toekomstige beheerders begrijpen waarom de policy is geconfigureerd en welke besluiten ten grondslag liggen aan de gekozen instellingen. Het is verstandig om te beginnen met een beperkt aantal, goed doordachte policies die de belangrijkste informatiecategorieën afdekken, en vervolgens geleidelijk uit te breiden wanneer ervaring is opgedaan en behoeften duidelijker zijn geworden. Organisaties moeten ook rekening houden met de interactie tussen retention policies en andere Microsoft 365-functionaliteit zoals eDiscovery, litigation holds en sensitivity labels, en ervoor zorgen dat deze mechanismen elkaar niet tegenwerken of conflicteren.

Een belangrijk aandachtspunt bij remediatie is de communicatie met gebruikers en stakeholders. Wanneer retention policies automatisch items verwijderen, kunnen gebruikers verrast zijn als zij belangrijke informatie niet meer kunnen vinden. Organisaties moeten daarom duidelijk communiceren over welke retention policies actief zijn, hoe deze werken, en wat gebruikers kunnen verwachten. Daarnaast moeten organisaties procedures hebben voor het omgaan met uitzonderingen: wanneer gebruikers of afdelingen specifieke retentievereisten hebben die afwijken van de generieke policies, moeten deze formeel worden vastgesteld en technisch worden geïmplementeerd via adaptive scopes, exclude filters of specifieke policies. Door deze best practices te volgen en remediatie structureel in te richten, kunnen Nederlandse overheidsorganisaties retention policies effectief beheren en compliance-risico's beperken, terwijl zij tegelijkertijd een werkbare digitale werkomgeving voor medewerkers bieden.

Compliance & Frameworks

• BIO: 12.04, 18.01 - Systematisch beheer van informatie inclusief bewaartermijnen en vernietiging na afloop van bewaartermijnen, gerealiseerd via technisch geconfigureerde retention policies in Microsoft 365.
• ISO 27001:2022: A.5.1, A.8.2.2, A.12.4.1 - Informatiebeveiligingsbeleid, classificatie en beheer van informatie-activa gedurende de volledige levenscyclus, technisch geïmplementeerd via retention policies die automatisch bewaartermijnen afdwingen en informatie vernietigen wanneer niet langer nodig.
• NIS2: Artikel - Doorlopende risicobeheersmaatregelen en logging voor incidentrespons en toezicht, ondersteund door retention policies die relevante informatie bewaren terwijl onnodige informatie wordt verwijderd om het aanvalsoppervlak te reduceren.

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Configureer retention policies in Microsoft 365 via Microsoft Purview Data Lifecycle Management om automatisch bewaartermijnen af te dwingen en informatie te vernietigen wanneer niet langer nodig. Dit artikel en het bijbehorende script retention-policies-configured.ps1 bieden Nederlandse overheidsorganisaties een praktische gids voor technische implementatie en geautomatiseerde monitoring van retention policies.

• Implementatietijd: 60 uur
• FTE required: 0.2 FTE