Binnen veel organisaties wordt SharePoint gebruikt om documenten veilig op te slaan en te delen. Vooral afdelingen zoals HR, Finance of Management werken regelmatig met vertrouwelijke informatie. Een veelgebruikte aanpak is het aanmaken van een aparte documentbibliotheek met een naam zoals “Besloten bibliotheek”, waarbij alleen leden van een SharePoint-site toegang krijgen.
Op het eerste gezicht lijkt dit een veilige oplossing. Immers, de bibliotheek bevindt zich in een afgeschermde site en alleen geautoriseerde gebruikers kunnen erbij. Maar de vraag is: hoe veilig is dit werkelijk?
Het gevoel van veiligheid
Stel dat de HR-afdeling een eigen SharePoint-site heeft. Binnen deze site wordt een bibliotheek “Besloten bibliotheek” aangemaakt voor documenten zoals salarisinformatie, beoordelingsgesprekken en verzuimdossiers.
Of denk aan een Management Team-site waarin vertrouwelijke strategische documenten worden opgeslagen in een aparte bibliotheek die alleen toegankelijk is voor de leden van het MT.
Veel organisaties gaan ervan uit dat deze documenten daarmee automatisch voldoende beschermd zijn. Helaas is dat niet altijd het geval.
Toegang tot een document is niet hetzelfde als controle over een document
Een belangrijk verschil dat vaak over het hoofd wordt gezien, is dat SharePoint de toegang tot documenten regelt, maar niet altijd wat gebruikers vervolgens met die documenten doen.
Zodra een gebruiker leesrechten heeft op een document, kan deze gebruiker het document vaak:
- Downloaden naar een eigen apparaat.
- Synchroniseren met OneDrive.
- Doorsturen via e-mail.
- Opslaan op een andere locatie.
- Screenshots maken.
- Delen met anderen, afhankelijk van de ingestelde machtigingen.
Met andere woorden: de beveiliging van de bibliotheek stopt niet automatisch bij het openen van het document.
De verborgen risico’s van erven van machtigingen
Een andere veelvoorkomende valkuil is het werken met overgenomen machtigingen.
In SharePoint erven documentbibliotheken standaard hun rechten van de bovenliggende site. Hierdoor kan een bibliotheek ongemerkt toegankelijk zijn voor gebruikers die oorspronkelijk niet in beeld waren.
Dat gebeurt bijvoorbeeld wanneer:
- Nieuwe groepen aan de site worden toegevoegd.
- Organisatiebrede groepen worden gebruikt.
- Externe gasten toegang krijgen tot de site.
- Beheerders aanvullende rechten toekennen.
Een bibliotheek die vandaag goed is afgeschermd, kan over enkele maanden een heel ander rechtenmodel hebben zonder dat iemand zich daarvan bewust is.
Het risico van site-eigenaren
Veel organisaties kennen meerdere site-eigenaren toe om beheer eenvoudiger te maken.
Dat klinkt logisch, maar iedere site-eigenaar heeft doorgaans de mogelijkheid om:
- Machtigingen aan te passen.
- Nieuwe leden toe te voegen.
- Bibliotheken zichtbaar te maken.
- Toegang tot documenten te verlenen.
Daardoor ontstaat een afhankelijkheid van de kennis en zorgvuldigheid van alle site-eigenaren. Een onbedoelde wijziging kan ervoor zorgen dat vertrouwelijke informatie toegankelijk wordt voor een veel grotere groep gebruikers dan bedoeld.
Zoeken kan meer zichtbaar maken dan verwacht
Gebruikers denken vaak dat documenten in een besloten bibliotheek onzichtbaar zijn voor anderen.
Hoewel SharePoint normaal gesproken rekening houdt met machtigingen tijdens het zoeken, kunnen verkeerd ingestelde rechten ertoe leiden dat documenten alsnog zichtbaar worden voor gebruikers die deze eigenlijk niet zouden mogen zien.
Het regelmatig controleren van machtigingen is daarom essentieel, zeker wanneer documenten gevoelige persoonsgegevens of bedrijfsgevoelige informatie bevatten.
Externe gebruikers vormen een extra aandachtspunt
Steeds meer organisaties werken samen met externe partners, leveranciers en consultants. SharePoint maakt dit relatief eenvoudig door gastgebruikers toegang te geven tot sites.
Wanneer een externe gebruiker toegang krijgt tot een site waarin zich ook een “Besloten bibliotheek” bevindt, moet zorgvuldig worden gecontroleerd:
- Welke rechten de gast precies heeft.
- Welke groepen zijn toegewezen.
- Of rechten direct of indirect worden geërfd.
- Of documenten opnieuw gedeeld kunnen worden.
Een kleine configuratiefout kan al voldoende zijn om vertrouwelijke informatie beschikbaar te maken voor onbevoegde personen.
Bescherming vraagt meer dan alleen een besloten bibliotheek
Voor echt vertrouwelijke informatie is een aparte bibliotheek vaak slechts één onderdeel van de oplossing.
Organisaties doen er verstandig aan om daarnaast te kijken naar:
- Aparte SharePoint-sites voor gevoelige informatie.
- Strikt beheer van site-eigenaren.
- Regelmatige controles van machtigingen.
- Beperkingen op downloaden en synchroniseren.
- Gevoeligheidslabels (Sensitivity Labels).
- Data Loss Prevention (DLP)-beleid.
- Voorwaardelijke toegang via Microsoft Entra ID.
- Logging en auditing van documenttoegang.
Hiermee ontstaat een beveiligingslaag die verder gaat dan alleen het afschermen van een documentbibliotheek.
Conclusie
Een SharePoint-bibliotheek met de naam “Besloten bibliotheek” geeft vaak een gevoel van veiligheid. In de praktijk biedt de naam echter geen enkele extra bescherming en is de daadwerkelijke beveiliging volledig afhankelijk van de ingestelde machtigingen, het beheer van gebruikers en de organisatiebrede beveiligingsmaatregelen.
Voor afdelingen zoals HR, Directie en Management Teams is het daarom verstandig om kritisch te kijken naar de vraag: is een besloten bibliotheek voldoende, of vraagt deze informatie om een zwaarder beveiligingsniveau?
Want uiteindelijk zit het grootste risico niet in de techniek van SharePoint, maar in de aanname dat een besloten bibliotheek automatisch ook écht besloten is.