Audit Logging Voor Microsoft Copilot In Microsoft 365

Zonder adequate audit logging voor Microsoft Copilot-activiteiten beschikken organisaties niet over de benodigde zichtbaarheid om te begrijpen hoe AI-functionaliteit wordt gebruikt, welke risico's hieraan verbonden zijn en of gebruikspatronen voldoen aan beleidsrichtlijnen en compliance-vereisten. Dit gebrek aan transparantie kan leiden tot niet-naleving van de Algemene Verordening Gegevensbescherming (AVG), die vereist dat organisaties kunnen aantonen wie toegang heeft gehad tot persoonsgegevens en welke verwerkingen hebben plaatsgevonden. Bovendien maakt het ontbreken van audit logs het onmogelijk om forensisch onderzoek uit te voeren na beveiligingsincidenten waarbij Copilot mogelijk betrokken was, zoals prompt-injection aanvallen, onbevoegde toegang tot vertrouwelijke documenten of datalekken via AI-uitvoer. Voor Nederlandse overheidsorganisaties kan dit leiden tot boetes van de Autoriteit Persoonsgegevens, niet-naleving van BIO-vereisten voor informatiebeveiliging, NIS2-sancties en verlies van vertrouwen bij burgers en toezichthouders. Daarnaast is uitgebreide audit logging essentieel voor het waarborgen van transparantie en verantwoording, waarbij bestuurders moeten kunnen aantonen dat zij passende controles hebben geïmplementeerd om het gebruik van AI-systemen te monitoren en te beheren.

Implementatie

Dit artikel beschrijft een complete aanpak voor het implementeren van uitgebreide audit logging voor Microsoft Copilot in Microsoft 365, inclusief de configuratie van Unified Audit Logging, het activeren van specifieke Copilot-audit events, het configureren van audit log retention policies, het implementeren van geavanceerde logging via Microsoft Purview Audit Premium, en het inrichten van monitoring en alerting op basis van audit logs. Het artikel behandelt zowel technische implementatiestappen als governance-aspecten, zoals het definiëren van welke Copilot-activiteiten moeten worden gelogd, wie toegang heeft tot audit logs, hoe lange logs moeten worden bewaard en hoe logs worden gebruikt voor compliance-doeleinden en beveiligingsmonitoring. Daarnaast worden best practices beschreven voor het analyseren van audit logs, het detecteren van verdachte activiteiten, het genereren van compliance-rapportages en het integreren van Copilot-audit logs in bestaande security information and event management (SIEM) oplossingen.

Vereisten voor Audit Logging Implementatie

Voor het implementeren van uitgebreide audit logging voor Microsoft Copilot in Microsoft 365 zijn verschillende technische, licentie- en organisatorische vereisten noodzakelijk. Op technisch niveau is een Microsoft 365 E3 of E5 licentie vereist, waarbij Microsoft Purview Audit Premium wordt aanbevolen voor geavanceerde logging-functionaliteit, langere bewaartermijnen en verbeterde zoekmogelijkheden. Daarnaast is toegang tot Microsoft 365 Admin Center vereist voor het configureren van audit logging-instellingen, evenals de juiste beheerdersrollen zoals Global Administrator, Compliance Administrator of Security Administrator voor het configureren van logging-configuraties. Voor geavanceerde audit logging functionaliteit kan het nodig zijn om toegang te hebben tot Microsoft Purview Compliance Portal, Microsoft Sentinel of andere SIEM-oplossingen voor het centraliseren en analyseren van audit logs.

Op organisatorisch niveau vereist audit logging implementatie duidelijke governance-structuren en besluitvormingsprocessen. Dit begint met het vaststellen van een Audit Logging Policy die beschrijft welke Copilot-activiteiten moeten worden gelogd, hoe lange logs moeten worden bewaard, wie toegang heeft tot audit logs, en welke procedures moeten worden gevolgd voor het analyseren en gebruiken van logs voor compliance-doeleinden. Dit beleid moet worden ontwikkeld in samenwerking met de CISO, privacy officers, compliance officers en andere relevante stakeholders, en moet worden goedgekeurd door het management voordat implementatie begint. Daarnaast is het essentieel om een implementatieplan op te stellen dat beschrijft welke audit logging configuraties in welke volgorde moeten worden geïmplementeerd, wie verantwoordelijk is voor elke stap, en welke deadlines er zijn voor het voltooien van de implementatie.

Op operationeel niveau vereist audit logging implementatie voldoende technische expertise en resources. Organisaties moeten ervoor zorgen dat IT-beheerders beschikken over de juiste kennis en vaardigheden om audit logging configuraties te implementeren en te beheren, bijvoorbeeld door training te volgen over Unified Audit Logging, Microsoft Purview Audit, en log-analyse technieken, of door externe expertise in te schakelen. Daarnaast moeten organisaties ervoor zorgen dat er voldoende opslagcapaciteit en budget beschikbaar zijn voor het bewaren van audit logs voor de vereiste bewaartermijnen, waarbij rekening wordt gehouden met de volumes van Copilot-activiteiten en de bewaartermijnen die zijn vastgelegd in beleid en wetgeving. Dit kan betekenen dat organisaties een analyse moeten uitvoeren van verwachte log-volumes en opslagvereisten, en dat zij mogelijk moeten investeren in aanvullende opslagoplossingen of log-archivering systemen. Door deze vereisten proactief aan te pakken, kunnen organisaties ervoor zorgen dat audit logging implementatie soepel verloopt en dat alle benodigde logging-functionaliteit correct wordt geïmplementeerd.

Stapsgewijze Implementatie van Audit Logging

De implementatie van uitgebreide audit logging voor Microsoft Copilot in Microsoft 365 begint met het activeren van Unified Audit Logging in Microsoft 365. Unified Audit Logging registreert automatisch alle belangrijke activiteiten binnen Microsoft 365 services, inclusief Copilot-activiteiten, en biedt een centrale logging-oplossing voor alle gebruikers- en beheerdersacties. Organisaties moeten beginnen met het verifiëren dat Unified Audit Logging is ingeschakeld via Microsoft 365 Admin Center of via Exchange Online Management PowerShell, waarbij zij controleren of de audit log status 'On' is en of alle relevante services zijn geconfigureerd voor logging. Daarnaast moeten organisaties ervoor zorgen dat audit logging is geactiveerd voor alle gebruikers die toegang hebben tot Microsoft Copilot, waarbij standaard alle gebruikers automatisch worden opgenomen in audit logging wanneer Unified Audit Logging is ingeschakeld.

Een tweede belangrijke stap in implementatie is het configureren van specifieke Copilot-audit events die moeten worden gelogd. Microsoft Copilot genereert verschillende typen audit events, waaronder CopilotChat events die informatie bevatten over prompts die zijn ingevoerd door gebruikers, CopilotDocumentAccess events die registreren welke documenten zijn geraadpleegd tijdens Copilot-sessies, CopilotResponseGenerated events die informatie bevatten over gegenereerde AI-antwoorden, en CopilotActionTaken events die registreren welke acties zijn ondernomen op basis van Copilot-uitvoer. Organisaties moeten ervoor zorgen dat alle relevante Copilot-events zijn geactiveerd voor logging, waarbij zij gebruik kunnen maken van Microsoft Purview Compliance Portal of PowerShell-scripts om de status van audit event configuraties te controleren en eventuele ontbrekende events te activeren. Het in dit artikel genoemde PowerShell-script kan worden gebruikt om automatisch te controleren welke Copilot-audit events zijn geactiveerd en om ontbrekende events te identificeren en te activeren wanneer dat nodig is.

Een derde belangrijke component van implementatie is het configureren van audit log retention policies die bepalen hoe lange audit logs moeten worden bewaard. Voor Nederlandse overheidsorganisaties gelden verschillende bewaartermijnen afhankelijk van de aard van de gegevens en de toepasselijke wet- en regelgeving. De Archiefwet vereist bijvoorbeeld dat bepaalde administratieve documenten, inclusief audit logs, minimaal zeven jaar worden bewaard, terwijl de AVG vereist dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor zij zijn verzameld. Organisaties moeten daarom audit log retention policies configureren die voldoen aan alle relevante bewaartermijnen, waarbij zij gebruik kunnen maken van Microsoft Purview Audit Premium voor het configureren van langere bewaartermijnen dan de standaard 90 dagen die worden geboden door Unified Audit Logging. Het PowerShell-script kan worden gebruikt om de huidige retention policy configuraties te controleren en om aanbevelingen te genereren voor het configureren van bewaartermijnen die voldoen aan compliance-vereisten.

Tot slot moet implementatie worden ondersteund door het configureren van geavanceerde logging-functionaliteit via Microsoft Purview Audit Premium. Audit Premium biedt verschillende geavanceerde functies, zoals langere bewaartermijnen tot tien jaar, verbeterde zoekfunctionaliteit met geavanceerde filters, real-time waarschuwingen voor verdachte activiteiten, en API-toegang voor het integreren van audit logs in externe SIEM-oplossingen. Organisaties moeten beginnen met het evalueren of Audit Premium nodig is voor hun specifieke vereisten, waarbij zij rekening houden met bewaartermijnen, compliance-vereisten en de behoefte aan geavanceerde analyse-functionaliteit. Wanneer Audit Premium is geactiveerd, moeten organisaties de geavanceerde functies configureren, zoals waarschuwingsregels voor specifieke Copilot-activiteiten die mogelijk verdacht zijn, export configuraties voor het archiveren van logs naar externe systemen, en API-toegang voor SIEM-integraties. Deze configuraties kunnen worden gedaan via Microsoft Purview Compliance Portal of via PowerShell-scripts die gebruik maken van de Microsoft Graph API of Exchange Online Management cmdlets.

Monitoring en Analyse van Audit Logs

Gebruik PowerShell-script audit-logging.ps1 (functie Invoke-Monitoring) – Monitort en analyseert audit logs voor Microsoft Copilot-activiteiten in Microsoft 365, controleert de status van audit logging configuraties, identificeert verdachte activiteiten en genereert compliance-rapportages..

Effectieve monitoring en analyse van audit logs voor Microsoft Copilot is essentieel om te waarborgen dat logging correct blijft functioneren en dat verdachte activiteiten tijdig worden gedetecteerd. Monitoring begint met het regelmatig controleren van de status van audit logging configuraties, inclusief de status van Unified Audit Logging, de activatie van specifieke Copilot-audit events, en de configuratie van retention policies, om te verifiëren dat deze correct zijn geconfigureerd en actief blijven. Dit kan worden gedaan via Microsoft Purview Compliance Portal, Microsoft 365 Admin Center of PowerShell-scripts die programmatisch de status van audit logging configuraties controleren en waarschuwingen genereren wanneer configuraties onverwacht worden gewijzigd of uitgeschakeld. Het in dit artikel genoemde PowerShell-script kan worden gebruikt om regelmatig de status van audit logging configuraties te controleren en rapporten te genereren over de naleving van logging-vereisten.

Naast het monitoren van de status van audit logging configuraties is het essentieel om de inhoud van audit logs te analyseren om verdachte activiteiten te detecteren en inzicht te krijgen in Copilot-gebruikspatronen. Organisaties moeten processen implementeren voor het regelmatig reviewen van audit logs, waarbij wordt gelet op patronen die kunnen wijzen op beveiligingsproblemen, zoals ongebruikelijk hoge aantallen prompts, toegang tot vertrouwelijke documenten buiten normale werkuren, of prompts die mogelijk prompt-injection aanvallen bevatten. Microsoft Purview Compliance Portal biedt functionaliteit voor het zoeken door audit logs met geavanceerde filters, waarbij organisaties kunnen zoeken op gebruiker, datum, activiteitstype, of andere criteria. Daarnaast kunnen organisaties gebruik maken van Microsoft Sentinel of andere SIEM-oplossingen voor het centraliseren en analyseren van audit logs, waarbij geavanceerde correlatieregels kunnen worden geconfigureerd om automatisch verdachte patronen te detecteren en waarschuwingen te genereren.

Een derde belangrijke component van monitoring is het genereren van compliance-rapportages op basis van audit logs. Nederlandse overheidsorganisaties moeten regelmatig rapportages genereren die aantonen dat audit logging correct functioneert, dat alle relevante Copilot-activiteiten worden gelogd, en dat logs worden bewaard voor de vereiste bewaartermijnen. Deze rapportages moeten worden besproken in relevante governance-structuren, zoals CISO-overleg of compliance-commissies, zodat beslissingen kunnen worden genomen over het aanpassen van logging-configuraties of het implementeren van aanvullende maatregelen. Het PowerShell-script kan worden gebruikt om automatisch compliance-rapportages te genereren die inzicht geven in de status van audit logging, het aantal gelogde Copilot-activiteiten, de naleving van bewaartermijnen, en de detectie van verdachte activiteiten. Deze rapportages kunnen worden geëxporteerd naar verschillende formaten, zoals CSV of PDF, en kunnen worden geïntegreerd in bestaande compliance-dashboards en -rapportages.

Tot slot moet monitoring worden ondersteund door continue verbetering van audit logging op basis van nieuwe bedreigingen, veranderende compliance-vereisten en lessen geleerd uit beveiligingsincidenten. Dit betekent dat organisaties processen moeten implementeren voor het regelmatig updaten van logging-configuraties wanneer nieuwe Copilot-functionaliteiten worden geïntroduceerd, voor het bijwerken van retention policies wanneer nieuwe wet- en regelgeving van kracht wordt, en voor het verbeteren van analyse-processen op basis van praktijkervaringen. Organisaties moeten ook kennis delen met andere organisaties, bijvoorbeeld via Information Sharing and Analysis Centers (ISACs) of andere samenwerkingsverbanden, om te leren van elkaars ervaringen en om gezamenlijk te werken aan het verbeteren van audit logging praktijken. Door monitoring te combineren met continue verbetering, kunnen organisaties ervoor zorgen dat audit logging effectief blijft in het bieden van transparantie en verantwoording, zelfs wanneer bedreigingslandschappen en compliance-vereisten evolueren.

Compliance en Framework Mapping

Audit logging voor Microsoft Copilot moet aantoonbaar voldoen aan verschillende compliance-frameworks en wet- en regelgeving die van toepassing zijn op Nederlandse overheidsorganisaties. De Baseline Informatiebeveiliging Overheid (BIO) vormt de primaire basis voor informatiebeveiligingseisen, met specifieke vereisten die relevant zijn voor audit logging. BIO-norm 12.1 vereist logging en monitoring, wat betekent dat alle belangrijke activiteiten, inclusief Copilot-activiteiten, moeten worden gelogd en gemonitord voor beveiligingsdoeleinden. BIO-norm 12.2 vereist log analyse, wat betekent dat organisaties processen moeten hebben voor het analyseren van logs om beveiligingsincidenten te detecteren en te onderzoeken. Voor audit logging implementatie betekent dit dat organisaties moeten kunnen aantonen dat Unified Audit Logging is geactiveerd, dat alle relevante Copilot-activiteiten worden gelogd, en dat logs regelmatig worden geanalyseerd voor verdachte activiteiten.

De Algemene Verordening Gegevensbescherming (AVG) stelt aanvullende eisen voor privacybescherming die relevant zijn voor audit logging. Artikel 30 AVG vereist dat organisaties een register bijhouden van verwerkingsactiviteiten, wat betekent dat organisaties moeten documenteren welke verwerkingen van persoonsgegevens plaatsvinden, inclusief verwerkingen via Microsoft Copilot. Audit logs kunnen worden gebruikt als ondersteunend bewijs voor het verwerkingsregister, waarbij logs aantonen welke persoonsgegevens zijn verwerkt, wie toegang heeft gehad tot deze gegevens, en wanneer verwerkingen hebben plaatsgevonden. Artikel 32 AVG vereist dat organisaties passende technische en organisatorische maatregelen implementeren om persoonsgegevens te beveiligen, wat betekent dat audit logging configuraties moeten worden geconfigureerd met de hoogste standaard voor data protection, inclusief encryptie van logs, toegangscontrole tot logs, en beveiligde opslag van logs. Artikel 33 en 34 AVG vereisen dat organisaties datalekken rapporteren aan toezichthouders en betrokkenen, wat betekent dat audit logs essentieel zijn voor het detecteren, onderzoeken en rapporteren van datalekken die betrekking hebben op Copilot-activiteiten.

De Network and Information Systems Directive 2 (NIS2) stelt aanvullende eisen voor cybersecurity die relevant zijn voor audit logging, met name voor organisaties die worden aangemerkt als essentiële of belangrijke entiteiten. NIS2 vereist dat organisaties passende maatregelen implementeren voor het beveiligen van netwerk- en informatiesystemen, het detecteren van beveiligingsincidenten, en het snel reageren op beveiligingsincidenten. Voor audit logging betekent dit dat organisaties moeten kunnen aantonen dat zij uitgebreide logging hebben geïmplementeerd voor alle belangrijke activiteiten, inclusief Copilot-activiteiten, dat monitoring en detectie continu plaatsvinden, en dat zij snel kunnen reageren op gedetecteerde bedreigingen. NIS2 vereist ook dat organisaties beveiligingsincidenten rapporteren aan relevante toezichthouders, wat betekent dat organisaties processen moeten hebben voor het documenteren en rapporteren van beveiligingsincidenten die betrekking hebben op Copilot-activiteiten. Organisaties moeten daarom ervoor zorgen dat audit logging implementatie niet alleen logging-functionaliteit omvat, maar ook de benodigde processen en procedures voor incident response en rapportage.

Naast deze primaire compliance-frameworks moeten organisaties rekening houden met sectorspecifieke wet- en regelgeving die aanvullende eisen stelt aan audit logging. Voor organisaties die werken met staatsgeheimen gelden aanvullende vereisten vanuit de Wet veiligheidsonderzoeken en de Aanwijzing informatiebeveiliging rijksdienst, die strikte eisen stellen aan logging en monitoring van toegang tot gevoelige gegevens via Copilot. Voor financiële instellingen gelden aanvullende vereisten vanuit de Wft en toezichthoudende richtlijnen van de AFM en DNB, die eisen stellen aan logging en rapportage voor Copilot-activiteiten die betrekking hebben op financiële transacties of klantgegevens. Deze sectorspecifieke vereisten moeten worden meegenomen in de audit logging implementatie, bijvoorbeeld door aanvullende logging-configuraties te implementeren voor sectorspecifieke activiteiten, of door extra rapportage te configureren voor compliance-doeleinden. Door audit logging implementatie te baseren op een grondige analyse van alle relevante compliance-frameworks, kunnen organisaties ervoor zorgen dat audit logging volledig compliant is met alle toepasselijke wet- en regelgeving en dat zij aantoonbaar voldoen aan alle logging- en compliance-eisen.

Remediatie en Correctie van Audit Logging Problemen

Gebruik PowerShell-script audit-logging.ps1 (functie Invoke-Remediation) – Herstelt ontbrekende of incorrect geconfigureerde audit logging instellingen voor Microsoft Copilot wanneer deze niet voldoen aan beveiligings- en compliance-vereisten..

Remediatie van audit logging problemen omvat het herstellen van ontbrekende of incorrect geconfigureerde logging-instellingen, het corrigeren van compliance-schendingen, en het waarborgen dat alle relevante Copilot-activiteiten correct worden gelogd. Wanneer monitoring aangeeft dat audit logging configuraties ontbreken of incorrect zijn geconfigureerd, moeten beheerders snel actie ondernemen om deze te herstellen, omdat het ontbreken van adequate audit logging kan leiden tot niet-naleving van compliance-vereisten, verlies van forensische capaciteit, en onvoldoende transparantie en verantwoording. Het in dit artikel genoemde PowerShell-script kan worden gebruikt om automatisch ontbrekende audit logging configuraties te detecteren en te herstellen, bijvoorbeeld door Unified Audit Logging opnieuw te activeren wanneer deze is uitgeschakeld, door ontbrekende Copilot-audit events te activeren, of door retention policies te herstellen wanneer deze zijn gewijzigd.

Wanneer audit logging configuraties moeten worden hersteld, moeten beheerders eerst de oorzaak van het probleem identificeren en begrijpen. Dit kan betekenen dat zij audit logs moeten reviewen om te begrijpen wanneer en waarom configuraties zijn gewijzigd, dat zij moeten controleren of er onbevoegde wijzigingen zijn doorgevoerd, of dat zij moeten onderzoeken of er technische problemen zijn die hebben geleid tot het uitvallen van logging-functionaliteit. Nadat de oorzaak is geïdentificeerd, kunnen beheerders de juiste remediatie-acties ondernemen, bijvoorbeeld door configuraties opnieuw in te stellen naar de gewenste staat, door toegangscontroles te versterken om te voorkomen dat configuraties opnieuw worden gewijzigd, of door technische problemen op te lossen die hebben geleid tot het uitvallen van logging. Het PowerShell-script kan worden gebruikt om automatisch remediatie-acties uit te voeren wanneer problemen worden gedetecteerd, waarbij het script eerst controleert of remediatie veilig kan worden uitgevoerd en vervolgens de benodigde configuratiewijzigingen doorvoert om logging-functionaliteit te herstellen.

Naast het herstellen van technische configuraties moet remediatie ook aandacht besteden aan het corrigeren van organisatorische problemen die hebben geleid tot audit logging problemen. Dit kan betekenen dat organisaties processen moeten verbeteren voor het beheren van logging-configuraties, dat zij training moeten bieden aan beheerders over het belang van audit logging en de gevolgen van het uitschakelen van logging, of dat zij governance-structuren moeten versterken om te voorkomen dat logging-configuraties zonder goede reden worden gewijzigd. Daarnaast moeten organisaties ervoor zorgen dat incident response procedures aanwezig zijn voor het omgaan met situaties waarin audit logging is uitgevallen of niet correct functioneert, waarbij procedures beschrijven hoe snel logging-functionaliteit moet worden hersteld, hoe wordt omgegaan met de periode waarin logging niet beschikbaar was, en hoe wordt gecommuniceerd met relevante stakeholders over logging-problemen. Door remediatie te combineren met preventieve maatregelen, kunnen organisaties ervoor zorgen dat audit logging betrouwbaar blijft functioneren en dat problemen snel worden opgelost wanneer zij zich voordoen.

Compliance & Frameworks

• CIS M365: Control 8.2 (L1) - Audit logs moeten worden geconfigureerd voor alle belangrijke activiteiten, inclusief toegang tot gevoelige gegevens en configuratiewijzigingen.
• BIO: 12.1.1, 12.1.2, 12.2.1 - Logging en monitoring van alle belangrijke activiteiten, inclusief toegang tot informatie en configuratiewijzigingen, met regelmatige analyse van logs voor beveiligingsdoeleinden.
• ISO 27001:2022: A.8.15, A.12.4, A.12.4.1 - Logging van gebruikersactiviteiten, toegang tot informatie en beveiligingsgebeurtenissen, met monitoring en analyse van logs voor detectie van beveiligingsincidenten.

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Implementeer uitgebreide audit logging voor alle Microsoft Copilot-activiteiten in Microsoft 365, inclusief Unified Audit Logging, specifieke Copilot-audit events, retention policies en geavanceerde logging via Microsoft Purview Audit Premium. Dit waarborgt transparantie, verantwoording en compliance met AVG, BIO en NIS2, en biedt de benodigde capaciteit voor forensisch onderzoek en beveiligingsmonitoring.

• Implementatietijd: 60 uur
• FTE required: 0.5 FTE