Gegevensclassificatie Met Sensitivity Labels In Microsoft 365

<# .SYNOPSIS Overzicht en kwaliteitscontrole van sensitivity labels in Microsoft 365 .DESCRIPTION Dit script geeft een gestructureerd overzicht van sensitivity labels in Microsoft 365 en toetst in hoeverre de inrichting aansluit op een aantal basisontwerpcriteria: duidelijke naamgeving, aanwezigheid van beveiligingsinstellingen, publicatiestatus en gebruik van labels in de tenant. Het script hoort bij het artikel 'Gegevensclassificatie met sensitivity labels in Microsoft 365' binnen de Nederlandse Baseline voor Veilige Cloud en ondersteunt CISO, FG, informatiebeheerders en technische beheerders bij periodieke kwaliteitscontroles. .NOTES Filename: sensitivity-labels.ps1 Author: Nederlandse Baseline voor Veilige Cloud Created: 2025-11-26 Version: 1.0 Related JSON: content/m365/compliance/sensitivity-labels.json Category: compliance Workload: m365 .LINK https://github.com/m365-tenant-best-practise .EXAMPLE .\sensitivity-labels.ps1 -Monitoring -DebugMode Voert een lokale debug-run uit zonder verbinding met Microsoft 365 en toont voorbeeldgegevens. .EXAMPLE .\sensitivity-labels.ps1 -Monitoring Haalt live sensitivity labels op via Security & Compliance PowerShell en toont een samenvatting. .EXAMPLE .\sensitivity-labels.ps1 -RemediationGuidance Toont richtlijnen en voorbeeldstappen om naamgeving, beveiligingsinstellingen en ontwerp van labels te verbeteren. #> #Requires -Version 5.1 #Requires -Modules ExchangeOnlineManagement [CmdletBinding()] param( [Parameter(HelpMessage = "Voer een controle uit op het huidige sensitivity label-beleid")] [switch]$Monitoring, [Parameter(HelpMessage = "Toon remediatie-richtlijnen en voorbeeldstappen voor verbeterd ontwerp")] [switch]$RemediationGuidance, [Parameter(HelpMessage = "Toon welke acties u zou nemen zonder wijzigingen in de tenant")] [switch]$WhatIf, [Parameter(HelpMessage = "Voer een veilige lokale test uit zonder verbinding met Microsoft 365")] [switch]$DebugMode ) $ErrorActionPreference = 'Stop' Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Sensitivity Labels – Gegevensclassificatie" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "========================================`n" -ForegroundColor Cyan $script:ExpectedClassificationLevels = @( "Openbaar", "Intern", "Vertrouwelijk", "Geheim" ) function Connect-ComplianceService { <# .SYNOPSIS Maakt verbinding met Microsoft Purview (Security & Compliance). .DESCRIPTION Gebruikt Connect-IPPSSession uit de ExchangeOnlineManagement-module. #> [CmdletBinding()] param() Write-Host "Verbinding maken met Microsoft Purview (Security & Compliance)..." -ForegroundColor Gray Connect-IPPSSession -ShowBanner:$false -ErrorAction Stop | Out-Null } function Get-SensitivityLabelOverview { <# .SYNOPSIS Haalt sensitivity labels en bijbehorende configuratie op. .DESCRIPTION Combineert Get-Label en Get-LabelPolicy tot een overzicht met beveiligingsinstellingen, publicatiestatus en ontwerpkwaliteitsindicatoren. .OUTPUTS PSCustomObject per label. #> [CmdletBinding()] param() $labels = Get-Label -ErrorAction Stop $policies = Get-LabelPolicy -ErrorAction SilentlyContinue foreach ($label in $labels) { $labelPolicies = $policies | Where-Object { $_.Labels -contains $label.Name } $hasEncryption = $label.EncryptionEnabled -eq $true $hasContentMarking = ($label.ContentMarkingEnabled -eq $true) -or ($label.HeaderEnabled -eq $true) -or ($label.FooterEnabled -eq $true) $hasWatermark = $label.WatermarkEnabled -eq $true $isPublished = ($labelPolicies | Measure-Object).Count -gt 0 $hasClearName = $label.Name -match "Openbaar|Intern|Vertrouwelijk|Geheim|Public|Internal|Confidential|Secret" [PSCustomObject]@{ Name = $label.Name DisplayName = $label.DisplayName Enabled = $label.Enabled HasEncryption = $hasEncryption HasContentMarking = $hasContentMarking HasWatermark = $hasWatermark IsPublished = $isPublished HasClearName = $hasClearName Tooltip = $label.Tooltip } } } function Invoke-LabelOverview { <# .SYNOPSIS Voert de monitoring uit op de sensitivity labels. .OUTPUTS PSCustomObject met samenvatting en details. #> [CmdletBinding()] param() $result = [PSCustomObject]@{ ScriptName = "sensitivity-labels.ps1" Timestamp = Get-Date TotalLabels = 0 EnabledLabels = 0 PublishedLabels = 0 Labels = @() Findings = @() } try { if ($DebugMode) { Write-Host "DebugMode ingeschakeld: er wordt geen verbinding gemaakt met Microsoft 365." -ForegroundColor Yellow Write-Host "Voorbeeldgegevens worden gebruikt om logica en rapportage te testen.`n" -ForegroundColor Yellow $sampleLabels = @( [PSCustomObject]@{ Name = "Openbaar" DisplayName = "Openbaar" Enabled = $true HasEncryption = $false HasContentMarking = $false HasWatermark = $false IsPublished = $true HasClearName = $true Tooltip = "Openbare informatie zonder restricties" }, [PSCustomObject]@{ Name = "Intern" DisplayName = "Intern" Enabled = $true HasEncryption = $false HasContentMarking = $true HasWatermark = $false IsPublished = $true HasClearName = $true Tooltip = "Interne documenten voor medewerkers" }, [PSCustomObject]@{ Name = "Vertrouwelijk" DisplayName = "Vertrouwelijk" Enabled = $true HasEncryption = $true HasContentMarking = $true HasWatermark = $true IsPublished = $true HasClearName = $true Tooltip = "Vertrouwelijke informatie met encryptie" } ) $result.TotalLabels = $sampleLabels.Count $result.EnabledLabels = ($sampleLabels | Where-Object { $_.Enabled }).Count $result.PublishedLabels = ($sampleLabels | Where-Object { $_.IsPublished }).Count $result.Labels = $sampleLabels } else { Connect-ComplianceService Write-Host "Ophalen van sensitivity labels en policies..." -ForegroundColor Gray $overview = Get-SensitivityLabelOverview if (-not $overview) { $result.Findings += "Er zijn geen sensitivity labels gevonden in Microsoft Purview." } else { $result.TotalLabels = ($overview | Measure-Object).Count $result.EnabledLabels = ($overview | Where-Object { $_.Enabled }).Count $result.PublishedLabels = ($overview | Where-Object { $_.IsPublished }).Count $result.Labels = $overview $unpublished = $overview | Where-Object { -not $_.IsPublished } if ($unpublished) { $count = ($unpublished | Measure-Object).Count $result.Findings += "$count labels zijn niet gepubliceerd en daardoor niet beschikbaar voor gebruikers." } $noEncryption = $overview | Where-Object { ($_.Name -match "Vertrouwelijk|Geheim|Confidential|Secret") -and -not $_.HasEncryption } if ($noEncryption) { $count = ($noEncryption | Measure-Object).Count $result.Findings += "$count labels voor vertrouwelijke of geheime informatie hebben geen encryptie ingeschakeld." } $unclearNames = $overview | Where-Object { -not $_.HasClearName } if ($unclearNames) { $count = ($unclearNames | Measure-Object).Count $result.Findings += "$count labels hebben geen duidelijke naamgeving die het classificatieniveau herkenbaar maakt." } $noContentMarking = $overview | Where-Object { ($_.Name -match "Vertrouwelijk|Geheim|Confidential|Secret") -and -not $_.HasContentMarking } if ($noContentMarking) { $count = ($noContentMarking | Measure-Object).Count $result.Findings += "$count labels voor vertrouwelijke of geheime informatie hebben geen content marking (header/footer) ingeschakeld." } } } Write-Host "`nSamenvatting sensitivity labels:" -ForegroundColor Cyan Write-Host (" Totaal aantal labels : {0}" -f $result.TotalLabels) -ForegroundColor White Write-Host (" Actieve labels : {0}" -f $result.EnabledLabels) -ForegroundColor White Write-Host (" Gepubliceerde labels : {0}" -f $result.PublishedLabels) -ForegroundColor White if ($result.Findings.Count -gt 0) { Write-Host "`nBelangrijkste bevindingen:" -ForegroundColor Yellow foreach ($finding in $result.Findings) { Write-Host (" - {0}" -f $finding) -ForegroundColor Yellow } } else { Write-Host "`nEr zijn geen directe kwaliteitsissues in de basiscontrole gevonden." -ForegroundColor Green } if ($result.Labels.Count -gt 0) { Write-Host "`nOverzicht labels:" -ForegroundColor Cyan foreach ($label in $result.Labels) { $status = if ($label.Enabled) { "Actief" } else { "Uitgeschakeld" } $published = if ($label.IsPublished) { "Gepubliceerd" } else { "Niet gepubliceerd" } Write-Host (" - {0} ({1}, {2})" -f $label.Name, $status, $published) -ForegroundColor White if ($label.HasEncryption) { Write-Host (" Encryptie: Ingeschakeld") -ForegroundColor Gray } if ($label.HasContentMarking) { Write-Host (" Content marking: Ingeschakeld") -ForegroundColor Gray } if ($label.HasWatermark) { Write-Host (" Watermerk: Ingeschakeld") -ForegroundColor Gray } } } return $result } catch { Write-Host "`n[FAIL] Fout tijdens controle van sensitivity labels: $_" -ForegroundColor Red throw } } function Show-RemediationGuidance { <# .SYNOPSIS Geeft richtlijnen voor verbetering van ontwerp en governance van sensitivity labels. .DESCRIPTION Voert zelf geen wijzigingen door, maar beschrijft concrete stappen en voorbeeldcmdlets. #> [CmdletBinding()] param() Write-Host "`nRemediatie-richtlijnen voor sensitivity labels:" -ForegroundColor Cyan Write-Host "`n1. Governance en classificatiekader" -ForegroundColor White Write-Host " - Leg formeel vast welke classificatieniveaus nodig zijn (bijv. Openbaar, Intern, Vertrouwelijk, Geheim)." -ForegroundColor Gray Write-Host " - Beschrijf de koppeling tussen BIO-normen, AVG-eisen en concrete labels in M365." -ForegroundColor Gray Write-Host " - Stel verantwoordelijkheden vast voor classificatiebeslissingen en training." -ForegroundColor Gray Write-Host "`n2. Naamgeving en labels" -ForegroundColor White Write-Host " - Gebruik consistente, beschrijvende namen zoals 'Openbaar', 'Intern', 'Vertrouwelijk', 'Geheim'." -ForegroundColor Gray Write-Host " - Vermijd cryptische of generieke namen die het classificatieniveau niet duidelijk maken." -ForegroundColor Gray Write-Host " - Zorg dat labels corresponderen met het vastgestelde classificatiekader." -ForegroundColor Gray Write-Host "`n3. Beveiligingsinstellingen" -ForegroundColor White Write-Host " - Zorg dat labels voor Vertrouwelijk en Geheim encryptie hebben ingeschakeld." -ForegroundColor Gray Write-Host " - Gebruik content marking (headers/footers) voor vertrouwelijke en geheime informatie." -ForegroundColor Gray Write-Host " - Overweeg watermerken voor zeer gevoelige documenten." -ForegroundColor Gray Write-Host " - Configureer toegangsbeperkingen en rechten per classificatieniveau." -ForegroundColor Gray Write-Host "`n4. Publicatie en adoptie" -ForegroundColor White Write-Host " - Publiceer labels naar gebruikers en workloads (Exchange, SharePoint, OneDrive, Teams)." -ForegroundColor Gray Write-Host " - Overweeg automatische labeling op basis van inhoudsanalyse of trefwoorden." -ForegroundColor Gray Write-Host " - Train medewerkers in het gebruik van labels en de gevolgen van classificatie." -ForegroundColor Gray Write-Host "`n5. Voorbeeldcmdlets (aanpassen aan eigen beleid, bij voorkeur eerst in acceptatieomgeving)" -ForegroundColor White Write-Host " # Voorbeeld: controleer welke labels beschikbaar zijn" -ForegroundColor DarkGray Write-Host " Get-Label | Select-Object Name, DisplayName, Enabled" -ForegroundColor DarkGray Write-Host "" -ForegroundColor DarkGray Write-Host " # Voorbeeld: controleer welke labels zijn gepubliceerd" -ForegroundColor DarkGray Write-Host " Get-LabelPolicy | Select-Object Name, Labels" -ForegroundColor DarkGray Write-Host "" -ForegroundColor DarkGray Write-Host " # Voorbeeld: controleer beveiligingsinstellingen van een label" -ForegroundColor DarkGray Write-Host " Get-Label -Identity 'Vertrouwelijk' | Select-Object Name, EncryptionEnabled, ContentMarkingEnabled, WatermarkEnabled" -ForegroundColor DarkGray if ($WhatIf) { Write-Host "`nWhatIf: er zijn geen wijzigingen uitgevoerd; gebruik deze voorbeelden alleen na interne afstemming en testen." -ForegroundColor Yellow } else { Write-Host "`nLET OP: dit script voert zelf geen configuratiewijzigingen uit. Alle aanpassingen dienen via gecontroleerde change-processen te verlopen." -ForegroundColor Yellow } } try { if ($Monitoring) { $overview = Invoke-LabelOverview } elseif ($RemediationGuidance) { Show-RemediationGuidance } else { Write-Host "Beschikbare parameters:" -ForegroundColor Yellow Write-Host " -Monitoring : Toon een overzicht en basiscontrole van sensitivity labels" -ForegroundColor Gray Write-Host " -RemediationGuidance : Toon richtlijnen en voorbeelden voor verbeterd ontwerp" -ForegroundColor Gray Write-Host " -DebugMode : Voer een veilige lokale test uit zonder verbinding met Microsoft 365" -ForegroundColor Gray Write-Host " -WhatIf : Toon alleen welke acties geadviseerd worden, zonder wijzigingen" -ForegroundColor Gray Write-Host "`nVoorbeeld: .\sensitivity-labels.ps1 -Monitoring -DebugMode" -ForegroundColor Cyan } } catch { Write-Error "Scriptuitvoering is mislukt: $_" exit 2 } finally { Write-Host "`n========================================`n" -ForegroundColor Cyan } # Exitcodes: # 0 = gereserveerd voor toekomstige uitgebreide compliance-evaluaties # 2 = fout tijdens uitvoering