Before firewalls and passwords comes a simpler question: which data would hurt most, where does it live, and who can reach it? In plain language: four ways the answer goes missing, and the one habit that brings it back. Vóór firewalls en wachtwoorden komt een simpelere vraag: welke data doet het meeste pijn, waar staat die, en wie kan erbij? In gewone taal: vier manieren waarop het antwoord verdwijnt, en de gewoonte die het terugbrengt.
Ask five managers which data would hurt most if it leaked tomorrow and you get five lists, or none. Without that answer, everything gets the same protection: the canteen menu and the M&A data room sit in the same folder structure with the same permissions. Equal protection sounds fair. In practice it means the budget is spread thin and the crown jewels get the average.
Business impact: security spend goes where the noise is, not where the value is. A breach of the wrong dataset becomes a regulatory event, a customer event and a headline, while the team was busy hardening things nobody would miss. A one-page list of the five datasets that matter, each with an owner, changes every decision that follows.
Vraag vijf managers welke data het meeste pijn zou doen als die morgen op straat ligt, en u krijgt vijf lijsten, of geen. Zonder dat antwoord krijgt alles dezelfde bescherming: het kantinemenu en de dataroom van de overname staan in dezelfde mappenstructuur met dezelfde rechten. Gelijke bescherming klinkt eerlijk. In de praktijk betekent het dat het budget dun wordt uitgesmeerd en de kroonjuwelen het gemiddelde krijgen.
Bedrijfsimpact: beveiligingsgeld gaat naar waar het lawaai is, niet naar waar de waarde zit. Een lek van de verkeerde dataset wordt een toezichtkwestie, een klantkwestie en een krantenkop, terwijl het team bezig was met het dichttimmeren van dingen die niemand zou missen. Eén A4 met de vijf datasets die ertoe doen, elk met een eigenaar, verandert elke beslissing daarna.
Once an attacker has any foothold, AI tools scan dumped files in minutes and rank them by sensitivity, instantly finding the M&A room and the salary data buried among identical, unlabelled folders.Zodra een aanvaller ergens binnen is, doorzoekt AI in minuten de buitgemaakte bestanden en rangschikt ze op gevoeligheid, en vindt zo meteen de dataroom van de overname en de salarisdata tussen identieke, ongelabelde mappen.
Because nothing carries a label, the exclusion rules that let us tell an AI assistant to skip confidential material have nothing to act on. The protection looks configured, but with an empty label field it restricts exactly nothing.Omdat niets een label draagt, hebben de uitsluitingsregels die een AI-assistent confidentieel materiaal moeten laten overslaan niets om op te sturen. De bescherming oogt ingesteld, maar met een leeg labelveld beperkt ze in de praktijk helemaal niets.
AI can scan documents for patterns like bank details or salary tables and suggest a confidential label automatically, cutting manual tagging work. It still takes a named owner to decide what truly counts as a crown jewel.AI kan documenten scannen op patronen zoals bankgegevens of salaristabellen en automatisch het label vertrouwelijk voorstellen, wat handmatig taggen scheelt. Er is nog steeds een benoemde eigenaar nodig om te bepalen wat echt een kroonjuweel is.
The customer file lives in the CRM. It also lives in the export someone made for a mailing, the spreadsheet finance keeps, the attachment in two hundred mailboxes, a laptop's downloads folder, the test environment that was loaded with real data because fake data was too much work, and every backup of all of the above. Protecting the CRM protects one copy out of forty.
Business impact: the breach rarely comes through the system with the good controls. It comes through the copy nobody tracked, and the letter you then send to customers has to explain why their data was in a test system. Fewer copies is cheaper than more controls: every copy you do not make is one you never have to secure, find or delete.
Het klantenbestand staat in het CRM. Het staat ook in de export die iemand maakte voor een mailing, het spreadsheet dat finance bijhoudt, de bijlage in tweehonderd mailboxen, de downloadmap van een laptop, de testomgeving die met echte data is gevuld omdat nepdata te veel werk was, en in elke back-up van al het bovenstaande. Het CRM beveiligen beschermt één kopie van de veertig.
Bedrijfsimpact: het lek komt zelden via het systeem met de goede maatregelen. Het komt via de kopie die niemand bijhield, en de brief die u daarna aan klanten stuurt, moet uitleggen waarom hun gegevens in een testsysteem stonden. Minder kopieën is goedkoper dan meer maatregelen: elke kopie die u niet maakt, hoeft u nooit te beveiligen, te vinden of te wissen.
An attacker who reaches one weak copy, such as the test system loaded with real data, can use AI recon tools to fingerprint the same records elsewhere, but this still needs a foothold and time to explore.Een aanvaller die bij één zwakke kopie komt, zoals het testsysteem met echte data, kan met AI-verkenningstools dezelfde records elders herkennen, maar dat vraagt nog steeds een voet tussen de deur en tijd om te zoeken.
Employees now paste customer lists or contract text into public AI chatbots to summarise or reformat them, creating an untracked copy outside every control we have, often without realising it counts as a data export.Medewerkers plakken klantenlijsten of contracttekst tegenwoordig in publieke AI-chatbots om ze samen te vatten of te herschrijven, waardoor een ongecontroleerde kopie ontstaat buiten elke maatregel, vaak zonder te beseffen dat dit een data-export is.
AI-driven data-discovery tools fingerprint the customer file's content and scan mailboxes, drives and backups to find copies humans lost track of, including test systems quietly loaded with real data instead of masked substitutes.AI-gestuurde datadiscoverytools herkennen de inhoud van het klantenbestand en doorzoeken mailboxen, schijven en back-ups naar kopieën die mensen kwijt zijn, inclusief testsystemen die stiekem met echte in plaats van gemaskeerde data zijn gevuld.
Sharing is one click, and the default is generous: anyone with the link, the whole company, the whole partner organisation. Nobody revisits it. Years later the folder holds the salary review, the legal dispute and the pricing model, still open to everyone who ever had the link. Then one account is phished, and the attacker does not need to break into anything. They open the folders the account could already see.
Business impact: the damage from a single compromised account is decided long before the phishing mail arrives, by how much that account was allowed to see. Broad sharing turns a minor incident into a full data breach. Enterprise copilots such as Microsoft 365 Copilot show each user everything their permissions reach, so a permissions review before rollout is worth doing first. Defaults matter more than policies: when “internal only” and “expires in 30 days” are the default, oversharing has to be a deliberate act.
Delen is één klik, en de standaardinstelling is gul: iedereen met de link, het hele bedrijf, de hele partnerorganisatie. Niemand kijkt er nog naar. Jaren later bevat de map de salarisronde, het juridische geschil en het prijsmodel, nog steeds open voor iedereen die ooit de link had. Dan wordt één account gephisht, en de aanvaller hoeft nergens in te breken. Hij opent de mappen die het account al kon zien.
Bedrijfsimpact: de schade van één gehackt account wordt lang vóór de phishingmail bepaald, door hoeveel dat account mocht zien. Ruim delen maakt van een klein incident een volledig datalek. Zakelijke copilots zoals Microsoft 365 Copilot tonen elke gebruiker alles waar diens rechten bij kunnen, dus een rechtencontrole vóór de uitrol loont. Standaardinstellingen wegen zwaarder dan beleid: als “alleen intern” en “verloopt na 30 dagen” de standaard zijn, wordt te ruim delen een bewuste handeling.
AI drastically cuts the cost of the spear-phishing mail that compromises the one account that matters: convincing, personalised, grammatically perfect, and built in seconds from public profiles instead of hours of manual research.AI verlaagt drastisch de kosten van de spearphishingmail die het ene cruciale account kraakt: overtuigend, persoonlijk, foutloos Nederlands, in seconden gebouwd op basis van openbare profielen in plaats van uren handmatig speurwerk.
An AI assistant with normal search access acts as a search engine over every folder an account can technically reach, surfacing the salary review or pricing model that a stale, forgotten link left open for years.Een AI-assistent met gewone zoekrechten werkt als een zoekmachine over elke map die een account technisch kan bereiken, en haalt zo de salarisronde of het prijsmodel naar boven die een verouderde, vergeten link jarenlang openliet.
AI tools can scan sharing settings and flag links that never expire, folders shared company-wide with no written reason, and access nobody has used in years, giving a shortlist to revoke instead of a full manual audit.AI-tools kunnen deelinstellingen doorzoeken en links signaleren die nooit verlopen, bedrijfsbreed gedeelde mappen zonder schriftelijke reden, en toegang die jarenlang niet is gebruikt, wat een shortlist oplevert om in te trekken in plaats van een volledige handmatige controle.
Storage is cheap and deleting feels risky, so nothing is ever deleted. Job applications from 2011, ex-customers' records, expired contracts, chat logs. Every retention policy says two or seven years; every system still holds fifteen. When the breach comes, it exposes all of it, and the regulator asks a question that has no good answer: why did you still have this?
Business impact: data you no longer need is pure liability. It cannot generate value; it can only leak. Under GDPR keeping it too long is itself a violation, separate from the breach, and it multiplies the number of people you have to notify. A retention schedule that actually deletes is the only control that makes the problem smaller every year instead of bigger.
Opslag is goedkoop en wissen voelt riskant, dus wordt er nooit iets gewist. Sollicitaties uit 2011, dossiers van ex-klanten, verlopen contracten, chatlogs. Elk bewaarbeleid zegt twee of zeven jaar; elk systeem bewaart nog vijftien. Als het lek komt, ligt alles op straat, en stelt de toezichthouder een vraag waarop geen goed antwoord bestaat: waarom had u dit nog?
Bedrijfsimpact: data die u niet meer nodig hebt, is pure aansprakelijkheid. Ze levert geen waarde meer op; ze kan alleen nog lekken. Onder de AVG is te lang bewaren op zichzelf al een overtreding, los van het lek, en het vermenigvuldigt het aantal mensen dat u moet informeren. Een bewaarschema dat echt wist, is de enige maatregel die het probleem elk jaar kleiner maakt in plaats van groter.
Once a breach happens, AI tools sift through fifteen years of retained records in minutes, pulling out the still-valid bank details, ID numbers and contracts that make the stolen data far more usable and valuable.Zodra een lek gebeurt, doorzoekt AI vijftien jaar bewaarde dossiers in minuten en haalt daar de nog geldige bankgegevens, BSN's en contracten uit, waardoor de gestolen data veel bruikbaarder en waardevoller wordt.
An internal AI search tool indexed across every system can retrieve a 2011 job application or an ex-customer's file that should already have been deleted, exposing data nobody remembered still existed.Een interne AI-zoektool die alles doorzoekt kan een sollicitatie uit 2011 of het dossier van een ex-klant naar boven halen dat allang gewist had moeten zijn, en zo data blootleggen waarvan niemand meer wist dat die nog bestond.
AI can scan systems against the retention schedule and flag every record past its date, turning a manual yearly review into a daily check. The control that actually reduces risk is still deletion that happens automatically.AI kan systemen aftoetsen aan het bewaarschema en elk record signaleren dat zijn termijn is gepasseerd, waardoor een jaarlijkse handmatige controle een dagelijkse check wordt. De maatregel die het risico echt verkleint blijft automatische verwijdering.
| Control | Addresses | In one line |
|---|---|---|
| Classification | Crown jewels (01) | Three or four labels people actually understand: public, internal, confidential, secret. More than that and nobody uses it. |
| Named owners | Crown jewels (01) | One person per crown-jewel dataset who decides who may see it and answers for it. Not IT; the business. |
| Automatic labels | Crown jewels (01), Sharing (03) | Documents with bank details or ID numbers get the confidential label without anyone asking. Labels drive the sharing rules. |
| Sharing defaults | Sharing (03) | New shares are internal only, external links expire in 30 days, company-wide folders need a written reason. |
| No production data in test | Sprawl (02) | Test systems use masked or synthetic data. Real data in test is a copy with none of the controls. |
| Retention schedule | Retention (04) | Per data type a period and an automatic deletion. Reviewed yearly; exceptions are written down with a name. |
| Light DLP | Sprawl (02), Sharing (03) | Alert or block when the two or three most sensitive types leave by mail or link. Not everything; the crown jewels. |
| Annual data map | All four | Once a year, per crown-jewel dataset: where it lives, who can reach it, when it is deleted. One page, signed by the owner. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Classificatie | Kroonjuwelen (01) | Drie of vier labels die mensen echt begrijpen: openbaar, intern, vertrouwelijk, geheim. Meer dan dat en niemand gebruikt het. |
| Eigenaren | Kroonjuwelen (01) | Eén persoon per kroonjuweel die bepaalt wie het mag zien en erop aanspreekbaar is. Niet IT; de business. |
| Automatische labels | Kroonjuwelen (01), Delen (03) | Documenten met bankgegevens of BSN's krijgen het label vertrouwelijk zonder dat iemand het vraagt. Labels sturen de deelregels. |
| Deelstandaarden | Delen (03) | Nieuwe shares zijn alleen intern, externe links verlopen na 30 dagen, bedrijfsbrede mappen vragen een schriftelijke reden. |
| Geen productiedata in test | Wildgroei (02) | Testsystemen gebruiken gemaskeerde of synthetische data. Echte data in test is een kopie zonder enige maatregel. |
| Bewaarschema | Bewaren (04) | Per gegevenstype een termijn en een automatische verwijdering. Jaarlijks herzien; uitzonderingen staan op papier met een naam erbij. |
| Lichte DLP | Wildgroei (02), Delen (03) | Waarschuw of blokkeer als de twee of drie gevoeligste typen via mail of link vertrekken. Niet alles; de kroonjuwelen. |
| Jaarlijkse datakaart | Alle vier | Eén keer per jaar, per kroonjuweel: waar het staat, wie erbij kan, wanneer het wordt gewist. Eén A4, ondertekend door de eigenaar. |
Every organisation has more copies than it knows. Ask where the customer file lives and count the different answers.Elke organisatie heeft meer kopieën dan ze weet. Vraag waar het klantenbestand staat en tel de verschillende antwoorden.
A breach of unclassified, over-retained data means more people to notify, a separate finding for keeping it, and no quick answer to “what was taken?”.Een lek van ongeclassificeerde, te lang bewaarde data betekent meer mensen om te informeren, een aparte bevinding over het bewaren, en geen snel antwoord op “wat is er buitgemaakt?”.
With the crown jewels named, sharing defaults tightened and retention enforced, one compromised account or system exposes a bounded, known set.Met benoemde kroonjuwelen, strakke deelstandaarden en een afgedwongen bewaartermijn legt één gehackt account of systeem een begrensde, bekende set bloot.
Data belongs to the business, not to IT. The CIO provides the tooling; the data owners decide what is kept, shared and deleted.Data is van de business, niet van IT. De CIO levert de tooling; de data-eigenaren bepalen wat wordt bewaard, gedeeld en gewist.
Crown-jewel datasets with a named owner (out of five) · % of external sharing links without an expiry · test systems holding production data · oldest personal data still kept beyond its schedule.Kroonjuwelen met een benoemde eigenaar (van de vijf) · % externe deellinks zonder vervaldatum · testsystemen met productiedata · oudste persoonsgegevens die nog buiten het bewaarschema worden bewaard.
“Unclassified, duplicated and over-retained data turns any single compromise into a large-scale personal-data breach with regulatory findings.”“Ongeclassificeerde, gedupliceerde en te lang bewaarde data maakt van elk afzonderlijk incident een grootschalig datalek met bevindingen van de toezichthouder.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| GDPR | Personal data is kept no longer than needed (storage limitation, Art. 5(1)(e)). A record of processing activities lists what you hold, why and, where possible, for how long (Art. 30). A classification and retention schedule show both. | A supplier that processes your personal data needs a processing agreement (Art. 28). Ask how they delete your data at the end of the retention period and at exit. | A personal-data breach: notify the Autoriteit Persoonsgegevens within 72 hours (Art. 33); inform the people affected when the risk is high (Art. 34). Over-retained data widens both. |
| NIS2 | NIS2 requires measures proportionate to the risk, and asset management, including classification, is among them. You cannot show proportionality without a classification. | Ask which of your data classes they process and how they keep it apart from other customers. A generic answer means they do not know either. | Whether an incident can count as significant depends partly on the data involved. A classification helps you decide within the 24-hour early-warning window; without it you notify late, or notify everything. Then notification within 72 hours, final report within one month. |
| DORA | DORA requires financial entities to identify and classify information assets and the functions they support, and map where data flows, including to third parties. | Every ICT third party belongs in the register together with the data it holds. If you cannot list what they hold, the register is incomplete. | Whether an incident counts as a major ICT incident depends partly on the data affected. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. |
| SOC 2 | The Confidentiality and Privacy criteria cover identifying and classifying confidential information and retaining and disposing of it per policy. Auditors ask for the retention schedule and proof of deletion. | Check whether Confidentiality and Privacy are in scope at all; many reports cover Security only. Then read how they classify and dispose of your data. | A leak of data that should already have been deleted is a control failure on retention as well as on security, and lands in the report as an exception. |
| ISAE 3402 | The focus is financial reporting. Data classification only appears where the integrity and confidentiality of data affect the financial process. | The report will not tell you where your data is copied or how long it is kept. Ask for the data flow and the retention terms in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. If you are the service organisation, expect the question why the data still existed. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| AVG | Persoonsgegevens worden niet langer bewaard dan nodig (opslagbeperking, art. 5 lid 1 onder e). Een register van verwerkingsactiviteiten legt vast wat u bewaart, waarom en, waar mogelijk, hoelang (art. 30). Een classificatie en een bewaarschema tonen beide aan. | Een leverancier die uw persoonsgegevens verwerkt, heeft een verwerkersovereenkomst nodig (art. 28). Vraag hoe hij uw data wist aan het eind van de bewaartermijn en bij vertrek. | Bij een datalek: meld het binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33); informeer de betrokkenen als het risico hoog is (art. 34). Te lang bewaarde data vergroot beide. |
| NIS2 | NIS2 vraagt maatregelen die in verhouding staan tot het risico, en assetbeheer, inclusief classificatie, hoort daarbij. Zonder classificatie kunt u die verhouding niet aantonen. | Vraag welke van uw dataklassen zij verwerken en hoe ze die gescheiden houden van andere klanten. Een algemeen antwoord betekent dat zij het ook niet weten. | Of een incident als significant kan gelden, hangt mede af van de betrokken data. Een classificatie helpt u beslissen binnen de 24 uur voor de vroegtijdige waarschuwing; zonder meldt u te laat, of meldt u alles. Daarna melding binnen 72 uur, eindverslag binnen een maand. |
| DORA | DORA vraagt financiële instellingen om informatieassets en de functies die ze ondersteunen identificeren en classificeren, en in kaart brengen waar data naartoe stroomt, ook naar derden. | Elke ICT-derde hoort in het register, samen met de data die hij bewaart. Kunt u niet opsommen wat zij bewaren, dan is het register onvolledig. | Of een incident als ernstig ICT-incident geldt, hangt mede af van de getroffen data. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur, eindrapport binnen een maand. |
| SOC 2 | De criteria Confidentiality en Privacy gaan erover dat vertrouwelijke informatie wordt geïdentificeerd en geclassificeerd, en volgens beleid wordt bewaard en vernietigd. Auditors vragen naar het bewaarschema en bewijs van verwijdering. | Controleer of Confidentiality en Privacy überhaupt binnen scope vallen; veel rapporten dekken alleen Security. Lees daarna hoe zij uw data classificeren en vernietigen. | Een lek van data die al gewist had moeten zijn, is een tekortkoming op bewaren én op beveiliging, en komt als afwijking in het rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Dataclassificatie komt alleen aan bod waar integriteit en vertrouwelijkheid van data het financiële proces raken. | Het rapport vertelt u niet waar uw data wordt gekopieerd of hoelang die wordt bewaard. Vraag in plaats daarvan om de datastroom en de bewaartermijnen in het contract. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. Bent u zelf de serviceorganisatie, verwacht dan de vraag waarom de data nog bestond. |
Checked against: GDPR Art. 5, 28, 30, 33–34, NIS2 Art. 21 and 23, DORA Art. 8 and 19, Microsoft 365 Copilot privacy documentation (2026) · September 2026.
Gecontroleerd tegen: AVG art. 5, 28, 30, 33–34, NIS2 art. 21 en 23, DORA art. 8 en 19, privacydocumentatie Microsoft 365 Copilot (2026) · september 2026.