Dataclassificatie

Wat is dataclassificatie?

Dataclassificatie is het proces waarbij data wordt ingedeeld in categorieën op basis van gevoeligheid en de mogelijke schade bij verlies, diefstal of onbevoegde toegang. Een bestand met de lunchmenu's van de kantine krijgt een andere classificatie dan een dossier met medische gegevens of financiële cijfers vóór publicatie. Dataclassificatie bepaalt dus hóe belangrijk data is, en welke bescherming daarbij hoort: wie er toegang toe krijgt, hoe lang het bewaard blijft en of het versleuteld moet worden.

Voor veel organisaties klinkt dataclassificatie als iets voor de IT-afdeling of de compliance officer. In de praktijk raakt het iedereen die met data werkt: een verkoper die een offerte deelt, een HR-medewerker die een cv doorstuurt, een controller die een jaarrekening opstelt. Zonder classificatie behandelt een organisatie vaak alles hetzelfde, met als gevolg dat gevoelige informatie net zo losjes rondgaat als een intern memo over de vrijdagmiddagborrel.

Waarom dataclassificatie nu urgenter wordt

Drie ontwikkelingen duwen dataclassificatie hoger op de agenda. Ten eerste de regelgeving: de AVG verplicht organisaties al om persoonsgegevens passend te beveiligen, ISO 27001 vereist expliciet dat informatie-assets worden geïdentificeerd en geclassificeerd, en de NIS2-richtlijn dwingt een groeiende groep sectoren om kritieke data en systemen in kaart te brengen. Ten tweede de toename van cyberaanvallen en ransomware, waarbij aanvallers specifiek zoeken naar de meest waardevolle data binnen een netwerk. Ten derde de groei van clouddiensten en samenwerkingstools, waardoor data sneller dan ooit tussen systemen, teams en organisaties heen en weer beweegt.

Zonder dataclassificatie weet een organisatie bij een incident vaak niet direct welke data er precies is geraakt en hoe ernstig dat is. Met een werkend classificatiesysteem is dat binnen uren duidelijk in plaats van weken.

Het BIV-model: de basis onder dataclassificatie

De meeste vormen van dataclassificatie zijn gebouwd op drie pijlers, samen bekend als het BIV-model: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Beschikbaarheid gaat over de vraag hoe snel en hoe vaak data toegankelijk moet zijn. Integriteit gaat over de juistheid en volledigheid van data: mag een foutje in een cijfer grote gevolgen hebben? En vertrouwelijkheid gaat over wie de data mag inzien.

Bij dataclassificatie wordt aan elke pijler meestal een niveau toegekend, bijvoorbeeld laag, midden of hoog. Een klantendatabase kan bijvoorbeeld een hoge score krijgen op vertrouwelijkheid, maar een lagere score op beschikbaarheid, terwijl een productiesysteem juist hoog scoort op beschikbaarheid omdat uitval direct de bedrijfsvoering raakt.

Drie manieren om data te classificeren

Bij het uitvoeren van dataclassificatie bestaan er grofweg drie benaderingen, die organisaties vaak combineren.

Content-gebaseerde classificatie kijkt naar de inhoud van een bestand zelf. Software scant documenten op patronen zoals burgerservicenummers, creditcardgegevens of medische termen en kent op basis daarvan automatisch een classificatie toe.

Context-gebaseerde classificatie kijkt niet naar de inhoud, maar naar de herkomst: wie heeft het bestand gemaakt, in welke applicatie, en in welke map staat het. Een document uit de map "HR-dossiers" krijgt zo automatisch een hogere classificatie, ongeacht de exacte inhoud.

Gebruikersgebaseerde classificatie legt de verantwoordelijkheid bij de medewerker zelf. Bij het opslaan of versturen van een document kiest de gebruiker handmatig een label, bijvoorbeeld "intern" of "vertrouwelijk". Dit werkt alleen goed als medewerkers begrijpen waarom dat nodig is, anders verdwijnt elk document standaard in de laagste categorie.

Niveaus in de praktijk: van kantine tot patiëntendossier

Een dataclassificatieschema hoeft niet ingewikkeld te zijn. De meeste organisaties werken met drie tot vier niveaus. Een veelgebruikt model:

• Openbaar: informatie die zonder risico gedeeld kan worden, zoals een persbericht of jaarverslag.
• Intern: bedoeld voor medewerkers, zoals een interne memo of planning, maar geen ramp bij per ongeluk delen.
• Vertrouwelijk: gegevens die schade kunnen veroorzaken bij ongeautoriseerde toegang, zoals salarisgegevens, contracten of klantenlijsten.
• Geheim: de meest gevoelige categorie, zoals medische dossiers, strafrechtelijke gegevens of strategische bedrijfsgeheimen, waarbij een lek ernstige juridische of financiële gevolgen heeft.

In de zorg valt vrijwel elk patiëntendossier automatisch in de hoogste categorie, simpelweg omdat het om bijzondere persoonsgegevens gaat. Bij gemeenten geldt hetzelfde voor dossiers over bijstand of jeugdzorg. Bij een productiebedrijf ligt de nadruk vaak op andere data: tekeningen, receptuur of leverancierscontracten die concurrenten niet in handen mogen krijgen. Bij een financiële instelling gaat het weer om koersgevoelige informatie die vóór publicatie strikt binnenskamers moet blijven. Dataclassificatie is dus geen kwestie van één schema dat overal past, maar van een indeling die aansluit bij wat er in een specifieke organisatie daadwerkelijk op het spel staat.

Hoe voer je dataclassificatie in?

Organisaties die voor het eerst met dataclassificatie beginnen, lopen meestal vast op één ding: te groot denken. Een compleet classificatieschema voor de hele organisatie in één keer optuigen, duurt maanden en verzandt vaak voordat het af is. Een aanpak in stappen werkt beter.

Begin met een inventarisatie van de belangrijkste databronnen: waar staan klantgegevens, financiële data en personeelsdossiers, en wie beheert die systemen? Stel vervolgens een eenvoudig schema op met drie tot vier niveaus, met heldere criteria per niveau in plaats van vage omschrijvingen. Wijs per databron een eigenaar aan die verantwoordelijk is voor de classificatie, vaak de proceseigenaar in plaats van IT. Voer daarna labels in, handmatig of via software, en train medewerkers zodat zij begrijpen waarom een label ertoe doet en niet alleen hoe ze het moeten instellen. Herzie het schema ten minste jaarlijks, en sowieso na een groot incident, een reorganisatie of nieuwe wetgeving.

Wat de wet vraagt: AVG, ISO 27001 en NIS2 naast elkaar

Drie kaders sturen dataclassificatie in Nederland, elk vanuit een andere invalshoek.

Geen van de drie kaders schrijft één verplicht classificatieschema voor. Ze verwachten wel dat een organisatie kan aantonen dát ze weloverwogen heeft nagedacht over welke data gevoelig is en waarom.

Software: meer dan alleen Microsoft Purview

In vrijwel elk artikel over dataclassificatie duikt Microsoft Purview op, en dat is niet zonder reden: veel organisaties werken al met Microsoft 365, en Purview kan gevoelige data automatisch herkennen en labelen binnen Outlook, Teams en SharePoint. Maar het is niet de enige optie. Andere aanbieders zoals Varonis, Netwrix, Boldon James en Spirion richten zich specifiek op classificatie en dataclassificatie-monitoring, vaak met sterkere ondersteuning voor omgevingen buiten Microsoft, zoals eigen dataservers of andere cloudplatformen. Voor kleinere organisaties is dataclassificatie ook prima te starten zonder specialistische software: een duidelijk schema, labels in bestandsnamen of mapstructuren, en een paar afspraken zijn vaak al genoeg om de grootste risico's af te dekken. De keuze voor software hangt vooral af van de omvang van de organisatie en de mate waarin data al verspreid is over verschillende systemen.

AI verandert hoe dataclassificatie werkt

Waar dataclassificatie vroeger vooral handmatig gebeurde, nemen AI-modellen steeds meer van dat werk over. Ze scannen grote hoeveelheden documenten, herkennen patronen die op gevoelige data wijzen en kennen daar automatisch een label aan toe, ook in bestanden waar niemand meer naar omkijkt. Dat scheelt tijd, zeker bij organisaties met jaren aan opgebouwde data.

Die automatisering kent ook een keerzijde. AI-modellen maken fouten: een document kan te laag worden geclassificeerd omdat het systeem een patroon mist, of juist te hoog omdat een onschuldig woord toevallig op een gevoelige term lijkt. Bij te veel foutmeldingen negeren medewerkers de labels op termijn, wat het hele systeem ondermijnt. De meeste experts raden dan ook aan om AI-classificatie te combineren met steekproefsgewijze menselijke controle, zeker bij de hoogste risicocategorieën.

Waar het misgaat

Een aantal fouten keert steeds terug bij organisaties die met dataclassificatie beginnen. De meest voorkomende is een schema met te veel niveaus en te vage criteria, waardoor medewerkers niet meer weten welk label van toepassing is en willekeurig gaan kiezen. Een tweede is het ontbreken van duidelijk eigenaarschap: als niemand verantwoordelijk is voor een databron, blijft de classificatie steken op papier. Een derde is dataclassificatie zien als eenmalig project in plaats van doorlopend proces, waardoor het schema na een jaar allang niet meer aansluit bij hoe de organisatie werkt. En een vierde, misschien wel de belangrijkste: classificeren om het classificeren, zonder dat de uitkomst ergens toe leidt. Een label heeft alleen waarde als er ook daadwerkelijk andere maatregelen aan gekoppeld zijn, zoals toegangsbeperking of encryptie.

Wat het kost, en wat het oplevert

De kosten van dataclassificatie verschillen sterk per organisatie. Voor een klein bedrijf dat met een eenvoudig schema en handmatige labels werkt, blijft de investering vooral beperkt tot uren: inventariseren, een schema opstellen en medewerkers informeren. Grotere organisaties die automatische classificatie via software inzetten, betalen daarnaast licentiekosten en tijd voor implementatie en beheer.

Daar staat tegenover dat een datalek met onbekende omvang doorgaans veel duurder uitpakt dan een goed opgezet classificatiesysteem, al is dat effect lastig in een vast bedrag te vangen. Organisaties die al weten waar hun gevoelige data staat, herstellen na een incident sneller, kunnen gerichter onderzoeken wat er precies is gebeurd en voorkomen dat onnodig alles als "mogelijk gelekt" moet worden behandeld.

Veelgestelde vragen over dataclassificatie

Wat zijn de niveaus van dataclassificatie? De meeste schema's gebruiken drie tot vier niveaus, bijvoorbeeld openbaar, intern, vertrouwelijk en geheim. Het exacte aantal en de precieze criteria bepaalt elke organisatie zelf, op basis van de risico's die voor haar relevant zijn.

Is dataclassificatie verplicht? Er bestaat geen wet die één specifiek classificatieschema voorschrijft, maar de AVG, ISO 27001 en NIS2/Wbni verwachten wel dat organisaties weten welke data gevoelig is en daar passende maatregelen op nemen. In de praktijk is dataclassificatie daarmee een impliciete eis.

Wat is het verschil tussen dataclassificatie en data governance? Dataclassificatie is één onderdeel binnen het bredere vakgebied data governance. Governance gaat over alle regels en processen rond dataeigenaarschap, kwaliteit en gebruik, terwijl classificatie zich specifiek richt op het bepalen van gevoeligheid en beschermingsniveau.

Hoe vaak moet je dataclassificatie herzien? Minimaal één keer per jaar, en daarnaast bij grote veranderingen zoals een reorganisatie, nieuwe wetgeving of een beveiligingsincident.

Welke rol speelt AI bij dataclassificatie? AI versnelt het scannen en labelen van grote hoeveelheden data, maar vervangt de menselijke controle niet volledig. Vooral bij de gevoeligste categorieën blijft een steekproef door een mens nodig om fouten van het systeem op te vangen.

Dataclassificatie blijft voor veel organisaties onzichtbaar werk, iets dat pas opvalt zodra het misgaat. Met de aankomende NIS2-verplichtingen en de groeiende hoeveelheid data die bedrijven dagelijks verwerken, wordt het steeds moeilijker om die stap over te slaan. Wie nu een eenvoudig classificatieschema opzet, staat er bij het volgende incident, of bij de volgende audit, aanzienlijk beter voor dan wie ermee wacht.