Det er måndag morgon hos Fjordvik Gruppen AS. Dagleg leiar har eitt spørsmål til den IT-ansvarlege: «Har vi eigentleg kontroll på informasjonen vår?»
Det er ikkje eit urimeleg spørsmål. Fjordvik har 85 tilsette fordelte på tre kontor. Dei samarbeider med kundar og leverandørar, og Microsoft 365 har blitt den naturlege staden å lagre tilbod, kontraktar, prosjektfiler og personaldokument. Men når nokon spør kva som faktisk ligg i SharePoint, kven som eig informasjonen, og kva som kan vere sensitivt, blir svara mindre presise.
Den IT-ansvarlege kunne ha starta med å blokkere deling. Det ville i det minste ha sett handlekraftig ut. Men kva om ein samtidig stoppar prosjektleiaren frå å sende eit legitimt tilbod til ein kunde?
I Fjordvik vel dei ein annan start: Dei skal finne ut kva dei har, før dei bestemmer kva dei skal verne.
Før dei kan verne informasjonen, må dei forstå den
Den IT-ansvarlege samlar HR-ansvarleg og ein prosjektleiar. Dei vel eit avgrensa SharePoint-område og går gjennom eksisterande dokument, kven som eig informasjonen, og kven som faktisk har tilgang til den. Dei avgrensar gjennomgangen til informasjon dei har tenestleg behov for å sjå.
HR-ansvarleg kjenner personopplysningane og krava til konfidensialitet. Prosjektleiaren kjenner verdien av kontraktar og tilbod. Den IT-ansvarlege ser korleis dokumenta blir lagra, delte og sikra. Ingen sit med heile biletet åleine.
Før Fjordvik kan bestemme kva som skal vernast, må dei bli einige om kva informasjonen betyr for verksemda.
Ein god grunnmur, men ikkje heile bygget
Fjordvik har Microsoft 365 Business Premium, og det er eit godt utgangspunkt. Dei har allereie fleire grunnleggjande funksjonar for informasjonsvern i Microsoft Purview, mellom anna sensitivitetsetikettar og grunnleggjande DLP.
Men dei oppdagar ganske raskt at det er forskjell på å ha verktøy for å verne informasjon og å ha verktøy for å forstå kva informasjon ein faktisk sit på.
Når dei vil undersøkje kvar sensitiv informasjon ligg, og kva teknologien kan identifisere på tvers av dokument, møter dei lisensgrensa. Analysevisningar som Content Explorer og Activity Explorer krev meir omfattande lisensiering enn Business Premium åleine. Ei kvalifiserande tilleggslisens eller prøveordning kan bli aktuelt når dei er klare for ein teknisk pilot.
Men arbeidet treng ikkje stoppe. Fjordvik kan kartleggje informasjon, vurdere tilgangar og bruke funksjonane dei allereie har. No veit dei òg betre kva meir avansert innsikt kan vere verdt å betale for.
Ei kartlegging dei kan starte med i dag
Fjordvik byrjar der informasjonen faktisk ligg. I det avgrensa SharePoint-området går HR-ansvarleg og prosjektleiaren gjennom relevante, eksisterande dokument. Dei kartlegg kva dokumenta inneheld, kva dei blir brukte til, kven som eig dei, og kven som treng tilgang. Gjennomgangen skjer innanfor dei tilgangane og arbeidsoppgåvene dei allereie har.
Dei finn uklare eigarforhold og enkelte tilgangar som bør vurderast nærare. Dei blir òg einige om kva kategoriar av informasjon som er viktige for verksemda. Resultatet er ei manuell kartlegging, ikkje ein automatisk Purview-analyse.
Når Fjordvik seinare får rett lisensiering og roller, kan dei samanlikne funna med det Content Explorer (classic) eller Data explorer viser. Dei to visningane har ulike føresetnader. Og manglande treff første dagen er ikkje fasiten: Microsoft dokumenterer at SharePoint-innhald i enkelte tilfelle kan bruke opptil 14 dagar før det blir vist i Content Explorer.
Activity Explorer kan seinare vise aktivitet knytt til mellom anna etikettar og DLP, med historikk for dei siste 30 dagane. Sidan Fjordvik enno ikkje har tatt slike kontrollar i aktiv bruk i piloten, er det ikkje der dei byrjar.
Når behovet for meir innsikt melder seg
Etter den første gjennomgangen spør dagleg leiar: «Må vi verkeleg gjere dette manuelt for alle dokumenta våre?»
Det er eit naturleg spørsmål. Den manuelle kartlegginga har gitt Fjordvik eit betre bilete av informasjonsverdiane, men ho skalerer dårleg. No har dei ein konkret grunn til å vurdere meir avanserte Purview-funksjonar.
Ein teknisk pilot kan byggje på ei eiga testflate med syntetiske dokument. Med rett lisens og roller kan dei då undersøkje kva klassifiseringa kjenner att, og kva den overser, utan å bruke ekte personopplysningar som eksperiment.
Eit treff er ikkje det same som eit problem
Eit fødselsnummer i ei personalmappe kan vere heilt legitimt. Det same fødselsnummeret i ei prosjektmappe med vide tilgangar kan krevje nærare undersøking.
Samtidig kan ein kontraktmal med prisstrategiar og kommersielle vilkår vere svært viktig for Fjordvik, utan å innehalde eit einaste fødselsnummer.
Purview kan kjenne att bestemte mønster og informasjonstypar. Men eit teknisk treff fortel ikkje automatisk om noko er eit avvik. Og manglande treff betyr ikkje at informasjonen er ufarleg.
Dette er eit illustrerande døme, ikkje resultat frå ein verkeleg Purview-tenant.
For Fjordvik blir dette ei viktig erkjenning: Dei treng ikkje berre eit system som finn sensitiv informasjon. Dei må òg lære systemet kva slags informasjon som faktisk er viktig for verksemda. Det blir neste utfordring for Fjordvik.
Kva har Fjordvik oppnådd?
Dei har ikkje blokkert deling, klassifisert alle dokument eller bevist at verksemda etterlever GDPR. Men dei har kartlagt eit reelt informasjonsområde, involvert dei rette informasjonseigarane og funne både verdiar og blindsoner.
Dei har òg lært at Business Premium er ein god grunnmur, men at meir systematisk analyse kan krevje fleire lisensar. No kan dei vurdere ei konkret prøveordning og ein avgrensa teknisk pilot, i staden for å kjøpe funksjonar utan å vite kva dei skal løyse.
I neste del: Når Purview ikkje forstår kva som er viktig
Fjordvik har fått betre oversikt over informasjonen sin. Men dei sit framleis med ei utfordring.
Ein kontrakt med viktige prisvilkår kan vere langt meir forretningskritisk enn eit dokument som inneheld eit fødselsnummer. Likevel er det ikkje sikkert Purview kjenner att kontrakten som sensitiv informasjon.
Så korleis lærer ein teknologien å kjenne att informasjon som er viktig for akkurat di verksemd?
I neste del ser vi korleis Fjordvik går frå manuell kartlegging til meir målretta klassifisering, og kva som skal til for at Purview kan kjenne att meir enn berre standardiserte mønster.
Heilt ærleg
Eg meiner Microsoft 365 Business Premium framleis er ein svært god lisens for mange norske verksemder. Du får mykje tryggleik og funksjonalitet for pengane, òg innan informasjonsvern.
Men når du byrjar å arbeide systematisk med informasjonen din, oppdagar du gjerne ganske raskt at ambisjonane blir større enn lisensen. Det er ikkje eit argument for å kjøpe E5 til alle. Det er eit argument for å forstå behova før du bestemmer deg for løysinga.
Start med informasjonen du har. Finn ut kven som eig den, kven som har tilgang, og kva som betyr noko for verksemda. Bruk funksjonane du allereie betaler for, og test meir avansert teknologi når du veit kva du vil oppnå.
Business Premium kan vere ein god grunnmur. Men det er først når du kjenner informasjonen din at du veit kva resten av bygget faktisk treng.
Eg trur mange verksemder gjer dette vanskelegare enn det treng å vere. Dei ser for seg eit stort Purview-prosjekt med omfattande klassifisering, kompliserte reglar og risiko for å stoppe arbeidsdagen.
Men du treng ikkje starte der.
Start med ei avgrensa arbeidsflate, ein informasjonseigar og eit spørsmål du faktisk treng svar på. Kontroller lisensar og tilgang før du går vidare. Bruk syntetiske data til å lære korleis løysinga oppfører seg. Og ver like interessert i det Purview ikkje finn, som i det den finn.
For det er først når du forstår informasjonen at du kan ta gode avgjerder om korleis den skal vernast.