Een bestuurder vraagt Copilot om een samenvatting van de laatste besluiten over de reorganisatie en krijgt een keurig overzicht, inclusief het personeelsplan dat alleen HR mocht zien. Geen datalek, geen omzeilde beveiliging, geen bug. Copilot deed precies wat het hoort te doen: antwoord geven op basis van alles waar deze gebruiker toegang toe heeft. Het probleem is dat die toegang al jaren te breed was. Niemand merkte het, omdat niemand ernaar zocht.
Copilot verandert niets aan je rechten
Dit is het misverstand dat we het vaakst horen: dat Copilot informatie ontsluit die eerder afgeschermd was. Dat is niet zo. Copilot leest via Microsoft Graph en respecteert exact de rechten die in SharePoint, OneDrive, Teams en Exchange zijn ingesteld. Het voegt geen toegang toe. Wat het wel doet, is de bestaande toegang doorzoekbaar maken in gewone taal, op het tempo van een gesprek. Een map met salarisoverzichten die per ongeluk voor "Iedereen behalve externe gebruikers" openstond, was vroeger alleen te vinden door iemand die er toevallig op klikte. Nu volstaat de vraag "wat verdient mijn collega?".
Copilot maakt dus geen nieuw risico. Het maakt een oud risico eindelijk zichtbaar. Dat is in zekere zin goed nieuws: het dwingt tot een opruimactie die veel organisaties al tien jaar uitstellen.
Waar de te brede rechten vandaan komen
- De groep "Iedereen behalve externe gebruikers". Een ingebouwde SharePoint-groep met alle interne gebruikers, ook toekomstige. Content komt er op twee manieren in terecht: via een site die als openbaar is aangemaakt, of via een bestand dat iemand met die groep heeft gedeeld in de personenkiezer. Die tweede route zie je niet terug in site-overzichten en veroorzaakt de meeste incidenten.
- Deellinks. "Iedereen in de organisatie met de link" is jarenlang de standaard geweest. Zo'n link blijft geldig, ook als het document later gevoelig wordt.
- Verbroken overerving. Sites waar per map en per bestand afwijkende rechten zijn gezet, met eigenaren die de organisatie al hebben verlaten.
- Teams-sites van projecten die klaar zijn. Niemand ruimt ze op, iedereen die er ooit in zat heeft nog toegang.
Wat Microsoft je geeft om het te vinden en te beperken
SharePoint Advanced Management is inmiddels inbegrepen zodra je één Copilot-licentie in de tenant hebt. Het levert de rapporten die je nodig hebt: welke sites het breedst gedeeld zijn, welke bestanden via "Iedereen"-links bereikbaar zijn, en toegangsbeoordelingen die site-eigenaren zelf kunnen uitvoeren. Daarnaast zijn er drie hekken:
- Restricted Content Discovery houdt een site bereikbaar voor wie er rechten op heeft, maar haalt hem uit de resultaten van Copilot en zoeken. Handig voor archieven en gevoelige sites waar je eerst de rechten wilt herzien.
- Restricted Access Control beperkt de toegang tot een site hard tot een gekozen groep, ongeacht wat er in de site zelf gedeeld is.
- Vertrouwelijkheidslabels uit Purview: content met het label "Zeer vertrouwelijk" wordt standaard niet door Copilot samengevat.
Let op met Restricted SharePoint Search, de tijdelijke noodrem die Copilot beperkte tot een lijst van maximaal honderd sites. Microsoft bouwt die af; nieuw inschakelen is sinds eind juli 2026 niet meer mogelijk. Het was ook nooit een beveiligingsgrens, alleen een manier om tijd te kopen.
De volgorde die werkt
- Meten. Draai de rapporten voordat je iets aanzet. Je wilt weten hoeveel sites en bestanden te breed gedeeld zijn, en welke er echt toe doen.
- Indammen. Zet Restricted Content Discovery op de sites met het hoogste risico: HR, directie, financiën, juridisch. Dat kost een middag en voorkomt het pijnlijke eerste voorbeeld.
- Opruimen. Haal "Iedereen behalve externe gebruikers" weg waar het niet hoort, laat "Iedereen"-links verlopen, en laat site-eigenaren hun toegang beoordelen. Begin bij de sites waar de rapporten op wijzen, niet bij alles tegelijk.
- Vastzetten. Verander de standaard voor nieuwe deellinks naar "specifieke personen", label gevoelige content, en maak toegangsbeoordelingen een terugkerend proces.
- Pas dan uitrollen. Eerst een kleine groep, dan breder. Met een go/no-go-moment ertussen.
Dit is identity-first in de praktijk: niet de AI beperken, maar zorgen dat wie toegang heeft, die toegang ook hoort te hebben. Dat is precies wat de Cyberbeveiligingswet onder "toegangsbeheer" verstaat, en wat een auditor als eerste wil zien.
Wil je weten hoe breed jouw omgeving nu gedeeld is voordat je Copilot aanzet? Plan een gesprek; we kijken graag mee.