Microsoft 365 Copilot maakt veel werk makkelijker. Het vat e-mails samen, helpt bij het schrijven van documenten en zoekt snel informatie op. Maar er zit een schaduwzijde aan: Copilot kan ook informatie ophalen die eigenlijk niet voor iedereen bedoeld is. Niet door een fout van de tool zelf, maar door hoe rechten en toegang in veel organisaties geregeld zijn.
In dit artikel leggen we uit hoe dat werkt, wat we qua Copilot tegenkomen bij pentests en wat je kunt doen om je omgeving goed in te richten.
Hoe Copilot bij jouw data komt
Copilot werkt op basis van jouw toegangsrechten in Microsoft 365. Alles wat jij kunt zien, kan Copilot ook opvragen en samenvatten. Dat is precies wat het zo krachtig maakt. Maar als rechten niet zorgvuldig zijn ingesteld, of als bepaalde mappen breed toegankelijk zijn gemaakt, dan geeft Copilot ook die informatie terug.
Een simpele vraag zoals “welke wachtwoorden heb ik ooit opgeslagen?” is genoeg om documenten te laten verschijnen die dat antwoord bevatten. Hetzelfde geldt voor vragen over salarisgegevens of interne personeelsdossiers. Copilot doorzoekt alles wat toegankelijk is, ook als die data feitelijk vertrouwelijk is.
Wat we zien bij pentests
Tijdens pentests komen we dit soort situaties regelmatig tegen. Via een standaardgebruikersaccount vonden we wachtwoorden terug, gewoon door er via een prompt in Copilot naar te vragen. In een ander geval kwamen personeelsgegevens naar voren uit een Teams-kanaal dat bedoeld was voor intern gebruik, maar voor iedereen zichtbaar was.
De organisaties zelf waren zich er niet van bewust dat die informatie zo makkelijk was op te vragen. Dat is precies waarom testen zo waardevol is: je ontdekt dingen die je niet ziet als je alleen naar de technische instellingen kijkt.
Waarom handmatig testen het verschil maakt
Een geautomatiseerde scan kijkt naar bekende kwetsbaarheden in systemen. Dat is nuttig, maar het mist de situaties die ontstaan door menselijke instellingen, fouten in rechtenstructuren of het gebruik van tools zoals Copilot. Bij een pentest gaan we actief aan de slag: we stellen vragen, proberen scenario’s uit en kijken hoe ver we komen.
De Copilot-bevindingen kwamen naar boven juist omdat we gerichte vragen stelden die een echte gebruiker ook zou stellen. Dat handmatige werk geeft inzicht dat een scan niet geeft.
Wat je zelf kunt doen
Er zijn een aantal stappen die direct verschil maken. De kern is toegang beperken tot wat mensen echt nodig hebben. Kijk regelmatig na wie er bij welke bestanden en mappen kan op SharePoint, Teams en OneDrive.
Geef gevoelige documenten een label, zoals “Vertrouwelijk” of “Alleen HR”. Microsoft Purview biedt mogelijkheden om die labels te koppelen aan toegangsregels en versleuteling. Zorg ook dat medewerkers begrijpen hoe Copilot werkt en welke informatie het kan ophalen. Wie dat weet, gaat zorgvuldiger om met hoe data wordt opgeslagen en gedeeld.
Houd tot slot bij wat er via Copilot wordt opgevraagd. Via auditlogs en monitoringtools zie je welke prompts worden gebruikt en welke informatie wordt getoond. Dat geeft inzicht en maakt afwijkend gedrag zichtbaar.
Een snelle controle
Wil je snel nagaan hoe je er nu voor staat? Loop deze vragen door:
- Zijn rechten per functie of afdeling goed ingesteld?
- Is gevoelige data gelabeld en afgeschermd?
- Weten medewerkers wat Copilot kan opvragen?
- Wordt het gebruik van Copilot gemonitord?
- Is er ooit actief getest wat Copilot in jullie omgeving kan ophalen?
Een goed ingerichte omgeving begint met inzicht
Copilot is een krachtige tool, maar die kracht vraagt om een zorgvuldige inrichting. Door rechten, labels en bewustwording op orde te hebben, werk je veiliger zonder dat het ten koste gaat van het gemak.
Wil je weten hoe jouw omgeving er nu voor staat? We kijken graag mee. Neem gerust en vrijblijvend contact op.
