Gevoelige data binnen een data analyse tool beveilig je door een combinatie van
toegangsbeheer, encryptie, exportbeleid en
compliancemaatregelen toe te passen. Welke maatregelen precies nodig zijn, hangt
af van het type data dat je verwerkt, de tools die je gebruikt en de wetgeving waaraan je
organisatie moet voldoen. De vragen hieronder geven per thema een concreet antwoord.

Welke soorten gevoelige data komen voor in analyse tools?

In data analyse tools komen verschillende categorieën gevoelige data voor:

• Persoonsgegevens — zoals namen, e-mailadressen en BSN-nummers
• Financiële gegevens — zoals omzetcijfers en marges
• Medische of HR-data
• Bedrijfskritische informatie — zoals klantlijsten of contractprijzen

Al deze categorieën vragen om een andere aanpak qua beveiliging en toegang.

Veel organisaties realiseren zich pas hoe gevoelig hun data is op het moment dat ze dashboards en
rapporten gaan bouwen. In een Power BI-omgeving, bijvoorbeeld, worden gegevens
uit meerdere bronnen gecombineerd. Dat maakt het inzichtelijker, maar ook kwetsbaarder: een slecht
ingesteld rapport kan ineens meer data tonen dan de bedoeling is.

Het is daarom verstandig om aan het begin van een BI-project een data-inventarisatie
te doen. Welke tabellen bevatten persoonsgegevens? Welke velden zijn bedrijfsvertrouwelijk? Die
kennis vormt de basis voor alle beveiligingskeuzes die daarna volgen.

Hoe werkt toegangsbeheer binnen een data analyse tool?

Toegangsbeheer binnen een data analyse tool werkt via rollen en rechten: gebruikers
krijgen alleen toegang tot de data die relevant is voor hun functie. De meeste moderne tools,
waaronder Power BI, werken met zogenaamde Row-Level Security (RLS), waarmee je per
gebruikersrol bepaalt welke rijen data zichtbaar zijn, zelfs binnen hetzelfde rapport.

Goed toegangsbeheer bestaat uit meerdere lagen:

• Op het niveau van de tool — stel je in wie rapporten mag bekijken, bewerken
  of publiceren
• Op het niveau van de onderliggende database — bepaal je wie toegang heeft tot
  welke tabellen of views
• Op het niveau van de organisatie — stel je vast welke afdeling welke informatie
  nodig heeft

Rollen en rechten instellen

Begin met het definiëren van gebruikersgroepen op basis van functie of afdeling.
Een salesmanager heeft andere inzichten nodig dan een financieel controller. Door rollen te koppelen
aan Active Directory of Azure AD, beheer je toegang centraal en hoef je bij
personeelswisselingen niet handmatig rechten aan te passen.

Row-Level Security toepassen

Met RLS zorg je ervoor dat twee gebruikers hetzelfde rapport openen, maar elk
alleen hun eigen data zien. Een regiomanager ziet dan alleen de cijfers van zijn regio, terwijl de
directeur het totaaloverzicht krijgt. Dit voorkomt dat gevoelige data per ongeluk breed zichtbaar
wordt.

Wat is het verschil tussen data-encryptie in rust en in transit?

Data-encryptie in rust beschermt gegevens die zijn opgeslagen, bijvoorbeeld in
een database of op een server. Data-encryptie in transit beschermt gegevens
terwijl ze worden verzonden, bijvoorbeeld van een database naar een dashboard of van een server
naar een gebruiker. Beide vormen zijn noodzakelijk voor een volledige beveiliging van je data
analyse omgeving.

• Encryptie in rust voorkomt dat iemand die fysiek toegang krijgt tot
  opslagmedia, de data kan lezen. In Azure SQL en SQL Server wordt dit geregeld via
  Transparent Data Encryption (TDE).
• Encryptie in transit wordt geregeld via TLS-verbindingen,
  zodat data onderweg niet onderschept kan worden.

Een veelgemaakte fout is dat organisaties wel aandacht besteden aan één van beide, maar niet aan
allebei. Data die versleuteld is opgeslagen maar onversleuteld wordt verzonden, blijft kwetsbaar.
Zorg dus dat beide lagen actief zijn en regelmatig worden gecontroleerd.

Hoe voorkom je datalekken via exports en gedeelde rapporten?

Datalekken via exports en gedeelde rapporten voorkom je door:

• Exportmogelijkheden te beperken per gebruikersrol
• Gedeelde links te beveiligen met authenticatie en een vervaldatum
• Een duidelijk beleid te hanteren over wie rapporten mag delen en met wie
• In te stellen dat wijzigingen in toegangsrechten worden gelogd, zodat je
  achteraf kunt reconstrueren wie wanneer toegang had

Juist bij het delen van inzichten zit een groot risico: een rapport dat intern veilig is, kan
extern een datalek veroorzaken.

In tools zoals Power BI kun je exportfunctionaliteit per rol uitschakelen.
Gebruikers die alleen mogen kijken, kunnen dan geen Excel-export maken van de onderliggende data.
Dit is een eenvoudige maar effectieve maatregel die vaak over het hoofd wordt gezien.

Daarnaast is het verstandig om gedeelde links te voorzien van een vervaldatum en
te vereisen dat ontvangers inloggen met een bedrijfsaccount. Anonieme links naar
rapporten met gevoelige bedrijfsdata zijn een vermijdbaar risico.

Welke compliance-eisen gelden voor data analyse in Nederland?

In Nederland gelden voor data analyse primair de eisen uit de
AVG (Algemene Verordening Gegevensbescherming), die verplicht dat:

• Persoonsgegevens alleen worden verwerkt met een rechtmatige grondslag
• Gegevens beveiligd worden opgeslagen
• Data niet langer wordt bewaard dan nodig

Afhankelijk van de sector kunnen aanvullende eisen gelden, zoals NEN 7510 in de
zorg of ISO 27001 als algemene norm voor informatiebeveiliging.

Voor organisaties die met Power BI of vergelijkbare tools werken, betekent dit concreet dat ze
moeten kunnen aantonen:

• Wie toegang heeft gehad tot welke data
• Hoe lang gegevens worden bewaard
• Of verwerking plaatsvindt binnen de EU

Microsoft biedt hiervoor mogelijkheden via de compliance-instellingen in de
Microsoft 365-omgeving, maar de verantwoordelijkheid voor de juiste configuratie
ligt bij de organisatie zelf.

Een verwerkersovereenkomst met je toolprovider is verplicht als die provider
persoonsgegevens verwerkt namens jouw organisatie. Vergeet ook niet dat rapportages met
persoonsgegevens die worden gedeeld met externe partijen, vallen onder de
AVG-meldplicht bij een eventueel datalek.

Wanneer is een on-premise analyse tool veiliger dan een cloudoplossing?

Een on-premise data analyse tool is veiliger dan een cloudoplossing wanneer:

• Je organisatie te maken heeft met strenge sectorale regelgeving
• Data niet buiten de eigen infrastructuur mag worden opgeslagen
• Je volledige controle over de fysieke beveiliging noodzakelijk acht

Voor de meeste organisaties biedt een goed geconfigureerde cloudoplossing echter een vergelijkbaar
of hoger beveiligingsniveau.

On-premise: voor- en nadelen

• Voordeel: volledige controle — jij bepaalt waar de data staat, wie er bij kan
  en welke updates worden doorgevoerd
• Nadeel: je bent zelf verantwoordelijk voor het onderhoud, de patching en de
  monitoring — dat vraagt om intern of extern technisch beheer

Cloudoplossingen: voordelen

Cloudoplossingen zoals Power BI in combinatie met Azure bieden:

• Voortdurende beveiligingsupdates
• Ingebouwde compliance-certificeringen
• Geografische dataresidentie-opties

Voor veel organisaties weegt dat zwaarder dan de controle die on-premise biedt. De keuze hangt
uiteindelijk af van je risicoprofiel, je interne capaciteit en
de eisen van je sector. Bekijk ook onze

aanpak voor Business Intelligence

als je wilt weten welke architectuurkeuzes wij aanbevelen.

Hoe Brander Company helpt met het beveiligen van data in analyse tools

Wij helpen organisaties om hun data analyse omgeving niet alleen inzichtelijk, maar ook
veilig in te richten. Dat doen we van begin tot eind, van de keuze voor de
juiste architectuur tot de dagelijkse monitoring. Concreet bieden we:

• Inrichting van toegangsbeheer en Row-Level Security in Power BI, afgestemd op
  de rollen binnen jouw organisatie
• Configuratie van encryptie op zowel database- als transportniveau, inclusief
  SQL Server, Azure SQL en PostgreSQL
• AVG-compliant rapportageomgevingen met logging, verwerkersovereenkomsten en
  dataretentiebeleid
• Advies over on-premise versus cloud op basis van jouw sector, datatype en
  interne capaciteit
• Doorlopend beheer door hetzelfde team dat de omgeving heeft ingericht, zodat
  er geen kenniskloof ontstaat

Wil je weten hoe jouw huidige data analyse omgeving er beveiligingstechnisch voor staat?
Neem contact met ons op voor een vrijblijvend
gesprek.

Gerelateerde artikelen

• Hoe weet ik of mijn IT-partner klaar is voor de toekomst?
• Hoe werkt business intelligence?
• Wat is het verschil tussen business intelligence en data-analyse?
• Welke factoren bepalen een haalbare RPO voor jouw organisatie?
• Kan een database expert je bedrijfskosten verlagen?

Deze inhoud is gegenereerd met behulp van AI en kan fouten bevatten.