Gezocht: eenvoudig te gebruiken en veilige upload in MS 365

[Diederik]

Mijn vraag

Ik ben op zoek naar een eenvoudig te gebruiken en veilige upload voor persoonsgegevens.

Relevante software en hardware die ik gebruik

Microsoft 365 Business

Wat ik al gevonden of geprobeerd heb

Ik wil het mogelijk maken voor mijn klanten om eenvoudig en veilig persoonsgegevens met mij te delen. Het is de bedoeling dat ik een lijst met namen en e-mailadressen krijg waarmee ik die personen op de lijst een dienst lever.

Op dit moment krijg ik deze lijsten per mail, maar dat is eigenlijk niet veilig. Het liefst krijg ik een upload button op mijn website waarmee mijn klant zonder inloggen zijn bestand kan uploaden waarna het terecht komt op OneDrive of Sharepoint.

Als ik dit nazoek, dan moet ik de optie voor 'delen met iedereen' aanzetten op sharepoint, maar dat wil ik niet, want dan kunnen mijn collega's onbeperkt bestanden delen.

Waarschijnlijk kan ik dit ook bereiken met WeTransfer, maar dan moet ik daar een abonnement op nemen, dat is op zich geen probleem, maar als er een optie is om dit toch binnen 365 te regelen dan heeft dat mijn voorkeur.

[DJMaze]

Elke vorm van ontvangen is een potentieel data lek.
Tijd voor PGP?

[Diederik]

DJMaze schreef op dinsdag 12 november 2024 @ 17:10:
Elke vorm van ontvangen is een potentieel data lek.
Tijd voor PGP?

Dat klopt wel, maar in mijn geval noodzakelijk voor het uitvoeren van opdrachten, ik wil dat mijn klanten op een veilige manier gegevens met mij kunnen delen. PGP wordt te ingewikkeld, dan blijf ik mailtjes krijgen met persoonsinformatie en daar wil ik nu juist vanaf.

[Gr4mpyC3t]

En de lijst met persoonsgegevens aanleveren, is dat een eenmalige actie of wordt dit regelmatig door een klant bijgehouden?

[Diederik]

@Gr4mpyC3t dat is een eenmalige actie, vervolgens worden die persoonsgegevens overgenomen in ons systeem en gebruikt om de opdracht uit te voeren.

[Soldaatje]

Misschien een file request? Create a file request - Microsoft Support
Daarmee stuur je een link naar de klant waarmee ze bestanden kunnen uploaden.

[Gr4mpyC3t]

Diederik schreef op dinsdag 12 november 2024 @ 17:45:
@Gr4mpyC3t dat is een eenmalige actie, vervolgens worden die persoonsgegevens overgenomen in ons systeem en gebruikt om de opdracht uit te voeren.

En een Microsoft Forms dan? Volgens mij kan je daar ook een bestand in bijvoegen. Formulier maak je alleen beschikbaar op uitnodiging. Heb je een nieuwe klant, stuur je het formulier daar naartoe.

Reacties op dat formulier komen in SharePoint. Die SharePoint site is ingericht met de juiste rechten en toegang voor intern personeel.

Zoiets?

[Diederik]

@Soldaatje @Gr4mpyC3t Zowel een file request als een openbaar form vereisen dat je delen zonder authenticatie op sharepoint aan moet zetten, en dat wil ik eigenlijk niet.

[BytePhantomX]

Je kunt toch een Form maken en eventueel met een file upload. Dat is een prima werkwijze, zeker als je daarna de data verwerkt in het uiteindelijke systeem en weer wist.

Die forms data is veilig genoeg voor normale persoonsgegevens en als je dit beschrijft in een verwerkingsregister ben je AVG-proof.

Ik zie een groter risico dat je account compromised raakt na een phishing dan dat een form lekt.

[F_J_K]

Ik zou niet Sharepoint / Onedrive gebruiken. Als wel, dan met authenticatie - en het nadeel dat men een MS365-/'Hotmail'-/anderssoortige account moet hebben.

Als je niet een los abo wilt nemen op iets als Zivver, stuur ze een versleutelde XLSX om in te vullen en mail die. Met password via ander kanaal natuurlijk. Maar dan vereis je wel van je klanten dat ze Excel hebben (en een PC/Mac). https://learn.microsoft.com/en-us/purview/email-encryption kan ook maar dan zal je meen ik wel over moeten naar Business premium (al zijn dat zakelijk natuurlijk de kosten niet).

Anders op de website een (voldoende veilig) formulier maken en dan versleutelde opslag.

[Diederik]

@BytePhantomX Een form in 365 vereist ofwel inloggen door de verzender en anders moet ik zaken openzetten die ik niet wil openzetten, maar bedankt voor het meedenken.

@F_J_K Bedankt ook voor het meedenken, ik neig nu toch naar WeTransfer, Zivver is teveel 'gedoe' ik wil een eenvoudig te gebruiken upload creëren die ook werkelijk gebruikt wordt.

De meeste klanten vinden het namelijk geen probleem om die lijsten gewoon (onbeveiligd/onversleuteld) te mailen, en daar zou ik als ontvanger graag een eind aan maken.

[SteveH]

Ik zou wegblijven van WeTransfer, als je ziet wat zij in hun voorwaarden hebben staan... Daar staat ongeveer in dat ze alles met je data kan doen wat mogelijk is.

Waarom inderdaad niet gewoon een folder sharen via onedrive/sharepoint?

[oohh]

Wellicht kun je van deze feature in SharePoint gebruik maken:
Create a file request - Microsoft Support

Hier wat admin informatie. Je moet wel sharing links op "Anyone" zetten, maar wellicht kun je dit limiteren tot een bepaalde SharePoint site?
https://learn.microsoft.c...oint/enable-file-requests

[Gr4mpyC3t]

Het wordt wat lastig om iets te delen met externen als je het niet open wil zetten.

Je moet het inderdaad organisatie breed aanzetten, maar kan vervolgens ook weer beperkt worden voor enkele SharePoint sites en/of gebruikers. Dat kan veilig en op een goede manier. De grootste organisaties doen het ook ‘gewoon’.

Ik heb in ieder geval geen andere optie voor je binnen Microsoft 365 dan de opties die al gepost zijn.

[ Voor 11% gewijzigd door Gr4mpyC3t op 13-11-2024 13:28 ]

[BytePhantomX]

Diederik schreef op woensdag 13 november 2024 @ 13:02:
@BytePhantomX Een form in 365 vereist ofwel inloggen door de verzender en anders moet ik zaken openzetten die ik niet wil openzetten, maar bedankt voor het meedenken.

@F_J_K Bedankt ook voor het meedenken, ik neig nu toch naar WeTransfer, Zivver is teveel 'gedoe' ik wil een eenvoudig te gebruiken upload creëren die ook werkelijk gebruikt wordt.

De meeste klanten vinden het namelijk geen probleem om die lijsten gewoon (onbeveiligd/onversleuteld) te mailen, en daar zou ik als ontvanger graag een eind aan maken.

Ik begrijp je bezwaar van het openzetten niet. Ja je moet iets toestaan dat mensen het formulier kunnen invullen, maar eenmaal ingevuld kunnen ze nergens meer bij. Wat bedoel je dan met openzetten? Je hoeft toch geen sharepoint locatie publiek te maken? (Wat bij mijn weten niet eens kan trouwens)

Je emailserver moet je ook openzetten om mail te ontvangen en WeTransfer moet ook iets openzetten om bestanden te ontvangen.

[Rolfie]

Misschien een alternatief om een aparte sharepoint tenant er naast zetten met een goede koppeling?

Is wel het nodige aan extra beheer, maar ook wel compleet afgeschermd en gescheiden van je huidige productie.

[Frogmen]

Bedenk voor jezelf vooral wat nu echt het risico van mail is. Vooral ten opzichte van de risico's van alternatieven. Natuurlijk is mail te onderscheppen alleen ik ben ervan overtuigd dat je behoorlijk moet sleepnetten en heel veel data moet analyseren om de data die je zoekt te hebben. Terwijl alternatieven veel gerichter te targetten zijn.
Als het om NAW gegevens gaat zou ik mail blijven gebruiken, bij medische of meer persoonlijke gegevens zou ik mijn afwegingen maken.

[Diederik]

@SteveH Dank, dat had ik nog niet gezien.

@BytePhantomX Dat is een beetje principe kwestie van mij, ik vind het 'lelijk' om bedrijf breed delen zonder authenticatie aan te zetten om het vervolgens op alle andere plekken (op 1 na) te beperken. Overigens is dat wel wat ik ga doen na alle reacties die ik heb gekregen.

@Rolfie Dank, maar dat klinkt als iets teveel moeite.

@Frogmen Het is vooral een beleidskwestie, als een file op een sharepoint komt dan wordt die verwerkt en verwijderd (dat wordt het beleid) een e-mail kan eenvoudig bij de verkeerde persoon terecht komen of in een archiefmap in plaats van verwijderen. Ik wil het voor mezelf, klant en medewerkers zo eenvoudig mogelijk maken om te voldoen aan de AVG.

Aan de rest: Dank voor het meedenken ik ga uiteindelijk een file request gebruiken (waarvoor delen met iedereen aan moet staan) op een aparte sharepoint, voor de overige sharepoints zal ik het extern delen dan moeten beperken.