Ingen vidste længere, hvor deres data lå

En større organisation med mange års historie og meget lav udskiftning blandt medarbejderne stod uden den person, der tidligere holdt styr på deres GDPR. Vedkommende var stoppet, og der var ingen internt til at tage over.

Virksomheden behandler store mængder persondata. Gennem årene har de bevæget sig fra system til system og er nu udelukkende i skyen, men meget af den data, der blev skabt undervejs, er fulgt med derop. Efter mange år med de samme medarbejdere har det samlet sig til en betydelig mængde. Ingen havde det fulde overblik over, hvor den lå, hvem der havde adgang til den, eller hvor meget af den der stadig var relevant at gemme på.

Samtidig brugte de mere lagerplads i deres Microsoft 365-tenant, end deres licenser dækker, og betalte derfor for ekstra storage oveni.

Til det kom udsigten til NIS2 og formentlig DORA. De henvendte sig til M Networks for at få hjælp til at få styr på det.

Sådan greb vi det an

1. Vi scannede hele deres tenant for at få fundamentet på plads. Hvordan er den bygget op, hvilke compliance- og sikkerhedsregler er sat op, hvor ligger data, og hvem har adgang.
2. Vi kortlagde delingen. Hvad er delt med eksterne brugere, hvilke eksterne links cirkulerer, og hvilke SharePoint- og Teams-sites står uden ejer.
3. Vi fandt de data, der var så gamle, at der hverken forretningsmæssigt eller lovgivningsmæssigt var grund til at beholde dem.
4. Vi fastlagde ejerskabet. Hvem ejer hvilken data, og hvem skal bestemme, hvad der sker med den.
5. Vi sendte informationen ud til de rette ejere internt, så de selv kunne tage stilling. Hverken vi eller AvePoint kan vide, hvad kundens data betyder for kunden. Det er der kun kunden selv, der ved.
6. Vi satte politikker og regler op for klassificering og livscyklus. Hvad er fortroligt, hvad er offentligt, hvornår skal noget arkiveres, hvornår slettes, og hvor mange versioner der skal gemmes.
7. Vi opsatte regler for fremtiden. Hvem må oprette team- og SharePoint-sites, hvordan, hvor mange ejere der kræves, og hvilke restriktioner der gælder.
8. Vi automatiserede oprydningen, så systemerne håndterer den løbende frem for at nogen skal sidde og gøre det manuelt.
9. Vi uddannede medarbejderne i, hvordan data skal håndteres, og hvorfor det er vigtigt.

Opgaven blev løst med værktøjer fra AvePoint, som M Networks er partner med.

Hvad der er anderledes i dag

Kunden har dokumentation for, at de har styr på deres GDPR. Det var det, de kom efter, og det er det, ledelsen skal kunne fremvise.

Der er ryddet op, og der er regler for, hvad der sker fremover, så overblikket ikke forsvinder igen med den næste medarbejder, der stopper.

Oprydningen havde en sidegevinst. Da de irrelevante data var væk, kom de tilbage under den grænse for SharePoint-lagerplads, deres Microsoft-licenser allerede dækker. De betaler ikke længere for ekstra storage.