The Truth about &…

Compliance

Eric Burger eric burger document management 24-06-2015 Office 365 Truths

Wie is Eric Burger?

Onafhankelijk informatie-governance en recordsmanagement specialist

25 jaar actief in vakgebied

Van Nationaal Archief, via gespecialiseerde consultancies naar zelfstandig gevestigd adviseur

Sinds tien jaar ‘eric burger document management’. Sinds zeven jaar gevestigd te Aalten (Gld.)

Activiteiten:

• Projectmanagement, procesondersteuning, advies en training op het terrein van digitaal werken en digitale archivering

• Gespecialiseerd in vraagstukken van functionele inrichting van document management- & recordsmanagement, in het bijzonder van SharePoint en Office 365

Eric blogt over SharePoint, Office 365, recordsmanagement en governance: http://www.ericburger.nl/site/blog/

Compliance ‘deze examen video’s moeten 1,5 jaar na einde studie zijn vernietigd’‘de actuele veiligheidsvoorschriften moeten bij inspectie beschikbaar zijn’‘de as-built bouwtekening moet gedurende de levensduur van het apparaat bewaard

blijven’‘als er bezwaar wordt ingediend mag het vergunningendossier niet verwijderd’‘sollicitatiebrieven dienen vier weken na procedure vernietigd te worden’‘als er gedonder komt van die aanbesteding, moet een voorgenomen vernietiging on

hold kunnen worden gezet’‘de afspraken in e-mail moeten net zo lang bewaard als de zaak waar ze betrekking op

hebben’‘documenten met patiënt gegevens stonden jarenlang op algemeen toegankelijke schijf’

Microsoft zelf over compliance & recordsmanagement in Office 365

Sara Manning Dawson, Group Program Manager Office 365, over Security and Control: • ‘Het heeft tijd nodig voordat het besef komt dat de cloud veiliger is dan on premise’ en• ‘What to leave behind: there is a lot of outdated security conventional wisdom.’

Rudra Mitra, Microsoft partner director Office 365 Information Protection: • ‘Unified policies and pervasive controls across all applications, all workloads, all devices, in rest, when it travels’• ‘Office 365 is a one-stop single solution for your data’ (dus: geen andere applicaties of oplossingen nodig)

• Dheepak Ramaswamy, Microsoft:• ‘We came a long way since (SP) 2010….Office 365 came a little late to the party’, (over recordsmanagement

functionaliteit)• ‘Op een vraag over ‘event-based retention’: ‘Yes, we are ectively working on that, I understand your question,

so it is in our roadmap, extending (triggers for retention) beyond last modified or created date’

Bring the data homeImport

Migrations from third party stores, more formats

Go Big, Go Fast, UnifyOne Compliance Centre,

Scale

Archiving RoadmapBuilt in (not bolt on) Compliance for Office

In-Place Archiving

Unified Experience

Extensible Platform

In-PlaceImmutability and in-place

search, preservation, deletion

eDiscovery and Compliance

Immutable

ExchangeLync

File shares

Immutable

SharePoint

IMImmutabl

e

Exchange Lync

3rd Party Archives

File SharesImmutable

SharePoint

Immutable

Exchange

Immutable

SharePoint

eDiscovery and Compliance

EncryptAudit Archive Discover DLP Preserve

eDiscovery and Compliance

EncryptAudit Archive Discover DLP Preserve

eDiscovery and Compliance

EncryptAudit Archive Discover DLP Preserve Delete

How we plan to get there

Build compliance into Exchange, SharePoint and OneDrive

Index or Import to extend beyond these workloads

Unify compliance experience and configuration across the suite

Exchange

SharePoint

OthersTraditional

Archive

eDiscovery and Compliance eDiscovery and Compliance

EncryptAudit ArchiveDiscover DLP PreserveDelete

IMImmutable

Exchange Lync

3rd Party Archives

File sharesImmutable

SharePoint

Unified compliance experienceCompliance Center Data loss prevention (DLP)Mobile Device Management (MDM)Information Rights Management (IRM)E-discoveryCompliance searchPreservationDeletion

File sharesThird party archives -> social media (Twitter, Yammer, etc.)Customer lockboxImport moduleEncryptionAudit trail

Zijn bepaald (nog) niet allemaal ‘unified’ (soms exclusief Exchange, SharePoint, etc.)

Bedienen beperkte scenario’s (‘behoud de mailbox van gebruiker x’) Is Microsoft’s ‘in-place’ uitgangspunt wel houdbaar?Scenario’s voldoen niet allemaal aan complexiteit realiteit (‘bewaar

contract 10 jaar na expiratie’ of ‘archiveer zaak, inclusief e-mailcorrespondentie na besluit’

Yammer beschouwd als ‘third party archive’ (oplossing archivering einde 2015 verwacht)

Overlap in functionaliteiten, zoals bij ‘hold’ (met termijn) en ‘deletion’ (verwijdering na termijn)

Frictie tussen nieuwe gebruikers functies en compliance (bv. ‘groups)

Wat opvalt aan de nieuwe compliance maatregelen:

Veiligheid in de cloud bij Microsoft’s Office 365 lijkt niet meer grootste zorg:Hausse aan fysieke beveiligingsmaatregelen, externe audits, blue-

team/red-team, bug-bounty, encryptie, customer controls, etc. etc.Tenzij je achter iedere boom de NSA vermoedtMaar leiden compliance-visie en -intenties in combi met gebruikersfunctionaliteiten wel tot een werkbaar platform?De tools voor informele samenwerking (Groups, OneDrive4B,

Delve) zijn fantastisch, maarWordt van governance niet het onmogelijke gevraagd?En… begrijpen ze zelf altijd wel wat ‘archiveren’ inhoudt?

Meer zorgen om compliance?:

The personal archive is simply an overflow container.

We hebben jarenlang geprobeerd om informatie in een afzonderlijke omgeving te krijgen, om het daar onder een afzonderlijk beheersregime te bewaren. We hebben meer dan 20 jr ervaring met e-mail in de werkomgeving en nog krijgen we het niet zonder moeite in een digitaal archief.De visie van Microsoft op één werkomgeving waar compliance-regels gelijkelijk gelden voor alle onderdelen, voor opslag en communicatie, is denk ik de weg om te gaan.Maar…Office 365 is nog niet ‘af’. Compliance maatregelen zijn nog niet allemaal zo ‘unified’ of sluiten nog niet aan bij wensen voor zaakgericht archiveren.

The truth about Office 365 and … compliance:

Om de discussie te stimuleren:1. Office 365 is veiliger (te maken) dan een on premise

implementatie2. Succesvolle compliance in Office 365 vereist een

professioneel, multi-disciplinair samengesteld governance team, waarin ook recordsmanager, compliance-officer en/of jurist zijn betrokken.

ericburger.nl