Privacy Engineering Practices Voor Microsoft 365-ontwikkeling

<# .SYNOPSIS Monitoring en begeleiding van privacy engineering-bouwstenen in Microsoft 365 .DESCRIPTION Controleert of cruciale privacy engineering-componenten aanwezig zijn voor ontwikkel- en testomgevingen binnen Microsoft 365. Het script kijkt naar container- en documentlabels, DLP-beleid, retentie- of records policies en of de unified audit log actief gegevens verzamelt. Dezelfde logica wordt gebruikt voor rapportage vanuit de Nederlandse Baseline voor Veilige Cloud en ondersteunt een veilige lokale debugmodus zodat scripts binnen 15 seconden kunnen worden getest. .NOTES Filename: privacy-engineering-practices.ps1 Author: Nederlandse Baseline voor Veilige Cloud Created: 2025-11-27 Version: 1.0 Related JSON: content/m365/development/privacy-engineering-practices.json Category: development Workload: m365 .LINK https://github.com/m365-tenant-best-practise .EXAMPLE .\privacy-engineering-practices.ps1 -Monitoring -DebugMode Voert een lokale test uit zonder verbinding met Microsoft 365 en levert voorbeeldresultaten. .EXAMPLE .\privacy-engineering-practices.ps1 -Monitoring Controleert in de live tenant of privacy engineering-bouwstenen aanwezig zijn. .EXAMPLE .\privacy-engineering-practices.ps1 -Remediation -WhatIf Toont welke commando's zouden worden uitgevoerd om privacy engineering te versterken, zonder wijzigingen. #> #Requires -Version 5.1 #Requires -Modules ExchangeOnlineManagement [CmdletBinding()] param( [Parameter(HelpMessage = "Voer de monitoring uit op privacy engineering-bouwstenen")] [switch]$Monitoring, [Parameter(HelpMessage = "Geef remediatie-advies met voorbeeldcmdlets")] [switch]$Remediation, [Parameter(HelpMessage = "Toon welke acties zouden lopen, voer niets uit")] [switch]$WhatIf, [Parameter(HelpMessage = "Gebruik voorbeelddata en sla cloudverbindingen over")] [switch]$DebugMode ) $ErrorActionPreference = 'Stop' $script:PrivacyComplianceSessionEstablished = $false Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Privacy Engineering Practices - Microsoft 365" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "========================================`n" -ForegroundColor Cyan function Connect-PrivacyEngineeringServices { <# .SYNOPSIS Maakt verbinding met Microsoft Purview en Exchange Online voor compliance-cmdlets. .DESCRIPTION Gebruikt Connect-IPPSSession voor Purview en Connect-ExchangeOnline voor auditlogconfiguraties. De verbinding wordt slechts een keer per script-run opgezet. #> [CmdletBinding()] param() if ($script:PrivacyComplianceSessionEstablished) { return } Write-Host "Verbinding maken met Microsoft Purview (Security & Compliance)..." -ForegroundColor Gray Connect-IPPSSession -ErrorAction Stop | Out-Null Write-Host "Verbinding maken met Exchange Online voor auditconfiguraties..." -ForegroundColor Gray Connect-ExchangeOnline -ShowBanner:$false -ErrorAction Stop | Out-Null $script:PrivacyComplianceSessionEstablished = $true } function Invoke-Monitoring { <# .SYNOPSIS Controleert privacy engineering-bouwstenen voor Microsoft 365-ontwikkelomgevingen. .DESCRIPTION Valideert of er container- en documentlabels bestaan, of DLP-beleid actief is, of retentie- of records policies aanwezig zijn en of de unified audit log gegevens verwerkt. .OUTPUTS PSCustomObject met ScriptName, IsCompliant, Timestamp, HasContainerLabels, HasDlpPolicies, HasDevRetention, UnifiedAuditLogEnabled en Findings. #> [CmdletBinding()] param() $result = [PSCustomObject]@{ ScriptName = "privacy-engineering-practices.ps1" IsCompliant = $false Timestamp = Get-Date HasContainerLabels = $false HasDlpPolicies = $false HasDevRetention = $false UnifiedAuditLogEnabled = $false Findings = @() } try { if ($DebugMode) { Write-Host "DebugMode: er wordt geen verbinding gemaakt. Voorbeelddata wordt gebruikt." -ForegroundColor Yellow $result.HasContainerLabels = $true $result.HasDlpPolicies = $true $result.HasDevRetention = $false $result.UnifiedAuditLogEnabled = $true $result.Findings += "DebugMode: configureer een retentie- of records policy voor ontwikkel- en testsites." } else { Connect-PrivacyEngineeringServices Write-Host "Ophalen van sensitivity labels voor containers en documenten..." -ForegroundColor Gray $labels = Get-Label -ErrorAction SilentlyContinue if ($labels) { $containerLabels = $labels | Where-Object { $_.ContentType -match "Site|UnifiedGroup|File" -or $_.DisplayName -match "(Privacy|Ontwikkel|Dev|Test|Gegevens)" } $result.HasContainerLabels = ($containerLabels -ne $null -and $containerLabels.Count -gt 0) } Write-Host "Ophalen van DLP-beleid..." -ForegroundColor Gray $dlpPolicies = Get-DlpCompliancePolicy -ErrorAction SilentlyContinue | Where-Object { $_.Mode -ne "Off" } $result.HasDlpPolicies = ($dlpPolicies -ne $null -and $dlpPolicies.Count -gt 0) Write-Host "Ophalen van retentie- of records policies..." -ForegroundColor Gray $retentionPolicies = Get-RetentionCompliancePolicy -ErrorAction SilentlyContinue if ($retentionPolicies) { $devPolicies = $retentionPolicies | Where-Object { $_.Name -match "(Dev|Ontwikkel|Test|Engineering|Privacy)" -or $_.Comment -match "(Dev|Ontwikkel|Test)" } if ($devPolicies -and $devPolicies.Count -gt 0) { $result.HasDevRetention = $true } elseif ($retentionPolicies.Count -gt 0) { $result.HasDevRetention = $true $result.Findings += "Retentiebeleid gevonden maar niet herkenbaar gelabeld voor ontwikkel- en testomgevingen. Documenteer de mapping expliciet." } } Write-Host "Controleren of de unified audit log actief is..." -ForegroundColor Gray $adminAuditConfig = Get-AdminAuditLogConfig -ErrorAction SilentlyContinue if ($adminAuditConfig) { $result.UnifiedAuditLogEnabled = [bool]$adminAuditConfig.UnifiedAuditLogIngestionEnabled } else { $result.Findings += "Kon de status van de unified audit log niet bepalen. Controleer handmatig via Set-AdminAuditLogConfig." } if (-not $result.HasContainerLabels) { $result.Findings += "Er zijn geen container- of documentlabels gevonden die ontwikkel- of testomgevingen beschermen. Publiceer minimaal basislabels en koppel deze aan provisioning." } if (-not $result.HasDlpPolicies) { $result.Findings += "Er is geen actief DLP-beleid aangetroffen. Richt beleid in dat synthetische data afdwingt en gevoelige exports blokkeert." } if (-not $result.HasDevRetention) { $result.Findings += "Er zijn geen retentie- of records policies voor ontwikkel- of testomgevingen gevonden. Definieer bewaartermijnen die overeenkomen met privacy-by-designafspraken." } if (-not $result.UnifiedAuditLogEnabled) { $result.Findings += "Unified audit log ingestion staat uit. Schakel dit in om incidenten en datalekken te reconstrueren." } } $result.IsCompliant = ( $result.HasContainerLabels -and $result.HasDlpPolicies -and $result.HasDevRetention -and $result.UnifiedAuditLogEnabled ) Write-Host "`nResultaat privacy engineering-monitoring:" -ForegroundColor Cyan Write-Host (" Labels voor containers/documenten : {0}" -f $result.HasContainerLabels) -ForegroundColor White Write-Host (" DLP-beleid actief : {0}" -f $result.HasDlpPolicies) -ForegroundColor White Write-Host (" Retentie/records beleid : {0}" -f $result.HasDevRetention) -ForegroundColor White Write-Host (" Unified audit log actief : {0}" -f $result.UnifiedAuditLogEnabled) -ForegroundColor White if ($result.IsCompliant) { Write-Host "`n[OK] Privacy engineering-bouwstenen zijn aangetoond aanwezig." -ForegroundColor Green } else { Write-Host "`n[FAIL] Een of meerdere bouwstenen ontbreken of zijn niet geconfigureerd." -ForegroundColor Red if ($result.Findings.Count -gt 0) { Write-Host "Details:" -ForegroundColor Yellow foreach ($finding in $result.Findings) { Write-Host " - $finding" -ForegroundColor Yellow } } } return $result } catch { Write-Host "`n[FAIL] Fout tijdens monitoring: $_" -ForegroundColor Red throw } } function Invoke-Remediation { <# .SYNOPSIS Geeft remediatie-advies voor privacy engineering in Microsoft 365. .DESCRIPTION Toont voorbeeldcmdlets voor labels, DLP, retentie en auditlogconfiguraties en verwijst naar noodzakelijke governance-stappen. DebugMode levert alleen tekstuele instructies. #> [CmdletBinding()] param() try { if ($DebugMode) { Write-Host "DebugMode: voorbeeldremediatie wordt getoond zonder verbinding te maken." -ForegroundColor Yellow } else { Connect-PrivacyEngineeringServices } Write-Host "`nRemediatie-advies: Privacy engineering" -ForegroundColor Cyan Write-Host "`n1. Sensitivity labels voor ontwikkelomgevingen" -ForegroundColor White Write-Host " - Definieer labels zoals 'NBVC-Ontwikkel-Vertrouwelijk' en publiceer ze naar Teams en SharePoint." -ForegroundColor Gray Write-Host " - Voorbeeld:" -ForegroundColor Gray Write-Host " New-Label -Name 'NBVC-Ontwikkel-Vertrouwelijk' -ContentType Site,UnifiedGroup,File -Tooltip 'Ontwikkelomgeving met gevoelige testdata' -Comment 'Privacy engineering label'" -ForegroundColor DarkGray Write-Host "`n2. DLP-beleid voor ontwikkel- en testdata" -ForegroundColor White Write-Host " - Maak beleid dat exports van persoonsgegevens blokkeert vanuit ontwikkelomgevingen." -ForegroundColor Gray Write-Host " - Voorbeeld:" -ForegroundColor Gray Write-Host " New-DlpCompliancePolicy -Name 'NBVC-DLP-DevTest' -Mode TestWithoutNotifications -SharePointLocation All -OneDriveLocation All" -ForegroundColor DarkGray Write-Host "`n3. Retentie- of records policies" -ForegroundColor White Write-Host " - Documenteer bewaartermijnen voor ontwikkelsites en koppel records management aan projectafsluiting." -ForegroundColor Gray Write-Host " - Voorbeeld:" -ForegroundColor Gray Write-Host " New-RetentionCompliancePolicy -Name 'NBVC-Retention-Dev' -SharePointLocation All -Comment 'Ontwikkel/test' -RetentionDuration 365" -ForegroundColor DarkGray Write-Host "`n4. Unified audit log inschakelen" -ForegroundColor White Write-Host " - Zonder auditlog ontbreekt reconstructie bij incidenten." -ForegroundColor Gray Write-Host " - Voorbeeld:" -ForegroundColor Gray Write-Host " Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true" -ForegroundColor DarkGray if ($WhatIf) { Write-Host "`nWhatIf: bovenstaande stappen zijn enkel ter illustratie, er zijn geen wijzigingen aangebracht." -ForegroundColor Yellow } else { Write-Host "`nLet op: pas deze commando's alleen toe na change-goedkeuring, testen en afstemming met privacy officers." -ForegroundColor Yellow } } catch { Write-Host "`n[FAIL] Fout tijdens remediatie-advies: $_" -ForegroundColor Red throw } } try { if ($Monitoring) { $monitorResult = Invoke-Monitoring if ($monitorResult.IsCompliant) { exit 0 } else { exit 1 } } elseif ($Remediation) { Invoke-Remediation } else { Write-Host "Beschikbare parameters:" -ForegroundColor Yellow Write-Host " -Monitoring : Voer de privacy engineering-monitoring uit" -ForegroundColor Gray Write-Host " -Remediation : Toon remediatie-advies" -ForegroundColor Gray Write-Host " -DebugMode : Gebruik voorbeelddata zonder cloudverbinding" -ForegroundColor Gray Write-Host " -WhatIf : Toont remediatiestappen zonder wijzigingen" -ForegroundColor Gray Write-Host "`nVoorbeeld: .\privacy-engineering-practices.ps1 -Monitoring -DebugMode" -ForegroundColor Cyan } } catch { Write-Error "Scriptuitvoering is mislukt: $_" exit 2 } finally { Write-Host "`n========================================`n" -ForegroundColor Cyan } # Exitcodes: # 0 = Compliant # 1 = Niet compliant # 2 = Fout tijdens uitvoering