Ingen kommune har bevidst besluttet, at underretninger skal ligge i en Teams-kanal med eksterne gæster. Det er sket, fordi samarbejdet skulle virke hurtigt. Her er vejen tilbage.

Status quo i de fleste kommuner

Fagsystemerne er styret, journaliseringen er på plads – og så foregår al den daglige koordinering ved siden af, i Teams og SharePoint. Notater, mødereferater, regneark med borgerlister og screenshots fra fagsystemet lever et selvstændigt liv uden klassificering, uden opbevaringsregler og ofte med bredere adgang end nogen har taget stilling til.

Trin 1: Mål omfanget, før I gør noget

Slå klassificering til og lad content explorer køre i to uger. Rapporten viser antallet af dokumenter med CPR-numre pr. forvaltning og pr. site. Det tal er både jeres udgangspunkt og jeres bedste argument over for direktionen.

Trin 2: Ryd op i gæsteadgang og brede delinger

Før labels og DLP giver mening, skal de værste huller lukkes. Gennemgå:

Teams med eksterne gæster – hvem er de, og er de der stadig med rette?
SharePoint-sites delt med "alle i organisationen".
Anonyme delingslinks uden udløbsdato.

Sæt en standard udløbstid på nye delingslinks og en periodisk adgangsgennemgang for gæster.

Trin 3: Følsomhedsmærker med kommunal terminologi

Fire niveauer er nok, men navnene skal give mening for sagsbehandleren. "Strengt fortrolig – personsag" forstås; "Confidential Tier 3" gør ikke. Knyt kryptering til de to øverste niveauer, og lad de to nederste være rene markeringer i starten.

Sæt sites til at have et følsomhedsmærke på containerniveau, så nye dokumenter i socialforvaltningens site arver beskyttelsen automatisk.

Trin 4: DLP der forstår kommunal hverdag

Den vigtigste politik er som regel: mails til eksterne med CPR-numre kræver enten kryptering eller blokeres. Den næstvigtigste: mærkede dokumenter kan ikke deles via anonyme links.

Kør begge i simulering i tre til fire uger. I finder garanteret legitime arbejdsgange, der rammes – f.eks. sikker kommunikation med regionen – og dem laver I undtagelser for, inden noget håndhæves.

Trin 5: Opbevaring og sletning

Det oversete skridt. Data, der ikke længere må opbevares, skal slettes, og det gælder også kopierne i Teams. Adaptive scopes gør, at politikken automatisk følger de rette afdelinger uden manuel vedligeholdelse.