OneDrive Personal op zakelijke devices: slimme koppeling of domme keuze?

Vanaf mei 2025 voert Microsoft een belangrijke wijziging door in Windows: gebruikers krijgen actief de vraag of ze hun persoonlijke OneDrive willen synchroniseren op zakelijke devices. Op het eerste gezicht lijkt dit een gebruiksvriendelijke toevoeging. Maar onder de motorkap schuilt een bekend risico: niet de techniek, maar het gedrag van de gebruiker vormt het grootste beveiligingslek.

Wat betekent dit concreet voor jouw organisatie? En wat kun je doen om grip te houden op bedrijfsdata in een wereld waar werk en privé steeds vaker door elkaar lopen?

“Wil je ook je privébestanden hier synchroniseren?”

Dat is de vriendelijke prompt die binnenkort standaard verschijnt op zakelijke Windows-devices, zodra een gebruiker ook met zijn of haar persoonlijke Microsoft-account inlogt. Geen verborgen instelling. Geen ingewikkelde stappen. Gewoon een vraag. Met een ja/nee-optie. En daar gaat het mis.

Wat is er precies nieuw?

Laten we eerlijk zijn: de mogelijkheid om OneDrive Personal te koppelen aan een zakelijk apparaat bestaat al jaren. Maar nieuw is de manier waarop Microsoft dit faciliteert. Geen technische achterdeur, maar een zichtbare uitnodiging om privégegevens te synchroniseren met een device waarop ook bedrijfsdata staan.

Technisch gescheiden, praktisch verbonden

Het is waar:

• OneDrive Personal en OneDrive for Business zijn technisch van elkaar gescheiden.
• Er zijn aparte policies, aparte opslagstructuren en afzonderlijke toegangsmodellen.
• Beheerders kunnen met Group Policy (bijv. DisablePersonalSync) de koppeling blokkeren.

Maar laten we realistisch zijn:

• Gebruikers begrijpen dit onderscheid vaak niet.
• Een goedbedoelde klik op “ja” is snel gemaakt.
• Bestanden belanden in een persoonlijke omgeving waar IT geen toezicht op heeft.
• Data Loss Prevention (DLP)? Meestal niet actief op privéaccounts.
• Conditional Access of MFA? Ook vaak afwezig.

Het echte risico: gedrag

Het gevaar zit niet in wat Microsoft technisch mogelijk maakt. Het zit in hoe eenvoudig het wordt voor gebruikers om onbedoeld gevoelige bedrijfsgegevens in een onbeheerde omgeving te plaatsen. Zonder kwaad opzet, maar met grote gevolgen.

Wat kun je als organisatie doen?

Laat dit geen verrassing worden. Neem vandaag nog maatregelen:

1. Blokkeer de koppeling proactief
   Zet DisablePersonalSync aan via Group Policies om te voorkomen dat gebruikers überhaupt kunnen koppelen.
2. Monitor actief op persoonlijke accounts
   Gebruik Entra ID sign-ins om in de gaten te houden of gebruikers persoonlijke accounts gebruiken op zakelijke hardware.
3. Gebruik compliance tooling
   Tools zoals inforcer kunnen helpen om beleidsregels te handhaven en afwijkingen snel te signaleren.
4. Investeer in gebruikersbewustzijn
   Geen enkele policy is waterdicht als de eindgebruiker niet snapt waarom iets gevaarlijk is. Educatie blijft dé sleutel.

Microsoft maakt het technisch makkelijk. De gebruiker maakt het menselijk risicovol. Het is aan IT om hierop te anticiperen – niet met angst, maar met beleid, zichtbaarheid en vooral: bewustwording.