Veilig Mailen voor Outlook installeren

Gewijzigd op Di, 4 Aug om 2:58 PM

Met SecuDoc Veilig Mailen voor Outlook kunnen gebruikers vertrouwelijke e-mails en bijlagen beveiligd versturen vanuit Outlook. Deze handleiding beschrijft hoe u Veilig Mailen technisch configureert en centraal uitrolt binnen een Microsoft 365-omgeving.

De installatie bestaat uit configuratie in SecuDoc, Microsoft 365, Exchange Online en eventueel Microsoft Entra ID.

Voor wie is deze handleiding bedoeld?
Deze handleiding is bedoeld voor Microsoft 365-, Exchange- en SecuDoc-beheerders. U heeft tijdens de installatie beheerdersrechten nodig in zowel Microsoft 365 als SecuDoc, en er dienen van te voren DNS-records op uw domeinnaam te zijn toegevoegd/aangepast.

Doorlooptijd: reken op ongeveer 60 tot 90 minuten voor de configuratie. De centrale uitrol van de Outlook Add-in kan daarna nog enige tijd duren.

Gefaseerd uitrollen

Wij adviseren om tijdens installatie alleen een beperkt aantal gebruikers te koppelen. Na een succesvolle validatie kunt u de gebruikersgroep stapsgewijs uitbreiden. Een praktische volgorde is:

één testgebruiker (bijv. een IT- of functioneel beheerder of een sleutelgebruiker);
na succesvolle validatietest alle IT- en functioneel beheerders en een beperkte pilotgroep van 5-10 gebruikers;
na succesvolle pilotperiode van 1-2 weken de rest van de organisatie (die met SecuDoc gaat werken).

Informeer gebruikers vooraf over:

het belang van Veilig Mailen voor uw organisatie, klanten en andere belanghebbenden;
wanneer zij Veilig Mailen moeten gebruiken;
hoe de Outlook Add-in werkt;
wat risicowaarschuwingen betekenen;
welke verificatiemethoden beschikbaar zijn;
waar zij ondersteuning kunnen krijgen.

Download en verstrek de ondersteuningsmaterialen die wij bieden vanaf de volgende pagina:

Ondersteuningsmaterialen voor eindgebruikers

Overzicht van de installatie

De installatie bestaat uit de volgende onderdelen:

benodigde beheerrechten controleren;
facilitiar mailadres aanmaken;
gebruikers- en beheergroepen aanmaken;
de Outlook Add-in centraal uitrollen;
uw domeinnaam aan SecuDoc koppelen;
de mailserver en inbound connector configureren;
de discard mail flow rule aanmaken;
Microsoft Entra ID koppelen, indien gewenst;
Veilig Mailen configureren;
de installatie valideren.

1. Benodigde beheerrechten controleren

Zorg dat u over de benodigde rechten beschikt voordat u begint (of de betreffende persoon aanwezig is tijdens installatie).

Omgeving	Benodigde toegang
SecuDoc	Een account met beheerdersrechten
Microsoft 365-beheercentrum	Rechten om geïntegreerde apps te implementeren
Exchange-beheercentrum	Rechten om connectors en mail flow rules aan te maken
Microsoft Entra-beheercentrum	Rechten om groepen en een bedrijfstoepassing te beheren, wanneer u SSO configureert
DNS-beheer	Toegang tot de DNS-zone van de te koppelen domeinnaam

De exacte Microsoft-beheerrollen kunnen afhangen van het beheerbeleid van uw organisatie, we adviseren voor probleemloze toegang te werken via een global admin account.

2. Facilitair mailadres aanmaken

SecuDoc gebruikt een facilitair mailadres voor berichten die niet rechtstreeks namens een specifieke gebruiker worden verstuurd. Denk hierbij aan:

verificatiecodes;
notificaties;
bevestigingsberichten;
systeemmails.

We adviseren het format:

transfer@uwdomein.nl

Maak het adres aan als gedeelde mailbox binnen uw Microsoft 365-omgeving. Zorg dat SecuDoc dit adres via uw mailserver mag gebruiken. Het facilitaire mailadres wordt later ingesteld bij de e-mailinstellingen in SecuDoc.

Het is niet nodig om licenties en/of gebruikers toe te wijzen aan deze gedeelde mailbox.

3. Gebruikers- en beheergroepen aanmaken

Met Microsoft Entra-groepen beheert u centraal welke gebruikers toegang krijgen tot SecuDoc, de Outlook Add-in en eventuele beheerrechten. Maak bij voorkeur minimaal de volgende groepen aan:

Groep	Doel
SecuDoc Users	Gebruikers die toegang krijgen tot SecuDoc en Veilig Mailen
SecuDoc Admins	Gebruikers die beheerdersrechten krijgen binnen SecuDoc

Voel u vrij om zelf de namen van deze groepen te bepalen, bijvoorbeeld conform uw eigen naamconventies (zoals SG_SECUDOC_Users o.i.d.).

Een gebruikersgroep aanmaken

Ga in het Microsoft Entra-beheercentrum naar:

Identiteit → Groepen → Alle groepen → Nieuwe groep

Maak de groep aan en voeg de gebruikers toe die Veilig Mailen mogen gebruiken.

We adviseren om de groepen aan te maken als Microsoft 365 groepen of normale Beveiligingsgroepen.

Een beheerdersgroep aanmaken

Maak op dezelfde manier een groep voor SecuDoc-beheerders. Voeg alleen gebruikers toe die daadwerkelijk toegang nodig hebben tot de beheerinstellingen van SecuDoc.

Een persoon wordt pas beheerder in SecuDoc wanneer deze als lid is toegevoegd aan de SecuDoc Admins groep. Door personen als beheerders toe te voegen aan beide groepen krijgen ze de mogelijkheid om de groepen zelf in Microsoft 365 te onderhouden (bijvoorbeeld on- en off-boarding medewerkers).

4. De Outlook Add-in centraal uitrollen

De SecuDoc Outlook Add-in wordt centraal uitgerold vanuit het Microsoft 365-beheercentrum.

Log in bij het Microsoft 365-beheercentrum.
Ga naar Instellingen → Geïntegreerde apps.
Kies voor het uploaden of implementeren van een aangepaste app.
Kies voor een manifestbestand via een URL.
Vul de volgende manifest-URL in:
https://outlook.sm.secudoc.app/manifest.xml
Laat Microsoft het manifest controleren.
Wijs de Add-in toe aan de eerder aangemaakte gebruikers- of pilotgroep.
Controleer de instellingen.
Voltooi de implementatie.

Het kan tot 24 uur duren voordat de Add-in zichtbaar is in alle Outlook-clients.

5. Uw domeinnaam aan SecuDoc koppelen

Voordat SecuDoc via uw eigen Microsoft 365-omgeving kan mailen, moet uw domeinnaam aan SecuDoc worden gekoppeld. Hierbij worden onder meer:

de gewenste SecuDoc-subdomeinnaam ingesteld;
de benodigde DNS-records toegevoegd;
de domeinnaam gevalideerd;
het TLS-certificaat voor de omgeving ingericht.

Volg hiervoor de afzonderlijke handleiding:

Uw domeinnaam aan SecuDoc koppelen

Ga pas verder met de mailserverconfiguratie wanneer de domeinnaam succesvol is gekoppeld en gevalideerd.

6. De mailserver en inbound connector configureren

Met een inbound connector staat u toe dat SecuDoc geautoriseerde e-mails via uw Microsoft 365-omgeving verstuurt.

Inbound connector aanmaken

Log in bij het Exchange-beheercentrum.
Ga naar Mail flow → Connectors.
Klik op Add a connector.
Kies als verbindingsrichting:
- From: Your organization’s email server;
- To: Microsoft 365.
Geef de connector een herkenbare naam, bijvoorbeeld:
SecuDoc Connector
Kies voor authenticatie op basis van de onderwerpnaam van het TLS-certificaat.
Vul de domeinnaam in die tijdens de domeinkoppeling voor SecuDoc is ingesteld, bijvoorbeeld:
secudoc.uwdomein.nl
Sla de connector op en schakel deze in.

Eigen mailserver instellen in SecuDoc

Log in bij SecuDoc met een beheerdersaccount.
Ga naar Instellingen → E-mailinstellingen.
Schakel Gebruik eigen mailserver in.
Open de geavanceerde instellingen en controleer of het facilitair mailadres juist staat ingevuld.
Sla de instellingen op.
Voer de technische controle uit.

SecuDoc controleert of berichten via de ingestelde connector kunnen worden afgeleverd. Een nieuw aangemaakte connector kan enkele minuten nodig hebben voordat deze volledig actief is.

7. De discard mail flow rule aanmaken

Wanneer een gebruiker Veilig Mailen inschakelt, maakt SecuDoc een beveiligde versie van het bericht aan. Het oorspronkelijke Outlook-bericht mag daarna niet ook als gewone e-mail worden afgeleverd.

Daarom moet u een Exchange mail flow rule aanmaken die berichten met de SecuDoc discard-header verwijdert.

Mail flow rule configureren

Ga in het Exchange-beheercentrum naar Mail flow → Rules.
Kies Add a rule → Create a new rule.
Geef de regel bijvoorbeeld de naam:
SecuDoc Discard - Veilig Mailen
Stel als voorwaarde in:
The message headers → includes any of these words
Gebruik:
- headernaam: X-SecuDoc-Discard
- headerwaarde: 1
Stel als actie in:
Block the message → delete the message without notifying anyone
Zet de regel op Enforce.
Schakel waar mogelijk Stop processing more rules in.
Sla de regel op.
Activeer de regel door in de tabel op Disabled te drukken en Enabled aan te zetten (wacht tot de balk groen wordt).

Vergeet niet de nieuw aangemaakte mail flow rule in te schakelen, anders worden Veilige Mails bij ontvangers tweemaal afgeleverd; eenmaal beveiligd en eenmaal onbeveiligd.

Positie van de regel

Plaats de discard-regel hoog in de verwerkingsvolgorde. Gebruikt uw organisatie aanvullende mail flow rules of diensten, bijvoorbeeld voor:

e-mailhandtekeningen (bijv. codetwo, exclaimer);
archivering;
DLP;
journaling;
aanvullende mailbeveiliging;

plaats de discard-regel dan vóór deze verwerking. Hiermee voorkomt u dat het oorspronkelijke vertrouwelijke bericht alsnog door andere systemen wordt verwerkt.

8. Microsoft Entra ID koppelen

Met de optionele Entra ID-koppeling kunnen persoonlijke gebruikers via Single Sign-On inloggen met hun zakelijke Microsoft-account. De koppeling is niet vereist voor de technische werking van Veilig Mailen, maar wordt bij grotere omgevingen doorgaans aanbevolen. De configuratie bestaat onder meer uit:

een Enterprise Application aanmaken;
SAML configureren;
gebruikers- en beheergroepen toewijzen;
groepsclaims instellen;
federatieve metadata aan SecuDoc koppelen;
de verbinding valideren.

Volg hiervoor de afzonderlijke handleiding:

Microsoft Entra ID koppelen aan SecuDoc

De automatische accountkoppeling via Entra ID geldt voor persoonlijke gebruikersaccounts. Gedeelde accounts worden afzonderlijk ingericht.

9. Veilig Mailen configureren

Ga in SecuDoc naar Instellingen → Veilig Mailen. Hier bepaalt u onder meer:

of SecuDoc alleen waarschuwt bij een mogelijk risico of mailversleuteling automatisch wordt ingeschakeld;
welke categorieën gevoelige informatie worden herkend;
of de Add-in automatisch mag inloggen.

Stem deze instellingen af op het informatiebeveiligingsbeleid van de organisatie. Voer de eerste configuratie bij voorkeur uit voor een beperkte pilotgroep.

10. De installatie valideren

Test de volledige configuratie met minimaal één pilotgebruiker.

Gebruik geen echte persoonsgegevens, medische gegevens of andere vertrouwelijke informatie voor deze tests.

Test 1: normale e-mail

Verstuur een gewone e-mail naar een extern e-mailadres zonder Veilig Mailen in te schakelen. Controleer:

of de e-mail normaal wordt afgeleverd;
of de discard-regel niet wordt geactiveerd;
of bestaande mail flow rules normaal blijven werken.

Test 2: risicodetectie

Wanneer risicodetectie is ingeschakeld, voert u een gecontroleerde test uit met niet-vertrouwelijke testgegevens.

Controleer:

of SecuDoc het ingestelde risico herkent;
of de juiste waarschuwing wordt getoond of mailversleuteling volgens het ingestelde beleid wordt ingeschakeld;
of de gebruiker de verwachte opties ziet.

Test 3: Veilige Mail

Verstuur een e-mail naar een extern e-mailadres en schakel Veilig Mailen in. Controleer:

of de Outlook Add-in het bericht verwerkt;
of het oorspronkelijke bericht niet als gewone e-mail wordt afgeleverd;
of de ontvanger een SecuDoc-notificatie ontvangt;
of de beveiligde link werkt;
of de ingestelde ontvangerverificatie werkt;
of het bericht en de bijlagen correct beschikbaar zijn;
of de verzending in Outlook en SecuDoc wordt geregistreerd.

Wilt u direct met een gebruiker testen maar is de Add-in nog niet beschikbaar in Outlook? Volg dan de handleiding om de Add-in te sideloaden voor deze gebruiker.

Outlook Add-in sideloaden