Webbeleid en gegevensgrenzen configureren in Sophos Protected Browser

Webbeleid in Sophos Protected Browser bepaalt wie met welke apparaatstatus toegang krijgt tot welke doelen en wat daarbij met downloads, uploads en gegevens mag gebeuren. De evaluatievolgorde is essentieel: de browser controleert actief beleid op rang en gebruikt het eerste beleid waarvan alle voorwaarden overeenkomen. Het overige beleid wordt daarna niet meer beoordeeld.

Maak voor een veilige invoering eerst een nauw begrensd pilotbeleid, plaats het vóór algemenere regels en test toegang, bestandsoverdracht en gegevensgrenzen afzonderlijk. Het basisbeleid bevat de standaardacties voor situaties waarin geen ander beleid aanwezig is.

Vereisten, licentie en rollen

Vóór de configuratie moeten de vereiste User groups al in Sophos Fusion (voorheen Sophos Central) bestaan en moeten Device posture, Application groups, Site lists en Web categories al als beleidsobjecten zijn aangemaakt. Alleen vooraf aangemaakte gebruikers en objecten verschijnen later onder Conditions. Een toegewezen gebruikersgroep mag bovendien niet leeg zijn; deze moet minstens één gebruiker bevatten.

Controleer vóór een wijziging of My Products > Protected Browser > Web policy in uw tenant zichtbaar en bewerkbaar is. Ontbreekt dit onderdeel of is het alleen-lezen, ga dan niet op goed geluk met een ruimere rol verder, maar laat de licentie- en roltoewijzing van de tenant verduidelijken.

De benodigde beleidsobjecten moeten vooraf in Sophos Fusion worden aangemaakt; het aanmaken ervan valt buiten deze procedure.

De beleidslogica vóór de configuratie begrijpen

Een beleid heeft als Overall policy effect Allow, Block of Warn:

Allow geeft de geselecteerde gebruikersgroepen en apparaatstatussen toegang tot de gekozen doelen.
Block blokkeert deze toegang.
Warn staat toegang toe, maar toont eerst een waarschuwing.

Gebruikersgroep en apparaatstatus zijn gekoppeld met EN: als beide in het beleid zijn ingesteld, moeten beide overeenkomen. De doelcriteria Application group, Site list en Web category zijn daarentegen gekoppeld met OF: één overeenkomend doelcriterium volstaat.

Hierdoor kunnen brede doelsets snel effect hebben. Een beleid voor gebruikersgroep Finanzen-Pilot, apparaatstatus Windows, een toepassingsgroep en een sitelijst komt bijvoorbeeld overeen als gebruiker én apparaatstatus overeenkomen en het doel in de toepassingsgroep óf de sitelijst staat. Finanzen-Pilot is alleen een begrijpelijke voorbeeldnaam en moet worden vervangen door een bestaande, niet-lege groep in uw tenant.

Bewust omgaan met het basisbeleid

De Base policy bevat een Web filtering profile en Default actions for downloads, uploads, and data boundaries. Deze standaardacties gelden tenzij ander beleid ze overschrijft. Open voor bewerking My Products > Protected Browser > Web policy en selecteer Base policy.

Het basisbeleid kan worden bewerkt, maar niet verwijderd, gekloond of naar een andere rang verplaatst. Neem afzonderlijke eisen daarom op in eigen, nauwer begrensd beleid. Zo blijft het basisbeleid een voorspelbaar terugvalpad en kunnen uitzonderingen via rang en status gecontroleerd worden beheerd.

Phishing Protection globaal en in beleid inschakelen

Phishing Protection controleert websiteformulieren op de opgegeven zakelijke e-mailadressen of domeinen. De beveiliging grijpt in wanneer een gecontroleerd adres wordt ingevoerd of verzonden; e-mailberichten worden niet gescand. Dit is een afzonderlijke controle, niet hetzelfde als webcategoriefiltering of klembord- of bestandsgrenzen.

Eerst de te beschermen adressen vastleggen

Open My Products > Protected Browser > Settings en selecteer het tabblad Phishing Protection.
Schakel Phishing Protection in.
Voer onder Email domains to protect de benodigde zakelijke domeinen of afzonderlijke e-mailadressen in. example.com is een fictief domeinvoorbeeld voor alle gebruikers van dat domein; pb-pilot@example.com staat voor één testadres. Gebruik in de tenant een uitdrukkelijk goedgekeurd testadres van uw eigen organisatie, in eerste instantie niet het volledige productiedomein.
Sla op met Save. Pas daarna kunt u de beveiliging in het basisbeleid of eigen beleid inschakelen.

De globale instelling bepaalt welke adressen worden gecontroleerd. Het beleid bepaalt op welke doelen de beveiliging wordt toegepast en hoe deze reageert. De globale schakelaar alleen vervangt dus geen beleidsconfiguratie.

Basisbeleid en eigen beleid afzonderlijk kiezen

Schakel onder My Products > Protected Browser > Web policy > Base policy Enable Phishing Protection in en kies Warn of Block. In het basisbeleid betreft deze controle bekende websites met een hoog risico of een slechte reputatie. Warn toont een waarschuwing en laat de gebruiker beslissen om door te gaan. Block voorkomt het invoeren van het gecontroleerde e-mailadres.

Schakel ook in eigen beleid Enable Phishing Protection in, kies Warn of Block en sla op met Save. Hier geldt de controle voor de toepassingen en websites onder het beleid ongeacht hun risiconiveau. Beperk daarom bewust gebruikersgroep, apparaatstatus, doelvoorwaarden, status en rang. De phishingactie is niet het Overall policy effect van het beleid: een toepassing die in het algemeen is toegestaan, kan nog steeds het invoeren van een gecontroleerd adres blokkeren. Gebruik voor de pilot een bereikbare, toegestane testtoepassing, zodat een algemene toegangsblokkade de formuliertest niet maskeert.

Testen zonder echte phishingwebsite

Gebruik een goedgekeurde, onschadelijke formulierpagina onder uw eigen beheer en één goedgekeurd testadres. Voer geen echte wachtwoorden in en bezoek geen verdachte websites.

Leg de eerdere globale toestand, adreslijst en phishinginstellingen van het betrokken beleid vast. Beperk eigen pilotbeleid tot de testgroep en formulierpagina en plaats het vóór bredere overeenkomende regels.
Voeg het testadres globaal toe en kies Enable Phishing Protection > Warn in het pilotbeleid. Voer op de formulierpagina het gecontroleerde adres in of probeer het te verzenden. Verwacht een waarschuwing; met toestemming doorgaan test de waarschuwingsbeslissing, geen blokkade.
Wijzig alleen de phishingactie in Block en herhaal dezelfde poging. Verwacht dat het gecontroleerde adres niet kan worden ingevoerd of verzonden. Controleer met een fictief, niet-gecontroleerd adres dat deze phishingcontrole niet zonder onderscheid elk adres blokkeert.
Noteer testtijd, gebruiker, toepassing, formulier-URL en waargenomen beslissing. Controleer daarna de gebeurtenissen met de Phishing Protection-rapporten. De test op de onschadelijke doelpagina bewijst de werking van het eigen beleid onafhankelijk van reputatie, niet de risicoclassificatie of trigger van het basisbeleid.

Als de beleidsschakelaar ontbreekt of de verwachte reactie uitblijft, controleer dan eerst de globale activering, het opgeslagen adres of domein en het eerste overeenkomende actieve beleid. Een leeg rapport bewijst noch geslaagde beveiliging noch de uitschakeling ervan. Houd de uitrol zonder duidelijk resultaat beperkt tot de pilot.

Na het wijzigen of uitschakelen van het phishingbeleid bestaande beveiligde tabbladen opnieuw laden of een nieuwe pagina openen voordat er opnieuw wordt getest. Sophos documenteert onder NZT-11106 dat reeds geopende tabbladen anders bij het indrukken van Enter nog steeds bewaakte tekst kunnen wissen. Ook na het terugzetten van het pilotbeleid eerst opnieuw laden en vervolgens met onschuldige testwaarden controleren. Dit gedrag bewijst op zichzelf niet dat het opgeslagen beleid onjuist is. Gecontroleerd op 24 oktober 2026.

Herstel voor het terugdraaien de gedocumenteerde vorige toestand van het pilotbeleid of schakel het uit met Update, en controleer welk beleid vervolgens daadwerkelijk wordt toegepast. Nog actieve phishingbeveiliging in het basisbeleid kan ook na uitschakeling van de pilot blijven werken. Herstel de globale adreslijst en schakelaar alleen als geen ander beleid die wijziging nodig heeft. Globaal uitschakelen neemt ook de vereiste voor ander phishingbeleid weg en is geen risicoloze terugdraaiing van één beleidsregel.

Download- en uploadbeveiliging selecteren

De actieprofielen zijn geen varianten van hetzelfde beveiligingsniveau. Vooral toestaan zonder scannen en toestaan als scannen niet mogelijk is hebben een ander risico-effect dan een profiel dat een niet-scanbaar bestand blokkeert.

Downloadbeveiliging

Block all downloads: blokkeert alle bestandsdownloads.
Allow all downloads without scanning: staat alle downloads toe zonder bestanden te scannen of de reputatie van hun URL’s te controleren.
Scan risky downloads and block if unscannable: scant tekst-, Microsoft Office- en PDF-bestanden, controleert de URL-reputatie en blokkeert niet-scanbare bestanden.
Scan risky downloads and allow if unscannable: voert dezelfde controles uit, maar staat niet-scanbare bestanden toe.
Scan only executable downloads: scant binaire en uitvoerbare bestanden, controleert de URL-reputatie en staat niet-scanbare bestanden toe.

Uploadbeveiliging

Block all uploads: blokkeert alle bestandsuploads.
Allow all uploads without scanning: staat alle uploads toe zonder bestanden te scannen of de reputatie van hun URL’s te controleren.
Scan risky file uploads and block if unscannable: scant tekst-, Microsoft Office- en PDF-bestanden, controleert de URL-reputatie en blokkeert niet-scanbare bestanden.
Scan risky file uploads and allow if unscannable: voert dezelfde controles uit, maar staat niet-scanbare bestanden toe.
Block document and text uploads, scan other file types: blokkeert document- en tekstbestanden, scant andere bestandstypen inclusief URL-controle en staat niet-scanbare bestanden toe.

Protected Browser beoordeelt de reputatie van bestanden met de Sophos Extensible List (SXL). In bepaalde gevallen scant en analyseert Sophos Intellix specifieke bestanden. Verduidelijk vóór de pilottest de gegevensclassificatie en of cloudanalyse is toegestaan. Tenantbrede beslissingen over privacy en gegevensdeling blijven gescheiden van de hier beschreven productspecifieke beleidsprofielen.

De juiste gegevensgrenzen kiezen

Gegevensgrenzen regelen Screen capture, sharing, and recording, Printing, Save page en Cut, copy, paste. De klembordgrenzen gelden uitdrukkelijk niet voor de adresbalk van de browser. Een geslaagde klembordtest in de pagina-inhoud bewijst dus niet dat de adresbalk wordt gecontroleerd.

Alles toestaan

Dit profiel staat schermopname, delen en opnemen, afdrukken, opslaan van de pagina en knippen, kopiëren en plakken toe. Het stelt geen van de beschreven gegevensgrenzen in.

Naar buiten kopiëren toestaan — naar binnen plakken blokkeren

Allow copy/paste outside the browser - block pasting inwards staat knippen en kopiëren vanuit de geselecteerde toepassingen en plakken in bronnen buiten de browser toe. De omgekeerde richting is geblokkeerd: inhoud uit externe bronnen mag niet in de geselecteerde toepassingen worden geplakt. Schermopname, delen en opnemen, afdrukken en Save page zijn toegestaan. Voor dit profiel wordt geen aanvullende tijdelijke omzeilingsoptie genoemd; de genoemde schermacties zijn al toegestaan.

Dit is een richtinggebonden invoergrens, geen blokkade tegen het naar buiten brengen van gegevens. Resultaten uit een geselecteerde AI-toepassing mogen bijvoorbeeld naar buiten worden gekopieerd, terwijl plakken van externe inhoud in die toepassing geblokkeerd blijft. Bestandsuploads worden nog steeds afzonderlijk geregeld via uploadbeveiliging.

Gegevens binnen de doelen van dit beleid houden

Schermopname, delen en opnemen, afdrukken en Save page zijn geblokkeerd. Knippen, kopiëren en plakken werkt binnen de geselecteerde doelen, maar tekst kan niet buiten deze doelen worden geplakt. Plakken vanuit externe bronnen is niet toegestaan en tijdelijke omzeiling van de beveiliging tegen schermopname, delen en opnemen evenmin.

Dit profiel past wanneer gegevens tussen toepassingen onder hetzelfde beleid mogen stromen, maar deze doelset niet mogen verlaten. Als bijvoorbeeld Jira en Salesforce in de geselecteerde toepassingsgroep staan, blijft het klembord tussen deze doelen bruikbaar.

Gegevens binnen de doelen houden — omzeiling toestaan en registreren

Het klembord blijft beperkt tot de geselecteerde doelen en plakken vanuit externe bronnen is niet toegestaan. Knippen, kopiëren en plakken worden geregistreerd. Schermopname, delen en opnemen zijn standaard geblokkeerd, maar eindgebruikers mogen deze bescherming tijdelijk omzeilen. Printing en Save page zijn na een waarschuwing toegestaan.

Dit profiel is minder strikt dan de variant zonder omzeiling. Gebruik het alleen als een legitieme uitzonderingsbehoefte de toegestane omzeiling en vrijgave na waarschuwing rechtvaardigt.

Gegevens binnen de doelen houden — plakken van buiten toestaan

Schermopname, delen en opnemen, afdrukken en Save page zijn geblokkeerd. Knippen en kopiëren zijn ook geblokkeerd, terwijl plakken is toegestaan. Zo kunnen externe gegevens in de beschermde doelen worden ingevoerd zonder dat inhoud eruit kan worden gekopieerd. Tijdelijke omzeiling van de beveiliging tegen schermopname, delen en opnemen is niet beschikbaar.

Bij Keep data within this policy’s destinations - allow pasting from outside spreken de beschrijving en de expliciete instellingstoewijzing elkaar tegen: de beschrijving noemt plakken in beide richtingen, maar de toewijzing blokkeert knippen en kopiëren en staat plakken toe. Gebruik voor de planning nog steeds de restrictieve toewijzing hierboven. Dit is geen bevestigde toestemming om naar buiten te kopiëren. Test vóór productiegebruik beide richtingen met onschadelijke inhoud; stop de uitrol bij afwijkingen en laat Sophos Support het gedrag verduidelijken.

Gegevens binnen de doelen houden — schermdelen en opnemen toestaan

Keep data within this policy’s destinations - allow screenshare and recording staat schermopname, delen en opnemen voor de geselecteerde doelen toe. Printing en Save page blijven geblokkeerd. Knippen, kopiëren en plakken zijn toegestaan binnen de beleidsdoelen; deze inhoud buiten de doelen plakken en plakken vanuit externe bronnen zijn niet toegestaan. De instellingstoewijzing vermeldt bovendien dat de gebruiker de beveiliging tegen schermopname, delen en opnemen tijdelijk mag omzeilen. Omdat de schermacties al zijn toegestaan, biedt dit geen aanvullende beveiligingsgarantie.

De klembordgrens voorkomt hier niet dat zichtbare inhoud via schermdelen of opname wordt doorgegeven. Kies dit profiel alleen als die overdracht voor de betrokken toepassingen is toegestaan.

Gegevens binnen Protected Browser houden

Schermopname, delen en opnemen, afdrukken en Save page zijn geblokkeerd. Knippen, kopiëren en plakken is alleen mogelijk binnen Protected Browser; tekst van buiten mag in de browser worden geplakt. Tijdelijke omzeiling van de beveiliging tegen schermopname, delen en opnemen is niet beschikbaar.

Het verschil met een doelgebonden grens is belangrijk: dit profiel legt een grens rond de volledige Protected Browser, niet alleen rond de doelen die onder hetzelfde beleid vallen.

Richtingen en alternatieve routes in de pilot testen

Test de zeven profielen aan de hand van de toewijzingen hierboven, niet alleen op basis van hun naam. Gebruik een onschadelijke tekstmarkering in de pagina-inhoud, twee doelen onder hetzelfde beleid, een niet-gedekt doel en een externe toepassing. De adresbalk is bewust geen testplek voor klembordgrenzen.

Naar binnen: Plak de tekstmarkering vanuit de externe toepassing in een gedekt doel. Dit moet mislukken bij het profiel dat naar binnen plakken blokkeert en bij doelgebonden profielen zonder toestemming voor extern plakken; Alles toestaan, Plakken van buiten toestaan en de grens rond de volledige Protected Browser staan het toe.
Naar buiten en tussen doelen: Test knippen en kopiëren in het gedekte doel, plakken in het tweede gedekte doel en vervolgens in het niet-gedekte doel of de externe toepassing afzonderlijk. Alles toestaan en Naar buiten kopiëren toestaan staan overdracht naar buiten toe. Doelgebonden profielen beperken deze tot hun doelen; bij het tegenstrijdig beschreven profiel met plaktoestemming moeten knippen en kopiëren al mislukken volgens de restrictieve toewijzing. De browsergrens staat alleen de route binnen Protected Browser toe.
Andere uitgangen: Test schermopname, delen, opnemen, afdrukken en Save page afzonderlijk. Test bij de variant met geregistreerde omzeiling ook de goedgekeurde tijdelijke schermomzeiling en waarschuwingen vóór afdrukken of opslaan. Bij de variant met toegestaan schermdelen moeten schermacties werken, terwijl afdrukken en opslaan geblokkeerd blijven.

Noteer voor elke test profiel, bron, doel, verwacht en waargenomen resultaat. Succes met het klembord bewijst geen uploadblokkade of blokkade van schermdelen. Omzeil onverklaarde afwijkingen niet door over te schakelen naar Alles toestaan.

Een pilotbeleid configureren

Open My Products > Protected Browser > Web policy en selecteer onder Policies de optie Add Policy.
Voer een unieke Name in, bijvoorbeeld PB-Finanzen-Pilot, en een Description met doel en verantwoordelijke persoon. De voorbeeldnaam is vrij te kiezen; deze vervangt geen bestaande gebruikersgroep.
Selecteer onder Overall policy effect de optie Allow, Block of Warn. Voor beleid met bestands- en gegevensgrensacties moet Allow of Warn worden gebruikt.
Selecteer onder Conditions > User group de optie Edit. Kies onder Edit user groups > Available de bestaande pilotgroep en verplaats deze naar Assigned. Controleer of de groep minstens één gebruiker bevat en bevestig met Save.
Selecteer een of meer waarden voor Device posture. Kies daarna de vereiste doelen via Application group, Site list en/of Web category. Selecteer Any alleen als de voorwaarde bewust niet tot een bepaalde gebruikersgroep of een bepaald beleidsobject moet worden beperkt.
Selecteer onder Actions de profielen voor Download protection, Upload protection en Data boundaries. Dit onderdeel is relevant voor de totaaleffecten Allow en Warn.
Als bronnen uitsluitend in de volledige Protected Browser mogen worden geopend, schakelt u Enforce use of full browser in. De betreffende websites of bronnen worden bij toegang automatisch in de volledige Protected Browser geopend.
Selecteer Save.
Open in de beleidstabel via het menu met drie punten Move to rank #, verplaats het pilotbeleid met de pijl naar de gewenste positie en selecteer Apply. Een lager rangnummer wordt eerder geëvalueerd; rang 1 komt eerst.

Nauw begrensd beleid moet vóór algemener beleid staan dat al volledig aan dezelfde gebruikers- en doelvoorwaarden voldoet. Anders wordt het algemene beleid als eerste toegepast en wordt het pilotbeleid helemaal niet meer geëvalueerd.

Validatie en verwacht resultaat

Gebruik voor acceptatie een testgebruiker uit precies de toegewezen, niet-lege pilotgroep, een overeenkomende apparaatstatus en een eenduidig toegewezen doel. Test met niet-gevoelige bestanden en inhoud.

Controleer in de beleidstabel Rank, Name, Access en Status. Het pilotbeleid moet Active zijn en vóór elk breder, eveneens overeenkomend beleid staan.
Test een doel dat aan de voorwaarden voldoet. Bij Allow moet toegang mogelijk zijn, bij Warn na de waarschuwing en bij Block niet.
Test één download- en één uploadsituatie die het gekozen profiel toestaat en één die het blokkeert. Bij een profiel dat blokkeert als scannen niet mogelijk is, hoort ook die beslissing bij het succescriterium; bij toestaan als scannen niet mogelijk is wordt het tegenovergestelde resultaat verwacht.
Test ieder aspect van de gekozen gegevensgrens afzonderlijk: schermopname of delen, afdrukken, Save page, kopiëren tussen twee gedekte doelen, naar buiten kopiëren en van buiten plakken. Verwacht precies de combinatie van het geselecteerde profiel.
Als Enforce use of full browser actief is, opent u een gedekte bron en controleert u of deze in de volledige Protected Browser wordt geopend.
Voer een test uit waarin slechts één doelcriterium overeenkomt en een test waarin de gebruikersgroep of apparaatstatus niet overeenkomt. Zo worden de OR-relatie van de doelen en de AND-relatie van gebruikers- en apparaatvoorwaarden afzonderlijk getest.

Problemen per symptoom oplossen

Het beleid wordt niet toegepast

Controleer eerst Status en Rank. Een beleid met de status Not active wordt niet geëvalueerd. Als hoger geplaatst actief beleid al volledig overeenkomt, stopt de evaluatie daar. Plaats het nauwere beleid met Move to rank # > Apply vóór de bredere regel en test opnieuw.

Controleer daarna de voorwaardenlogica: gebruikersgroep en apparaatstatus moeten samen overeenkomen; voor toepassingsgroep, sitelijst en webcategorie volstaat één overeenkomend doel. Als een selectiewaarde ontbreekt, is de gebruiker of het beleidsobject mogelijk nog niet aangemaakt.

Een gebruikersgroep kan niet zinvol worden toegewezen

Controleer of de groep minstens één gebruiker bevat. Een lege toegewezen gebruikersgroep is niet toegestaan. Voeg eerst gebruikers toe, sla het beleid opnieuw op en herhaal de test met een lid van die groep.

Bestandsacties of gegevensgrenzen lijken te worden genegeerd

Controleer het Overall policy effect. Bij Block gelden de aanvullende acties voor downloadbeveiliging, uploadbeveiliging en gegevensgrenzen niet. Controleer bij Allow of Warn vervolgens of beleid met een hogere prioriteit als eerste overeenkwam en welk actieprofiel daarin daadwerkelijk is geselecteerd.

Gebruik de adresbalk niet als testvlak voor het klembord: de gedocumenteerde klembordgrenzen gelden daar niet. Als het resultaat in de pagina-inhoud nog steeds afwijkt van de geselecteerde profielmatrix, rol de wijziging dan niet breder uit. Documenteer testgeval, rang, voorwaarden en profiel en escaleer naar Sophos Support.

Veilig terugdraaien en uitfaseren

Leg vóór een wijziging de Rank, Status, voorwaarden en actieprofielen van het betrokken beleid vast. Deactiveer voor een omkeerbare terugdraaiing het nieuwe pilotbeleid en selecteer daarna Update. Inactief beleid wordt niet geëvalueerd; uit een nieuwe test moet dus blijken dat het volgende overeenkomende beleid of het basisbeleid weer wordt toegepast.

Overweeg verwijderen pas nadat deze terugdraaiing is bevestigd. Eigen beleid kan via het menu met drie punten met Delete worden verwijderd of met Clone als uitgangspunt voor een nieuwe variant worden gebruikt. Het basisbeleid kan niet worden verwijderd, gekloond of naar een andere rang worden verplaatst. Verwijder beleid daarom niet zolang de voorwaarden, rang of gewenste vervangende werking nog onduidelijk zijn.

Controleer bij de uitfasering van een gebruikersgroep of beleidsobject eerst alle beleidsregels die dit als voorwaarde gebruiken. Pas daarna de toewijzing aan, bevestig het effect met een beperkte test en behandel pas vervolgens het overbodige object in het daarvoor bestemde onderdeel.

Beheer en regelmatige controle

Controleer beleid bij elke wijziging aan gebruikersgroepen, apparaatstatussen of doelobjecten en beoordeel regelmatig Rank, Status, Access en toegewezen actieprofielen. Let vooral op regels met Any, profielen die niet-scanbare bestanden toestaan, Allow all downloads/uploads without scanning en gegevensgrenzen met tijdelijke omzeiling.

Kloon een wijziging eerst of bouw deze op als nieuw pilotbeleid voor een kleine doelgroep. Breid het bereik bewust uit na geslaagde acceptatie. Controleer migratietermijnen en datums voor productuitfasering of EOL los van deze beleidscontroles aan de hand van officiële productmededelingen.

Gerelateerde handleiding

Privacy en gegevensdeling in Sophos Fusion beheren plaatst het delen van bestanden met Sophos-services en tenantbrede privacybeslissingen in context.