Hoe zorg ik dat ex-medewerkers geen toegang meer hebben tot onze systemen?

Zorg er direct voor dat een vertrekkende medewerker geen toegang meer heeft tot systemen door alle accounts, wachtwoorden en rechten op de laatste werkdag in te trekken. Dat geldt voor bedrijfsapplicaties, e-mail, cloudomgevingen en gedeelde accounts. Hoe sneller dit gebeurt, hoe kleiner het risico op misbruik of datalekken. De vragen hieronder helpen je een waterdicht offboardingproces op te zetten.

Welke accounts en toegangen moeten worden ingetrokken bij vertrek?

Bij vertrek van een medewerker moeten alle accounts en toegangsrechten worden ingetrokken die aan die persoon zijn gekoppeld. Dat omvat het e-mailaccount, toegang tot bedrijfsapplicaties, clouddiensten, VPN, interne systemen en fysieke toegangspassen. Denk ook aan abonnementen op tools die op naam van de medewerker staan.

In de praktijk vergeten organisaties regelmatig een deel van deze toegangen, simpelweg omdat er geen volledig overzicht is. Een gestructureerde aanpak begint daarom met een actuele lijst van alle systemen waar medewerkers toegang toe kunnen hebben. Denk daarbij aan:

• Zakelijke e-mail en agenda
• Clouddiensten zoals Microsoft 365, Google Workspace of vergelijkbare omgevingen
• Projectmanagementtools, CRM-systemen en facturatiesoftware
• Externe systemen van klanten of leveranciers
• Gedeelde wachtwoordmanagers of gedeelde inloggegevens
• Fysieke toegangspassen en sleutels
• Persoonlijke apparaten die zijn gekoppeld aan bedrijfssystemen

Het intrekken van toegangsrechten bij ex-medewerkers is niet alleen een technische handeling. Het vraagt om samenwerking tussen HR, IT en de direct leidinggevende, zodat niets over het hoofd wordt gezien.

Hoe snel moet toegang worden geblokkeerd na uitdiensttreding?

Toegang moet bij voorkeur worden geblokkeerd op het moment dat de medewerker de organisatie verlaat, of zelfs eerder als de omstandigheden daartoe aanleiding geven. Bij onverwacht vertrek of een conflict is directe blokkade op de laatste werkdag de norm. Bij gepland vertrek kan een deel van het proces al eerder worden voorbereid.

Hoe langer accounts van ex-medewerkers actief blijven, hoe groter het risico. Zelfs zonder kwade bedoelingen kunnen inloggegevens in verkeerde handen vallen. Onderzoek binnen de informatiebeveiliging laat consistent zien dat voormalige medewerkers een van de meest voorkomende bronnen zijn van ongeautoriseerde toegang, juist omdat hun accounts na vertrek niet altijd tijdig worden afgesloten.

Een vuistregel die in veel ISO 27001-trajecten wordt gehanteerd: blokkeer accounts dezelfde dag als de uitdiensttreding, en verwijder of archiveer ze binnen een vastgestelde termijn (vaak 30 tot 90 dagen), afhankelijk van de geldende bewaarplichten en bedrijfsprocessen.

Wat is een offboarding checklist voor informatiebeveiliging?

Een offboarding checklist voor informatiebeveiliging is een gestructureerde lijst van stappen die een organisatie doorloopt wanneer een medewerker vertrekt, met als doel alle toegangen, rechten en bedrijfsmiddelen tijdig en volledig in te trekken of terug te vorderen. De checklist zorgt ervoor dat het proces herhaalbaar en aantoonbaar is.

Een goede checklist bevat minimaal de volgende onderdelen:

1. Accounts deactiveren: e-mail, applicaties, VPN, clouddiensten en externe systemen
2. Wachtwoorden wijzigen: gedeelde accounts en diensten waarbij de medewerker inloggegevens kende
3. Apparatuur retourneren: laptop, telefoon, tokens en andere bedrijfsmiddelen
4. Fysieke toegang intrekken: passen, sleutels en toegang tot locaties
5. Gegevensoverdracht regelen: zeker stellen dat bedrijfsinformatie niet mee naar buiten gaat
6. Overdracht van taken: klantcontacten, lopende projecten en kritische kennis overdragen
7. Bevestiging vastleggen: documenteer wie wat heeft uitgevoerd en wanneer

De checklist werkt het beste als hij is vastgelegd in een formeel beleidsdocument en als er een verantwoordelijke is aangewezen die het proces coördineert. Zo voorkom je dat stappen worden overgeslagen bij drukke periodes of onverwacht vertrek.

Hoe voorkom je dat ex-medewerkers via gedeelde accounts inloggen?

Gedeelde accounts zijn een van de grootste blinde vlekken bij offboarding. Wanneer meerdere medewerkers hetzelfde wachtwoord gebruiken, is het intrekken van één persoon zijn toegang niet voldoende. Het wachtwoord moet direct worden gewijzigd zodra iemand vertrekt die toegang had tot dat gedeelde account.

De structurele oplossing is het minimaliseren van gedeelde accounts. Elke medewerker hoort een eigen, persoonlijk account te hebben voor elk systeem dat hij of zij gebruikt. Dat maakt het niet alleen eenvoudiger om toegang in te trekken, maar ook om achteraf te achterhalen wie welke handelingen heeft uitgevoerd.

Waar gedeelde accounts onvermijdelijk zijn, bijvoorbeeld voor bepaalde tools of externe diensten, is het verstandig om:

• Een centraal wachtwoordbeheersysteem te gebruiken waarbij toegang per persoon kan worden ingesteld
• Na elk vertrek het wachtwoord van het gedeelde account direct te wijzigen
• Toegang tot gedeelde accounts te koppelen aan een rol, niet aan een persoon
• Regelmatig te controleren wie er nog toegang heeft tot welke gedeelde accounts

Het principe van least privilege is hier leidend: geef medewerkers alleen toegang tot wat zij echt nodig hebben voor hun werk. Dat beperkt automatisch het risico bij vertrek.

Welke rol speelt ISO 27001 bij het beheren van toegangsrechten?

ISO 27001 schrijft voor dat organisaties een formeel proces hebben voor het beheren van toegangsrechten, inclusief het intrekken van rechten bij vertrek van medewerkers. Toegangsbeheer is een expliciet onderdeel van de norm en valt onder de maatregelen voor beveiliging van informatie en informatiesystemen.

Concreet vraagt ISO 27001 van organisaties dat zij:

• Een beleid hebben voor het toekennen en intrekken van toegangsrechten
• Toegangsrechten periodiek beoordelen en actueel houden
• Rechten onmiddellijk intrekken bij wijziging van functie of uitdiensttreding
• Aantoonbaar maken dat dit proces wordt nageleefd

Het voordeel van een ISO 27001-gecertificeerd managementsysteem is dat offboarding geen ad hoc handeling meer is, maar een vastgelegd en gecontroleerd proces. Dat geeft niet alleen meer zekerheid, maar maakt het ook eenvoudiger om bij een audit aan te tonen dat toegangsrechten correct worden beheerd. Meer weten over wat de norm precies vraagt? Bekijk onze diensten voor een overzicht van hoe wij organisaties hierbij begeleiden.

Hoe controleer je achteraf of alle toegangen zijn ingetrokken?

Achteraf controleren of alle toegangen zijn ingetrokken doe je door een toegangsreview uit te voeren: een systematische controle van alle actieve accounts en rechten in je systemen, afgezet tegen de actuele personeelslijst. Elk account dat toebehoort aan iemand die niet meer in dienst is, signaleert een omissie.

Een effectieve controle bestaat uit de volgende stappen:

1. Exporteer een lijst van actieve accounts uit alle relevante systemen en applicaties
2. Vergelijk deze lijst met de actuele personeelsadministratie van HR
3. Identificeer accounts van ex-medewerkers die nog actief zijn
4. Trek die accounts direct in en documenteer de bevinding
5. Analyseer hoe de omissie is ontstaan en verbeter het offboardingproces

Voer deze controle minimaal jaarlijks uit, en vaker als je organisatie regelmatig personeel ziet komen en gaan. Veel organisaties koppelen de toegangsreview aan de jaarlijkse interne audit, zodat het een vast onderdeel wordt van de verbetercyclus. Dat maakt het aantoonbaar en herhaalbaar, wat precies is wat normen als ISO 27001 vragen.

Gebruik bij voorkeur een centrale tool voor identiteits- en toegangsbeheer (IAM) die het intrekken van rechten over meerdere systemen tegelijk mogelijk maakt. Dat verkleint de kans op menselijke fouten en maakt de controle achteraf een stuk eenvoudiger.

Hoe Kwinzo helpt met offboarding en toegangsbeheer

Een goed ingericht offboardingproces is niet iets dat je eenmalig regelt. Het vraagt om beleid, vastgelegde procedures en periodieke controles die aantoonbaar werken. Precies dat is waar wij bij Kwinzo organisaties bij helpen.

Wij begeleiden organisaties bij het opzetten van een Information Security Management System (ISMS) waarin toegangsbeheer, inclusief offboarding, structureel is geborgd. Onze aanpak is concreet en afgestemd op jouw organisatie:

• Wij helpen bij het opstellen van een helder toegangsbeleid en een offboarding checklist die past bij jouw werkwijze
• Wij begeleiden de implementatie van maatregelen die voldoen aan ISO 27001 en andere relevante normen
• Wij voeren interne audits uit om te controleren of processen zoals toegangsreviews daadwerkelijk worden nageleefd
• Wij bieden trainingen voor medewerkers en Security Officers zodat iedereen weet wat er van hen wordt verwacht
• Wij maken gebruik van slimme standaardisering via onze eigen ISMS-tool, zodat het proces efficiënt is zonder in te leveren op maatwerk

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van toegangsbeheer en offboarding? Neem contact op voor een vrijblijvend adviesgesprek. Wij denken graag met je mee.