Trek toegangsrechten zo snel mogelijk in op de dag dat een medewerker vertrekt, bij voorkeur op het moment van het laatste gesprek of direct daarna. Wacht je langer, dan blijft er een actief account bestaan dat toegang geeft tot bedrijfsdata, e-mail en systemen waar de medewerker geen recht meer op heeft. Dit artikel beantwoordt de meest gestelde vragen over het intrekken van toegangsrechten bij vertrek.
Wat zijn de risico’s van actieve accounts na vertrek?
Een actief account van een vertrokken medewerker is een open deur naar je bedrijfsomgeving. Zolang het account bestaat, kan de voormalige medewerker inloggen op e-mail, cloudopslag, bedrijfsapplicaties en interne systemen. Dat geldt ook voor accounts die de medewerker zelf misschien is vergeten, zoals een oud VPN-profiel of een vergeten koppeling met een externe dienst.
De risico’s zijn concreet:
- Datadiefstal: een vertrokken medewerker kan klantgegevens, offertes of bedrijfsgevoelige informatie downloaden en meenemen naar een concurrent.
- Sabotage: in zeldzame maar reële gevallen worden actieve accounts misbruikt om bestanden te verwijderen of wijzigingen door te voeren.
- Onbedoelde toegang: zelfs zonder kwade bedoelingen kan een oud account worden misbruikt door derden als het wachtwoord uitlekt.
- Compliancerisico’s: de AVG verplicht organisaties om toegang tot persoonsgegevens te beperken tot medewerkers die daar een functiegerelateerde reden voor hebben. Een actief account na vertrek schendt dat uitgangspunt.
Voor het MKB is dit extra relevant. Kleinere organisaties hebben vaak minder gelaagde beveiligingsstructuren, waardoor één actief account relatief veel toegang geeft. Cybersecurity voor het MKB begint bij het consequent afsluiten van toegang zodra een medewerker de organisatie verlaat.
Welke systemen en accounts moeten worden afgesloten?
Bij vertrek van een medewerker moeten alle systemen en accounts worden afgesloten waarbij die persoon een actieve gebruiker is. Dat gaat verder dan alleen het e-mailaccount. Denk aan elk systeem waarvoor de medewerker ooit inloggegevens heeft ontvangen of waarbij zijn of haar identiteit is gekoppeld.
Een volledig overzicht van te sluiten toegangspunten:
- Microsoft 365: e-mail (Exchange Online), Teams, SharePoint, OneDrive en eventuele gekoppelde apps
- Cloudopslag en bestandssharing: gedeelde mappen, externe clouddiensten en tools voor bestandsoverdracht
- Bedrijfsapplicaties: ERP-systemen, CRM-software, boekhoudsoftware en branchespecifieke tools
- VPN en remote access: toegang tot het interne netwerk via thuis of onderweg
- Communicatietools: zakelijke telefonie, WhatsApp Business-accounts en andere berichtenapps
- Wachtwoordmanagers: gedeelde kluizen of bedrijfsaccounts in een wachtwoordkluis
- Fysieke toegang: toegangspassen, pincodes voor deuren en alarmsystemen
- Externe diensten: sociale media-accounts, nieuwsbriefdiensten of advertentieplatforms waarbij de medewerker beheerder was
Vergeet ook de mobiele apparaten niet. Een smartphone of tablet die via mobile device management (MDM) is beheerd, moet op afstand worden gewist of losgekoppeld van de bedrijfsomgeving.
Hoe snel moeten toegangsrechten worden ingetrokken na ontslag?
Toegangsrechten moeten op de laatste werkdag worden ingetrokken, bij voorkeur op het moment dat het dienstverband officieel eindigt. Bij een ontslag op staande voet of een situatie met verhoogd risico geldt: direct op het moment van het gesprek. Uitstel vergroot het risico zonder enig voordeel voor de organisatie.
In de praktijk hanteren veel organisaties de volgende vuistregel:
- Regulier vertrek (eigen initiatief of aflopend contract): deactiveer het account op de laatste werkdag, na werktijd of op het moment van uitdiensttreding.
- Ontslag of conflictueus vertrek: deactiveer het account direct, nog tijdens of vlak na het gesprek.
- Langdurig ziekteverlof of langdurige afwezigheid: beperk toegang tot het strikt noodzakelijke en evalueer regelmatig of volledige toegang nog gerechtvaardigd is.
Wacht nooit tot de IT-afdeling of externe ICT-partner de volgende dag beschikbaar is als het om een risicovolle situatie gaat. Zorg dat je als organisatie altijd iemand hebt die op korte termijn een account kan deactiveren, of dat dit geregeld is via een beheerde omgeving waarbij dit snel centraal kan worden uitgevoerd.
Hoe zorg je dat geen enkel account wordt gemist?
De beste manier om te voorkomen dat een account over het hoofd wordt gezien, is een vaste offboarding-checklist die je bij elk vertrek doorloopt. Combineer dat met een centraal beheerde omgeving waarbij alle gebruikersaccounts en toegangsrechten op één plek zichtbaar zijn.
Concrete maatregelen die helpen:
- Werk met een offboarding-checklist die alle systemen, applicaties en fysieke toegangsmiddelen bevat. Stel deze lijst op voordat je hem nodig hebt.
- Gebruik Role Based Access Control (RBAC) om toegangsrechten te koppelen aan functies in plaats van aan individuen. Zo weet je altijd welke rechten bij welke rol horen en wat er ingetrokken moet worden.
- Centraliseer identiteitsbeheer via een platform zoals Microsoft Entra ID (voorheen Azure Active Directory). Vanuit één omgeving kun je accounts deactiveren en toegang tot gekoppelde apps direct blokkeren.
- Documenteer alle applicaties en toegangen bij indiensttreding. Als je bijhoudt wat een medewerker krijgt, weet je ook wat je bij vertrek moet intrekken.
- Controleer na deactivering of er nog actieve sessies of tokens zijn die handmatig moeten worden ingetrokken.
Het principe van minimale toegangsrechten helpt hier ook indirect: als medewerkers alleen toegang hebben tot wat ze voor hun werk nodig hebben, is de offboarding-lijst automatisch korter en overzichtelijker.
Wat is het verschil tussen account deactiveren en verwijderen?
Een account deactiveren betekent dat de medewerker niet meer kan inloggen, maar dat de data en instellingen bewaard blijven. Een account verwijderen verwijdert ook de bijbehorende data, tenzij die elders is opgeslagen. Voor de meeste organisaties is deactiveren de juiste eerste stap na vertrek.
Het onderscheid is belangrijk om de volgende redenen:
- Deactiveren blokkeert de toegang direct, maar behoudt e-mailhistorie, bestanden en instellingen. Dit is nuttig als je achteraf nog iets wilt nalezen, een overdracht wilt regelen of als er juridische redenen zijn om data te bewaren.
- Verwijderen ruimt het account definitief op. In Microsoft 365 worden verwijderde accounts standaard 30 dagen bewaard in een prullenbak voordat ze permanent worden verwijderd. Daarna zijn de data niet meer terug te halen, tenzij je een externe back-up hebt.
De aanbevolen aanpak is: deactiveer het account direct bij vertrek, zet een automatisch antwoord in op het e-mailadres en regel een doorstuuradres indien nodig. Verwijder het account pas na een vastgestelde bewaartermijn, op basis van je eigen beleid en eventuele wettelijke verplichtingen. Zorg dat je back-ups van de data hebt voordat je definitief verwijdert.
Wie is verantwoordelijk voor het intrekken van toegangsrechten?
De verantwoordelijkheid voor het intrekken van toegangsrechten ligt bij de organisatie zelf, maar de uitvoering kan worden belegd bij HR, de leidinggevende, de IT-beheerder of een externe ICT-partner. Belangrijk is dat er één duidelijk aanspreekpunt is dat het proces in gang zet zodra een vertrek bekend is.
In de praktijk werkt dit het beste als volgt:
- HR of de leidinggevende meldt het vertrek zo vroeg mogelijk, bij voorkeur op de dag van het besluit of het gesprek.
- De IT-beheerder of ICT-partner voert de deactivering uit op basis van de offboarding-checklist.
- De leidinggevende controleert of alle applicaties en fysieke toegangsmiddelen zijn ingeleverd of geblokkeerd.
Bij organisaties zonder eigen IT-afdeling is het verstandig om vooraf met je ICT-partner af te spreken hoe het offboarding-proces eruitziet en wie je belt als een medewerker vertrekt. Onduidelijkheid over verantwoordelijkheid is een van de meest voorkomende redenen waarom accounts te lang actief blijven.
Hoe wij helpen met toegangsbeheer bij medewerkerswisselingen
Wij ondersteunen MKB-organisaties bij het opzetten en beheren van een veilige digitale werkomgeving, inclusief een gestructureerd proces voor het intrekken van toegangsrechten. Dat doen we concreet via:
- Centraal gebruikersbeheer via RBAC zodat je altijd een actueel overzicht hebt van wie toegang heeft tot welke systemen
- Beheerde Microsoft 365-omgeving met 365 Baseline en 365 Alerting, waarmee afwijkingen in accountgebruik direct worden gesignaleerd
- Offboarding-ondersteuning waarbij wij accounts deactiveren, sessies intrekken en data veiligstellen zodra jij een vertrek meldt
- Minimale toegangsrechten als uitgangspunt bij het inrichten van de werkplek, zodat de offboarding-scope per medewerker beheersbaar blijft
- Monitoring en alerting die verdachte activiteit op accounts signaleert, ook in de periode vlak voor of na een vertrek
Wil je weten hoe jouw organisatie er nu voor staat op het gebied van ICT security en toegangsbeheer? Neem contact met ons op voor een vrijblijvend gesprek. We kijken samen naar je huidige situatie en geven je een concreet beeld van wat er beter kan.
Related Articles
- Wat is actieve monitoring van jouw ICT-omgeving en waarom is het onmisbaar?
- Hoe weet je of jouw bedrijfsgegevens al op het dark web te koop staan?
- Wat is het verschil tussen een pentest en een vulnerability scan?
- Hoe bescherm je zakelijke e-mail tegen spoofing met DKIM, DMARC en SPF?
- Wat is het gevaar van onbeheerde apparaten op jouw bedrijfsnetwerk?