Krijgt een oud-medewerker nog steeds toegang tot je bedrijfsdata?

Een medewerker vertrekt. Laptop ingeleverd, toegangspas op het bureau en na de afscheidsborrel gaat iedereen weer aan het werk. Klaar. Of toch niet?

Je hebt ongetwijfeld het Microsoft 365-account netjes geblokkeerd. Maar kan die ex-medewerker ook niet meer bij gedeelde bestanden, het CRM of de projectomgeving? En hoe zit het met die online tool waarvoor iemand ooit zelf een account heeft aangemaakt? In een paar jaar tijd kan een medewerker op veel meer plekken toegang krijgen dan je bij vertrek nog scherp hebt.

Offboarding is het proces waarbij je bij het vertrek van een medewerker onder meer accounts, apparaten en toegangsrechten afhandelt. Met een vaste aanpak voorkom je dat digitale deuren onnodig open blijven staan.

Waarom is een vergeten account gevaarlijk?

Een actief account van een oud-medewerker is een account waar niemand meer naar omkijkt. Dat maakt het juist interessant voor aanvallers. Stel dat het wachtwoord later via een datalek op straat komt. Of dat hetzelfde wachtwoord ook voor een andere dienst is gebruikt en daar wordt buitgemaakt. Een aanvaller kan vervolgens proberen ermee in te loggen. Omdat de echte gebruiker uit dienst is, kan het langer duren voordat iemand verdachte activiteit opmerkt.

Het risico zit dus zeker niet alleen bij een oud-medewerker die bewust probeert binnen te komen. Een vergeten account kan worden misbruikt zonder dat de voormalige collega daar iets mee te maken heeft.

Bovendien hebben medewerkers na een paar jaar vaak meer rechten dan toen ze begonnen. Ze zijn van functie gewisseld, werken aan projecten buiten hun afdeling of krijgen tijdelijk extra bevoegdheden om iets te beheren. Dat soort rechten worden gemakkelijk toegevoegd. Het intrekken ervan krijgt tijdens een dienstverband minder aandacht.

Daarom is het algemene principe van least privilege belangrijk: geef iemand alleen de rechten die nodig zijn voor het werk. Controleer die rechten ook tussentijds. Dan is er bij vertrek minder op te ruimen.

Uit dienst betekent nog niet uit je systemen

Een account uitschakelen klinkt eenvoudig als alle toegang via één centraal systeem loopt. In de praktijk staan de digitale sleutels vaak op meer plekken. Een developer kan bijvoorbeeld rechtstreeks toegang hebben gekregen tot een server. Een marketeer is misschien beheerder van WordPress geworden. Voor een tijdelijk project heeft iemand zelf een account aangemaakt bij een online dienst. En het wachtwoord van een gezamenlijk account kan bij verschillende collega's bekend zijn.

Daar komen technische vormen van toegang bij die minder zichtbaar zijn in een gebruikersoverzicht. Denk aan een API-key, een unieke code waarmee software toegang krijgt tot een andere dienst, of een access token waarmee een gebruiker of applicatie zich kan identificeren. Met een SSH-key kun je zonder gewoon wachtwoord veilig inloggen op bijvoorbeeld een server. Die sleutels kunnen gewoon blijven werken als je alleen het centrale medewerkersaccount uitschakelt.

Het Nationaal Cyber Security Centrum (NCSC) adviseert daarom om rechten bij te houden en van in- en uitdiensttreding een vast proces te maken. Het uitgangspunt is simpel: iemand heeft alleen toegang tot systemen die passen bij de werkzaamheden en alleen zolang die toegang nodig is.

Controleer deze plekken bij offboarding

De precieze lijst verschilt per organisatie. Toch wil je een aantal plekken bijna altijd nalopen:

1. E-mail en centrale bedrijfsaccounts. Denk aan Microsoft 365 of Google Workspace en controleer ook gekoppelde hersteladressen en telefoonnummers.
2. Cloudopslag en gedeelde bestanden. Zorg dat belangrijke bestanden een nieuwe eigenaar krijgen en controleer persoonlijke shares.
3. Hosting, VPS'en en servers. Verwijder persoonlijke accounts en controleer ook SSH-keys waarmee iemand rechtstreeks kan inloggen.
4. Websites en CMS'en. Trek bijvoorbeeld beheerrechten in WordPress in en vergeet losse beheeraccounts niet.
5. Domeinen en DNS. Controleer wie wijzigingen kan aanbrengen aan domeinnamen, DNS-records en andere instellingen.
6. Repositories en ontwikkelomgevingen. Verwijder toegang tot bijvoorbeeld GitHub of GitLab en trek persoonlijke access tokens in.
7. VPN en remote access. Zorg dat toegang op afstand daadwerkelijk wordt beëindigd en beëindig waar nodig bestaande sessies.
8. Online bedrijfssoftware. Denk aan CRM, boekhouding, projectmanagement, monitoring en andere online diensten waarvoor afzonderlijke accounts bestaan.
9. Gedeelde accounts en wachtwoorden. Wijzig wachtwoorden die de vertrekkende medewerker kent en controleer of MFA niet aan diens telefoon gekoppeld is.
10. API-keys en andere toegangssleutels. Trek persoonlijke sleutels en tokens in die niet langer nodig zijn.

Eén categorie past lastig in zo'n lijst: software die buiten IT om is aangeschaft. Het kan ook gebeuren dat een team zelfstandig een planningstool, AI-dienst of online samenwerkingsomgeving is gaan gebruiken. Als IT niet weet dat zo'n account bestaat, komt het ook niet vanzelf op de offboardinglijst. Kun je niet snel achterhalen waar een medewerker allemaal bij kan? Dan is dat een teken dat je toegangsbeheer beter kan.

Begin met offboarden vóór de laatste werkdag

Wacht liever niet tot iemand zijn laptop komt inleveren. Zeker bij een gepland vertrek kun je een deel van het werk eerder voorbereiden. Maak eerst een overzicht van de accounts en rechten van de medewerker. Kijk daarbij verder dan de standaardapplicaties. Vraag ook de leidinggevende en eventueel collega's met welke systemen de medewerker werkte.

Bepaal vervolgens wat er met zakelijke gegevens moet gebeuren. Wie wordt eigenaar van documenten? Moeten bestanden worden overgedragen? Moet e-mail tijdelijk worden doorgestuurd of moet er een automatisch antwoord komen? Wie neemt het beheer van websites, repositories of andere technische omgevingen over?

Let ook op accounts waarvan de vertrekkende medewerker eigenaar is. Een account simpelweg verwijderen kan problemen veroorzaken als daarmee bijvoorbeeld bestanden, automatiseringen of andere resources verdwijnen.

Leg tot slot vast wanneer de toegang wordt ingetrokken. Bij een normaal gepland vertrek kan dat bijvoorbeeld aan het einde van de laatste werkdag gebeuren. In andere situaties moet toegang direct worden beëindigd. Op die manier wordt offboarding een gecontroleerde overdracht in plaats van een rondje accounts verwijderen.

Checklist: wat doe je op de laatste werkdag?

Op het moment dat de toegang daadwerkelijk moet stoppen, wil je zo min mogelijk hoeven nadenken. Een vaste checklist helpt daarbij.

• Draag data en eigenaarschap over. Zorg dat bestanden, mailboxen, repositories en andere bedrijfsmiddelen een nieuwe eigenaar hebben voordat een account definitief wordt verwijderd.
• Blokkeer het centrale gebruikersaccount. Daarmee voorkom je nieuwe aanmeldingen via de centrale identity-provider.
• Trek actieve sessies in. Alleen een wachtwoord wijzigen of account blokkeren is niet altijd genoeg. Een gebruiker kan nog actieve sessies of tokens hebben.
• Verwijder MFA-methoden. Denk aan gekoppelde authenticator-apps, security keys en telefoonnummers.
• Trek persoonlijke sleutels en tokens in. Verwijder SSH-keys en trek API-keys en persoonlijke access tokens in die niet meer nodig zijn.
• Verwijder groepslidmaatschappen en rollen. Denk ook aan administratorrollen en toegang die via groepen is toegekend.
• Wijzig gedeelde wachtwoorden. Doe dit voor accounts waarvan de vertrekkende medewerker het wachtwoord kende.
• Controleer herstelgegevens. Een privé-e-mailadres of telefoonnummer van de medewerker mag niet als herstelmogelijkheid aan een zakelijk account gekoppeld blijven. Je wilt voorkomen dat de ex-collega opnieuw toegang kan krijgen tot een account.
• Neem zakelijke apparaten in. Controleer laptops, telefoons, hardwaretokens en andere apparatuur. Wis of configureer apparaten opnieuw voordat iemand anders ze gebruikt.
• Controleer na afloop of alle stappen daadwerkelijk zijn uitgevoerd. Een afgevinkte taak is nuttiger dan de aanname dat iemand anders het waarschijnlijk heeft geregeld.

Kun je offboarding automatiseren?

Voor een flink deel wel. Zeker als medewerkers via een centrale identity-provider toegang krijgen tot bedrijfsapplicaties.

Identity- en accessmanagementsystemen kunnen het vertrek van een medewerker als gebeurtenis gebruiken. Microsoft Entra kent hiervoor bijvoorbeeld zogeheten lifecycle workflows. Daarmee kunnen organisaties taken rondom indiensttreding, functiewijzigingen en vertrek automatisch uitvoeren.

Bij offboarding kun je afhankelijk van je inrichting automatisch een account uitschakelen, iemand uit groepen en Teams verwijderen, licenties intrekken en uiteindelijk het gebruikersaccount verwijderen. Ook kunnen workflows acties in andere systemen starten. Dat levert meer op dan tijdwinst. Een geautomatiseerde stap wordt iedere keer op dezelfde manier uitgevoerd. De kans dat iemand op vrijdagmiddag vergeet om een bepaald vinkje uit te zetten, wordt daardoor kleiner.

Een logische start voor het offboarding-proces is het moment waarop HR de einddatum van een medewerker registreert. Het identity-managementsysteem start op het afgesproken moment de offboarding, trekt toegang in en geeft wijzigingen door aan gekoppelde applicaties. IT hoeft daarna vooral te controleren of het proces goed is verlopen en de uitzonderingen af te handelen.

Automatisering werkt het beste als applicaties aan je centrale identity-omgeving zijn gekoppeld. Via provisioning en standaarden zoals SCIM kunnen accounts in gekoppelde SaaS-applicaties automatisch worden aangepast of ingetrokken.

Daar zit meteen de beperking. Dat ene losse hostingaccount, die handmatig toegevoegde SSH-key of die online tool die een team ooit zelf heeft aangeschaft, verdwijnt niet vanzelf omdat HR een medewerker uit dienst meldt. Automatisering vervangt de inventarisatie dus niet. Ze maakt vooral het voorspelbare deel van het proces betrouwbaarder.

Maak offboarding onderdeel van je normale IT-beheer

De beste offboarding begint eigenlijk al bij onboarding. Leg bij het aanmaken van accounts vast welke toegang iemand krijgt. Werk waar mogelijk met rollen en groepen in plaats van losse rechten per gebruiker. Geef medewerkers alleen de bevoegdheden die ze nodig hebben en maak tijdelijke rechten ook echt tijdelijk.

Controleer daarnaast periodiek welke accounts nog bestaan en welke rechten eraan gekoppeld zijn. Zo'n access review kan verrassingen opleveren. Misschien heeft iemand van marketing nog toegang tot een oud project. Of staat er een administratoraccount van een collega die twee jaar geleden is vertrokken.

Kijk daarbij ook naar inactieve accounts. Microsoft Entra kan bijvoorbeeld workflows starten op basis van langdurige inactiviteit. Zo kun je accounts opsporen die buiten het gewone uitdienstproces zijn blijven hangen.

En test je offboardingproces af en toe. Neem een medewerker die recent is vertrokken en controleer achteraf: bestaat het account nog ergens? Werkt een oude sleutel nog? Zijn er actieve sessies? Heeft die persoon nog toegang tot een repository, website of dashboard? Vind je iets, dan heb je meteen ontdekt waar het proces beter kan.

Een vertrekkende medewerker hoeft geen beveiligingsprobleem te zijn. Het wordt er pas een als niemand precies weet welke digitale sleutels die medewerker nog op zak heeft.