Personeel uit dienst: welke toegang moet je direct intrekken

Bij het vertrek van een medewerker gaat de aandacht meestal naar de eindafrekening, openstaande verlofdagen en het laatste gesprek. De digitale en fysieke toegang die iemand tijdens het dienstverband heeft opgebouwd, komt er vaak bekaad vanaf. Niet omdat niemand eraan denkt, maar omdat die toegang over veel verschillende plekken verspreid zit en niemand een compleet overzicht heeft.

Een account bij de e-mail, een login op de gedeelde schijf, een wachtwoord voor het boekhoudpakket, een sleutel van de zaak, een pasje voor het pand, toegang tot het bedrijfsprofiel op social media: het zijn allemaal losse dingen die los van elkaar geregeld en dus ook los van elkaar afgesloten moeten worden. Bij een bedrijf zonder vaste checklist betekent dat in de praktijk dat er weken overheen kunnen gaan voordat alles echt is afgesloten — of dat een deel gewoon nooit gebeurt.

Dat risico wordt groter naarmate een bedrijf groeit. Bij twee medewerkers met een gedeeld wachtwoord weet je nog waar je aan toe bent. Bij vijftien mensen, verspreid over kantoor en locaties, met eigen inloggegevens per systeem, is een lijstje in je hoofd niet meer genoeg.

Volgens KVK draait het bij uitdiensttreding om drie dingen: rechten intrekken, spullen innemen en wachtwoorden vervangen. Concreet gaat het minimaal om:

• Sleutels en toegangspasjes van het pand of specifieke ruimtes
• Alarmcodes die met meerdere mensen gedeeld werden
• E-mailaccount en toegang tot gedeelde mappen of clouddiensten
• Logins voor boekhoudpakket, planningssoftware of een klantsysteem
• Bedrijfstelefoon, simkaart en eventuele laptop of tablet
• VPN-toegang tot het bedrijfsnetwerk
• Toegang tot bedrijfsaccounts op social media of een gedeeld bankpasje

KVK adviseert om bij vertrek expliciet ook de VPN-toegang te onderbreken, zodat iemand van buitenaf geen bedrijfsapplicaties meer kan opstarten, en om gedeelde wachtwoorden via een wachtwoordmanager in één keer te vervangen in plaats van los per systeem. Dat laatste scheelt vooral tijd op het moment dat er meerdere gedeelde logins in omloop zijn.

Doe dit het liefst nog op de laatste werkdag zelf, niet pas dagen later. Regel je dit achteraf, dan is de kans groot dat het tussen andere zaken door blijft liggen — zeker als de vertrekkende medewerker in goede verstandhouding weggaat en niemand zich zorgen maakt over misbruik. Het gaat niet om wantrouwen, maar om een vast moment waarop je alles afsluit, ongeacht hoe het vertrek verliep.

Het makkelijkste moment om een uitdiensttreding goed te regelen, is niet het moment van vertrek zelf, maar het moment van aannemen. KVK noemt dit een rechteninventarisatie: een overzicht van alle toegangsrechten en spullen die je een medewerker geeft bij indiensttreding, afgestemd op de functie. Denk aan welke sleutels, welke pasjes, welke systemen en welke apparatuur bij die rol horen.

Leg je dat overzicht per medewerker vast op het moment van aannemen, dan hoef je bij vertrek niet meer te bedenken wat iemand allemaal heeft — je loopt gewoon dezelfde lijst nog een keer af, maar dan in de andere richting. Dat voorkomt dat je iets vergeet, zoals een toegang tot een systeem die maanden geleden is toegevoegd en inmiddels niemand zich meer herinnert.

Voor gedeelde logins helpt een wachtwoordmanager met unieke, per persoon gekoppelde toegang. Zo hoef je bij vertrek niet alle collega's een nieuw wachtwoord te laten onthouden, maar trek je met één handeling alleen de toegang van de vertrekkende medewerker in.

Dit is niet alleen een praktische kwestie, maar ook een wettelijke. De Autoriteit Persoonsgegevens schrijft dat je als organisatie een autorisatiematrix moet bijhouden: een overzicht van de toegangsrechten van alle medewerkers tot alle systemen, voldoende gedetailleerd en actueel gehouden. Dat overzicht is precies waar een rechteninventarisatie in de praktijk op neerkomt.

Een medewerker die is vertrokken maar nog toegang heeft tot een systeem met persoonsgegevens van klanten of personeel, is in de kern een gat in die beveiliging — ongeacht of die persoon er kwaad mee doet. De AVG vraagt van je dat je persoonsgegevens beveiligt tegen onbevoegde toegang, en een niet-ingetrokken account is precies dat: onbevoegde toegang die je zelf hebt laten bestaan.

Loopt het toch mis, bijvoorbeeld omdat een oud-medewerker nog bij klantgegevens kan en dat ook doet, dan kan dat als datalek gelden waarvoor een meldplicht kan gelden. De autorisatiematrix bijhouden is dus geen administratieve formaliteit, maar de manier om dit soort situaties te voorkomen.

Bij een paar medewerkers en een handvol systemen is een vaste checklist die je bij elke in- en uitdiensttreding doorloopt ruim voldoende. Dat kost niets om op te zetten en werkt net zo goed als een duurdere oplossing, zolang iemand hem daadwerkelijk elke keer afloopt.

Pas bij meer systemen — tien of meer applicaties, regelmatige personeelswisseling, meerdere locaties — wordt het de moeite waard om te kijken of je HR-systeem gekoppeld kan worden aan de belangrijkste applicaties, zodat toegang automatisch wordt ingetrokken zodra een einddatum dienstverband is ingevoerd. Dat scheelt tijd en voorkomt dat een uitzondering op de checklist over het hoofd wordt gezien.

Zo'n koppeling bouwen heeft alleen zin als je eerst weet welke systemen er precies zijn en wie waar toegang toe heeft. Zonder die lijst automatiseer je in feite de rommel die er al was, en blijf je alsnog gaten missen. Begin dus met de rechteninventarisatie op orde krijgen; de vraag of een geautomatiseerde koppeling de moeite waard is, beantwoord je pas daarna.