Uit dienst: de IT-checklist bij vertrek van een medewerker

Uit dienst: de IT-checklist bij vertrek van een medewerker

Een medewerker die vertrekt, regelt u meestal onder tijdsdruk: een laatste gesprek, een eindafrekening, misschien nog een afscheidsborrel. De IT-kant, het account, de licentie, de telefoon, schiet er dan gemakkelijk bij in. Terwijl precies die kant een paar weken later voor problemen kan zorgen.

Een account dat na vertrek nog actief is, is geen theoretisch risico. Het is een van de makkelijkste manieren om toch nog ergens binnen te komen: een wachtwoord dat nooit is ingetrokken en nog gewoon werkt, of toegang die niemand meer in de gaten houdt. Een vaste uitdiensttredingsprocedure voorkomt dat, en bespaart u bovendien geld. Een licentie die blijft doorlopen, telt namelijk gewoon door op de factuur.

Wat u blokkeert op de laatste werkdag

Regel deze punten bij voorkeur al voor of op de laatste werkdag zelf.

1. Toegang blokkeren. Wijzig het wachtwoord of schakel het account direct uit, zodat de oud-medewerker niet meer kan inloggen. Dit is de eerste stap, niet iets wat u "deze week nog wel" doet.
2. Zakelijke apparatuur innemen of op afstand wissen. Een telefoon of laptop die niet wordt teruggegeven, blokkeert of wist u op afstand.
3. Afspreken wie de mailbox en bestanden overneemt. Regel dit vóórdat het account verdwijnt, niet erna. Anders bent u werk kwijt dat niemand heeft overgenomen.

De volgorde die Microsoft aanhoudt

Microsoft beschrijft in de eigen documentatie een vaste volgorde voor het verwijderen van een oud-medewerker in Microsoft 365, en die volgorde is niet willekeurig. (Microsoft Learn)

Eerst wordt de toegang geblokkeerd, zodat er niemand meer kan inloggen. Daarna krijgt een collega toegang tot de OneDrive- en Outlookdata van de vertrekkende medewerker, zodat lopend werk niet verloren gaat. Pas als dat is geregeld, wordt de licentie ingetrokken en, als laatste stap, het account zelf verwijderd.

Die volgorde omdraaien levert problemen op. Verwijdert u het account te vroeg, dan is werk dat nog niet is overgedragen in één keer onbereikbaar. Wacht u te lang met de licentie intrekken, dan betaalt u voor een account dat niemand meer gebruikt.

Kort na de laatste werkdag

E-mail van een vertrokken medewerker verdwijnt niet gewoon. Klanten en leveranciers sturen nog weken naar het oude adres. Stel daarom een doorstuurregel in of zet de postbus om naar een gedeelde postbus, zodat er altijd iemand antwoord geeft.

Daarna trekt u de licentie in. Blijft die onnodig lang staan, dan betaalt u voor iets wat niemand gebruikt. Hoeveel licenties dat in de praktijk kan zijn, leest u in ons artikel over ongebruikte Microsoft 365-licenties vinden.

Houd er rekening mee dat Microsoft na het intrekken van de licentie nog 30 dagen de mail, contactpersonen en agenda bewaart, waarna deze definitief worden verwijderd. OneDrive-inhoud blijft toegankelijk zolang het account zelf niet is verwijderd. Verwijder het account daarom pas als u zeker weet dat alles wat nodig is, is overgedragen.

Waarom dit meer is dan een IT-taak

Het Nationaal Cyber Security Centrum (NCSC) noemt het aanpassen van toegangsrechten bij vertrek een van de basisprincipes van digitale weerbaarheid. Volgens het NCSC moet u processen hebben voor indiensttreding, uitdiensttreding en interne doorstroming, en moet u ongebruikte accounts verwijderen. (NCSC, basisprincipe 4)

Dat raakt net zo goed privacy als IT. De Autoriteit Persoonsgegevens wijst erop dat u al bij een laag risiconiveau een autorisatiematrix moet invoeren en actueel moet houden, juist om onbevoegde toegang te voorkomen. (Autoriteit Persoonsgegevens) Een oud-medewerker die nog toegang heeft tot persoonsgegevens van klanten of collega's, valt daar direct onder.

In- en uitdiensttreding horen bij elkaar

Wie bij het aannemen van een nieuwe medewerker al vastlegt wie tot wat toegang heeft, hoeft bij vertrek alleen die lijst af te lopen. Staat dat nergens vast, dan moet u bij uitdiensttreding eerst uitzoeken tot wat iemand allemaal toegang had, meestal het lastigste deel van de hele procedure.

Dit is de andere kant van wat wij eerder beschreven in de IT-checklist voor de eerste werkdag: in- en uitdiensttreding zijn geen twee losse momenten, maar horen bij dezelfde procedure.

Wat dit u oplevert

Een vaste procedure kost u aanzienlijk minder tijd dan achteraf uitzoeken welke accounts, licenties en toegangsrechten nog openstaan voor iemand die al lang niet meer bij u werkt. En het voorkomt dat precies dat account de makkelijkste weg naar binnen wordt voor iemand anders.

Wilt u hulp bij het inrichten van een vaste uitdiensttredingsprocedure, voor toegang, licenties en apparatuur? Neem contact met ons op, dan denken wij met u mee.