Persoonlijke accounts en de dag dat iemand vertrekt

Een gedeeld account met een wachtwoord dat iedereen kent, is niet aan een persoon te koppelen. Gaat er iets mis, dan weet je niet wie het was. Vertrekt er iemand, dan moet iedereen een nieuw wachtwoord.

Beperk het niet tot de mail. Het gaat ook om het planningspakket, de webshop, de boekhouding, en de beheerpagina van je website. Daar zit vaak nog een account uit de tijd dat het bedrijf met vier man was.

Sommige gedeelde postbussen zijn juist de bedoeling, zoals info@ of administratie@. Het verschil is dat mensen daar met hun eigen account bij komen, in plaats van dat ze een gedeeld wachtwoord kennen.

Gebruik een wachtwoordmanager voor de accounts die je echt niet kunt splitsen. Dan zit het wachtwoord in een kluis in plaats van in een spreadsheet.

Iemand die weggaat, levert de laptop en de sleutel in. Zijn accounts blijven meestal open, want die zie je niet liggen.

Maak een lijstje van alles waar iemand toegang toe kan hebben, en loop het af op de laatste werkdag. Mail, planning, boekhouding, de telefoon, de VPN, de gebouwtoegang, en de wachtwoordmanager. Zet er ook bij: verwijder zijn nummer uit de lijst voor tweestapsverificatie.

Doe het op de dag zelf. Niet volgende week. De meeste problemen komen niet van kwade opzet maar van een account dat een jaar later nog werkt en waar niemand meer naar kijkt.

Teken het lijstje af met een datum. Dat vel is het bewijs, en het is meteen de checklist voor de volgende keer.

De wet noemt beveiligingsaspecten ten aanzien van personeel, en het NCSC vertaalt dat naar: bepaal voor welke functies screening nodig is. Let op wat daar staat. Het is niet dat iedereen een VOG moet hebben; het is dat je de afweging maakt en opschrijft.

Voor een schoonmaakbedrijf of een uitzendbureau is dit de eerste vraag van de inkoper. Wie komt er bij ons binnen, en wat weet je van die persoon. Een antwoord van "dat regelen we per geval" is precies het antwoord waar hij naar op zoek was.

Loop je functies langs en zet er twee vragen achter: komt deze persoon bij een opdrachtgever binnen, en werkt hij in diens systemen. Is een van beide ja, dan hoort daar een VOG of op zijn minst een referentiecheck bij.

Zet geen namen in het dossier, alleen functies. Bij twaalf man is een naam op een door te sturen stuk zo terug te leiden tot een persoon.

Je kunt geen laptop terugvragen waarvan niemand weet dat hij bestaat. Daarom noemt onderdeel i naast personeel en toegang ook het beheer van assets.

Denk daarbij niet alleen aan laptops, telefoons en servers. De camera's, de badgelezer, de klimaatregeling en de machines op de werkvloer hangen ook aan het netwerk. Ze worden zelden bijgewerkt en staan meestal op niemands lijst. Het eerste lid van artikel 21 gaat over de systemen die je voor je werk gebruikt, en het derde lid noemt daarbij de fysieke omgeving van die systemen.

Het is geen beheerpakket. Een tabel met vijf kolommen volstaat: wat het is, welk merk en welk nummer, wie hem heeft, wanneer hij is uitgegeven, en of hij versleuteld is.

De lijst betaalt zich terug op twee momenten. Bij vertrek van een medewerker weet je wat er terug moet komen. En bij diefstal weet je meteen of er bedrijfsgegevens op stonden, wat het verschil is tussen een melding en een gok.

Een lijst die twee jaar niet is bijgewerkt, geeft bij vertrek een verkeerd antwoord. Loop hem twee keer per jaar na, of iedere keer dat iemand in of uit dienst gaat.