Personeelsverloop: zo houdt u grip op toegang en veiligheid

Voor veel mkb-bedrijven zijn dit geen dagelijkse hoofdbrekens. Het werk wordt gedaan, medewerkers kunnen bij hun bestanden en iedereen weet ongeveer hoe het geregeld is. Totdat iemand van functie verandert, uit dienst gaat of er een nieuwe collega bijkomt. Dan blijkt soms hoe afhankelijk de organisatie is van handmatige acties, losse lijstjes en kennis van één persoon.

Juist bij personeelsverloop wordt zichtbaar hoe goed uw digitale werkplek werkelijk is georganiseerd.“ Een nieuwe medewerker of een vertrekkende collega is niet alleen een HR-moment. Het is óók een belangrijk moment in het beheer en de beveiliging van uw digitale werkplek", zegt Adam Karama, Cyber Security Specialist bij Vodafone Business.

Meer lezen over dit onderwerp? 'Mkb worstelt met werkplek'

Een nieuwe medewerker goed laten starten gaat tegenwoordig verder dan een laptop bestellen en een e-mailadres aanmaken. Die medewerker heeft toegang nodig tot de juiste bestanden, applicaties, Teams-omgevingen en andere bedrijfssystemen. In een groeiende organisatie kan dat al snel een flinke lijst worden. Zeker wanneer iedere afdeling zijn eigen werkwijze en applicaties heeft. Als dit handmatig wordt geregeld, is de kans groot dat iets wordt vergeten of dat een medewerker juist meer toegang krijgt dan nodig is.

Een goed ingerichte werkplek maakt van onboarding een vast proces. Op basis van de functie en rol van een medewerker kan vooraf worden bepaald welke toegang nodig is. De laptop kan worden ingericht, het account geactiveerd en de juiste rechten kunnen worden toegewezen voordat de eerste werkdag begint. Zo hoeft een nieuwe collega niet eerst te wachten op IT voordat hij of zij aan de slag kan.

Adam Karama, Cyber Security Specialist bij Vodafone Business, ziet juist hier in de praktijk vaak ruimte voor verbetering. “Bij onboarding kijken organisaties begrijpelijkerwijs vooral naar de vraag of iemand op dag één kan werken. Maar minstens zo belangrijk is dat vooraf duidelijk is welke toegang iemand nodig heeft en dat die toegang ook op een consistente manier wordt ingericht,” aldus Karama.

Wat maakt de beheerde werkplek veilig? 'SOC: zo bewaakt MKB Business ICT uw digitale werkplek dag en nacht'

Personeelsverloop gaat natuurlijk niet alleen over nieuwe medewerkers en vertrekkers. In een groeiend mkb-bedrijf veranderen mensen regelmatig van functie, krijgen ze andere verantwoordelijkheden of gaan ze tijdelijk in een ander team werken. Ook dan moet de digitale werkplek meebewegen.

Een medewerker die van de administratie naar sales gaat, heeft bijvoorbeeld andere informatie nodig dan voorheen. Andersom kan toegang tot financiële gegevens die eerder noodzakelijk was, inmiddels overbodig zijn. Als rechten in de loop der tijd alleen maar worden toegevoegd, ontstaat stapeling van toegangsrechten: medewerkers houden toegang tot informatie die ze voor hun huidige functie niet meer nodig hebben.

Dat lijkt misschien onschuldig. Maar hoe meer mensen toegang hebben tot gevoelige informatie, hoe groter het risico wanneer een account wordt misbruikt of wanneer gegevens per ongeluk met de verkeerde persoon worden gedeeld.

Het Nationaal Cyber Security Centrum (NCSC) benadrukt daarom dat organisaties moeten vastleggen wie toegang heeft tot welke systemen en gegevens, en dat toegangsrechten moeten worden aangepast wanneer iemand van functie verandert of vertrekt. Ook adviseert het NCSC om toegang zoveel mogelijk te beperken tot wat iemand daadwerkelijk nodig heeft voor het uitvoeren van zijn of haar werkzaamheden.

Altijd veilig en up-to-date: bekijk de video over de moderne werkplek

Van alle momenten waarop toegangsbeheer belangrijk is, is uitdiensttreding misschien wel het moment waarop u geen ruimte wilt laten voor twijfel.

Een medewerker vertrekt. Het account wordt gedeactiveerd. Klaar, zou u denken. Maar in de praktijk kan toegang breder zijn dan alleen het Microsoft 365-account. Denk aan andere applicaties, gedeelde omgevingen, mobiele apparaten, Teams-groepen of externe diensten. En misschien kent alleen die ene collega alle wachtwoorden of beheeraccounts.

Een goed ingericht proces zorgt ervoor dat uitdiensttreding niet afhankelijk is van het geheugen van een medewerker of een checklist die ergens in een lade ligt. Toegang wordt op het juiste moment ingetrokken, apparaten kunnen worden geblokkeerd en bedrijfsgegevens blijven onder controle van de organisatie. Dat is niet alleen prettig voor de continuïteit. Het verkleint ook de kans dat een voormalig medewerker, bewust of onbewust, toegang houdt tot bedrijfsinformatie.

“Het moment waarop iemand uit dienst gaat, is eigenlijk een stresstest voor uw toegangsbeheer,” legt Karama uit. “Als u op dat moment handmatig moet uitzoeken waar iemand allemaal toegang toe heeft, weet u dat het proces beter kan.”

Ziet u op tegen de overstap? "Continuïteit oké: overstappen naar de veilig beheerde ICT-werkplek"

Het NCSC noemt identiteits- en toegangsbeheer een fundamentele bouwsteen van digitale weerbaarheid. Het gaat daarbij om meer dan inloggen. Het gaat om het hele proces van bepalen wie toegang heeft, welke rechten daarbij horen en wanneer die rechten moeten worden aangepast of ingetrokken.

Voor een mkb-bedrijf hoeft dat niet te betekenen dat u een ingewikkelde IT-organisatie moet optuigen. De basis is juist overzichtelijk: de juiste persoon, met de juiste rechten, op het juiste moment. Dat betekent bijvoorbeeld dat u werkt met rollen en duidelijke afspraken. Een medewerker krijgt toegang tot wat nodig is voor de functie. Verandert de functie, dan veranderen de rechten mee. Vertrekt iemand, dan wordt de toegang ingetrokken.

Zo voorkomt u dat uw digitale omgeving langzaam steeds verder uitdijt zonder dat iemand nog precies weet waarom bepaalde rechten ooit zijn toegekend.

Hier komt het verschil tussen zelf regelen en structureel beheren duidelijk naar voren. In een organisatie waar werkplekbeheer vooral ad hoc gebeurt, kan een nieuwe medewerker aanleiding zijn voor een reeks losse acties: iemand maakt een account aan, een andere collega regelt de laptop en de manager stuurt later nog een bericht over toegang tot een bepaalde map.

Bij een beheerde werkplek zijn dit geen losse acties meer. Ze maken onderdeel uit van één proces. Dat betekent niet dat alles volledig automatisch moet. Wel dat duidelijk is wat er moet gebeuren, wanneer dat moet gebeuren en wie daarvoor verantwoordelijk is. Zo wordt personeelsverloop minder kwetsbaar voor menselijke fouten. En dat is belangrijk, want juist bij drukte, groei of onverwacht vertrek is de kans het grootst dat een stap wordt vergeten.

Karama licht toe waarom dat onderscheid belangrijk is: “Het doel van goed beheer is niet om zoveel mogelijk handelingen te automatiseren. Het gaat erom dat kritieke stappen niet afhankelijk zijn van toeval of van de vraag wie er die dag tijd heeft om ze uit te voeren.”

Toegangsbeheer lijkt misschien vooral een administratieve taak. In werkelijkheid is het een belangrijk onderdeel van cybersecurity. Een gestolen of gehackt account is bijvoorbeeld veel minder schadelijk wanneer de gebruiker alleen toegang heeft tot de informatie die nodig is voor het werk. Het principe van ‘least privilege’, zo min mogelijk rechten geven als nodig, helpt om de mogelijke impact van een incident te beperken.

Daarmee raakt goed toegangsbeheer aan het security-vraagstuk uit ons eerdere artikel over veilig werken. En het sluit ook aan op wat we eerder schreven over veilig werken op verschillende locaties. Want hoe en waar uw medewerkers ook werken: u wilt dat toegang tot bedrijfsinformatie niet afhankelijk is van de plek waar iemand zit, maar van wie die persoon is en wat diegene nodig heeft.

U hoeft geen IT-expert te zijn om te beoordelen of uw organisatie hier grip op heeft. Stel uzelf eens de volgende vragen:

• Weet u welke systemen en bedrijfsinformatie iedere medewerker nodig heeft?
• Worden toegangsrechten aangepast wanneer iemand van functie verandert?
• Wordt alle toegang direct ingetrokken wanneer iemand uit dienst gaat?
• Weet u welke apparaten aan een medewerker zijn gekoppeld?
• Zijn er nog oude of ongebruikte accounts actief?
• Werkt u met persoonlijke accounts in plaats van gedeelde accounts?
• Is duidelijk wie verantwoordelijk is voor het aanpassen en controleren van rechten?
• Worden toegangsrechten regelmatig gecontroleerd?

Als u op meerdere vragen het antwoord niet direct weet, betekent dat niet dat uw werkplek onveilig is. Het is wel een signaal dat toegangsbeheer waarschijnlijk afhankelijk is van handwerk, losse afspraken of individuele kennis. En juist daar zit een kans om het slimmer te organiseren.

Goed personeelsbeheer en goed werkplekbeheer kunnen eigenlijk niet meer los van elkaar worden gezien. Elke nieuwe medewerker, functiewijziging en uitdiensttreding heeft gevolgen voor de digitale omgeving.

Door dat proces vooraf goed in te richten, houdt u niet alleen beter zicht op wie toegang heeft tot uw informatie. U voorkomt ook onnodig werk, verkleint de kans op fouten en zorgt ervoor dat medewerkers sneller en veiliger kunnen werken.

Voor een groeiend mkb-bedrijf is dat steeds belangrijker. Niet alleen omdat er meer medewerkers en systemen bijkomen, maar ook omdat de verantwoordelijkheid voor digitale veiligheid steeds groter wordt. De vraag is daarom niet alleen: ‘Wie heeft er toegang?’ De belangrijkere vraag is: ‘Hebben we dit zo ingericht dat we dat morgen nog steeds weten?’

Wilt u weten of uw organisatie grip heeft op toegangsbeheer? Met een vrijblijvende werkplekscan brengen we in kaart hoe uw werkplek vandaag is ingericht en waar u eenvoudig meer grip, veiligheid en structuur kunt creëren.