Een nieuwe medewerker veilig laten beginnen

Het veiligste vertrekpunt is een lijst van wat de medewerker de eerste maand moet kunnen doen. Schrijf zo concreet mogelijk: 'klantvragen beantwoorden in de gedeelde mailbox', 'berichten inplannen voor de socialemediakanalen', 'bestellingen verwerken in het webshopbeheer'. Pas daarna koppel je er tools aan.

Maak daarbij onderscheid tussen de primaire werktaak (waarvoor de persoon is aangenomen) en bijkomende taken (die later nodig kunnen zijn). Enkel de primaire werktaak bepaalt de rechten op dag één. Alles wat 'misschien handig is' schuif je door naar een later moment, met een expliciete beslissing van de verantwoordelijke.

Noteer per taak ook wie ze nu uitvoert. Die persoon is straks je eerste aanspreekpunt bij vragen en de controleur van de test in de sectie 'Test de primaire werktaak echt uit'.

Geef elke medewerker een persoonlijk account, ook als dat meer werk lijkt dan een gedeeld wachtwoord. Met een gedeeld login weet je niet wie iets heeft gewijzigd, en bij vertrek moet je het wachtwoord overal aanpassen. Met een eigen account trek je één toegang in zonder de rest te verstoren.

Een nuttige stelregel: als een tool geen aparte gebruikers toelaat, controleer dan of er een variant met aparte gebruikers bestaat. Is die er niet, leg dan vast wie het login beheert, wie het gebruikt en wanneer het wachtwoord wordt gewijzigd, zeker bij elk vertrek.

Gebruik voor de medewerker bij voorkeur een zakelijk e-mailadres dat jij beheert, geen privéadres. Zo blijft het account herstelbaar en eindigt de toegang wanneer het contract eindigt.

Geef standaard de laagste rol die de primaire werktaak toelaat en verhoog enkel na een gemotiveerd verzoek. Controleer in het beheerscherm van elke tool welke rollen bestaan; de exacte namen verschillen per product en kunnen wijzigen, dus verzin ze niet vooraf maar lees ze ter plaatse na.

Zet tweestapsverificatie aan. Volgens de Google-hulppagina Tweestapsverificatie aanzetten voegt dit een extra beveiligingslaag toe voor het geval een wachtwoord wordt gestolen. Dezelfde pagina meldt dat die stappen mogelijk niet werken voor een account via werk, school of een andere groep. Dan loopt het via de beheerder van het account. Controleer dus eerst of jouw omgeving instellingen op beheerniveau heeft.

De pagina noemt ook toegangssleutels, die niet kunnen worden opgeschreven of per ongeluk aan kwaadwillenden worden gegeven. Over goede authenticatie zegt MDN in Web security dat wachtwoorden alleen niet volstaan: volgens MDN zijn toegangssleutels de veiligste methode en zijn tijdelijke eenmalige codes (TOTP) veiliger dan klassieke wachtwoorden als toegangssleutels geen optie zijn. Die richtlijn is opgesteld voor webontwikkelaars, dus gebruik ze als houvast voor je keuze en niet als volledig kmo-beleid.

Loop dit blad per tool af voor de medewerker aan de slag gaat. Een 'nee' is een stop of een bewuste uitzondering.

Bewaar het ingevulde blad op een plek met beperkte toegang, zonder wachtwoorden of herstelcodes erin. Het is je overdrachtsdocument en later je uitgangspunt voor een periodieke controle.

Rechten op papier zeggen weinig tot iemand ze gebruikt. Laat de medewerker op dag één, met jou erbij, de primaire werktaak van begin tot einde uitvoeren, inclusief inloggen op een schoon apparaat. Gebruik daarbij de methode die je werkelijk instelt: bij een wachtwoord de tweede verificatiestap, bij een toegangssleutel wordt die tweede stap volgens de Google-hulppagina overgeslagen.

Noteer drie dingen: wat lukte zonder hulp, waar de persoon vastliep (vaak een ontbrekende rol) en of er iets lukte dat niet de bedoeling was. Dat laatste wijst op te ruime rechten. Pas aan en herhaal het onderdeel dat faalde.

Voorbeeld, fictief en enkel als invoer bedoeld: een kmo laat een nieuwe collega orders verwerken. Invoer: eigen zakelijk account, rol 'orders verwerken' zonder toegang tot betalingsinstellingen, tweestapsverificatie aan. Verwachte controles: kan de collega een testorder openen en afwerken, ziet de collega de betalingsinstellingen niet, lukt inloggen via de tweede stap op het eigen apparaat, en kan de beheerder de toegang intrekken (controleer in de tool hoe dat gaat en of daarna niets blijft openstaan). Zo toets je het resultaat zonder aannames over snelheid of uitkomst.

Plan na de eerste week een korte herziening: welke rechten bleken te krap of te ruim, en zijn er nieuwe taken bijgekomen? Herhaal de controle bij elke functiewijziging en bij vertrek. Houd bij vertrek een vaste volgorde aan: eerst toegang intrekken, dan overdracht van lopende taken, dan pas het account opruimen.

Let op de grenzen van dit artikel. De genoemde bronnen beschrijven Google-accountbeveiliging en algemene websitebeveiliging; ze zijn geen HR- of juridisch advies en beloven geen bescherming. Exacte instellingen, rechten en schermnamen wijzigen, dus verifieer ze in de beheeromgeving van elke tool.

Wil je ook zien welke publieke signalen je website uitstraalt, bijvoorbeeld rond vertrouwen en bereikbaarheid? Bekijk ze via Marketing Scan. De scan leest zichtbare signalen en voert niet alle controles uit die hierboven staan.