Een noodcontactlijst bruikbaar houden bij accountuitval

Een noodcontactlijst is geen adresboek maar een herstelinstrument. Ze moet drie vragen beantwoorden zonder dat iemand hoeft te gokken: wie mag een account herstellen, hoe is die persoon bereikbaar als e-mail en telefoon van het bedrijf onbruikbaar zijn, en welke gegevens heeft die persoon nodig om te kunnen handelen.

Het grootste risico is een circulaire afhankelijkheid. Staat de lijst in een document dat je alleen opent via het geblokkeerde account, dan helpt ze je niet. Hetzelfde geldt voor een herstelmailadres dat zelf op het bedrijfsdomein draait, of voor een tweede stap die uitsluitend op één telefoon staat.

Bewaar daarom per account minstens één gegeven dat buiten dat account bereikbaar is, en noteer wie de eigenaar is van dat gegeven. Een nummer van een medewerker die vertrekt, is op termijn geen noodcontact meer.

Houd de lijst compact, zodat ze ook onder stress leesbaar blijft. Per kritiek account (bijvoorbeeld e-mail, domeinbeheer, advertentieaccount, boekhouding) noteer je:

• de accountnaam en waar het account draait;
• de primaire en secundaire beheerder met een kanaal dat los staat van dat account;
• welke tweede stap is ingesteld en welke alternatieve methode beschikbaar is;
• waar herstelmogelijkheden zijn vastgelegd, zonder de inhoud ervan;
• de datum van de laatste controle en wie die uitvoerde.

Laat wachtwoorden, herstelcodes en privésleutels bewust weg uit het document zelf. Verwijs naar de plek waar ze veilig worden bewaard, bijvoorbeeld een beheerde wachtwoordkluis, en leg vast wie toegang heeft. Een lijst met geheimen in platte tekst is zelf een aanvalsdoel.

Let op de toepassingsgrens: wat je kunt instellen, hangt af van het type account. Volgens de Google-uitleg over tweestapsverificatie (https://support.google.com/accounts/answer/185839) kunnen de stappen bij een account via werk, school of een andere groep anders werken, en kan de beheerder je verder helpen. Noteer dus per account of jij of een beheerder de instellingen beheert.

Een herstelpad is de reeks stappen waarmee je opnieuw toegang krijgt. Het is robuust als het niet van één apparaat of één persoon afhangt. Uit de Google-uitleg zijn enkele feiten bruikbaar voor je ontwerp.

Er zijn verschillende verificatiemethoden, en je kunt andere methoden instellen als je geen prompts kunt krijgen of je telefoon kwijt bent. Een nieuw telefoonnummer voor tweestapsverificatie wordt volgens de bron pas na verloop van tijd vertrouwd, tot 7 dagen. Een nummer dat je pas tijdens een noodgeval toevoegt, is dus mogelijk niet meteen bruikbaar. Voeg alternatieve methoden dus vooraf toe.

Voor het veiligheidsniveau noemt de MDN-pagina over webbeveiliging (https://developer.mozilla.org/en-US/docs/Web/Security) dat websites die gebruikers laten inloggen niet alleen op wachtwoorden moeten vertrouwen en dat toegangssleutels daar als veiligste methode worden genoemd. Dat is een algemeen uitgangspunt voor webontwikkelaars, geen instructie voor jouw Google-account. Voor jouw situatie vertaal je het zo: kies een sterkere methode, maar zorg dat er een tweede, onafhankelijke manier bestaat om in te loggen als het eerste apparaat zoekraakt.

Of een bepaalde instelling in jouw account beschikbaar is, controleer je zelf in de accountinstellingen of bij je beheerder, want schermen en opties kunnen wijzigen.

Leg vooraf vast welke persoon optreedt bij welk scenario, zodat niemand tijd verliest met vragen. Gebruik onderstaande matrix als vertrekpunt en pas ze aan je eigen setup aan.

De regel erachter: elke rij heeft minstens twee mensen en minstens twee kanalen. Staat er in een cel maar één naam, dan is dat een zwakke plek die je moet aanvullen.

Een fictief kantoor met zes medewerkers laat zijn marketingbeheerder vertrekken. Deze persoon is de enige met het herstelnummer van het advertentieaccount en de contactpersoon voor domeinbeheer. Dit is een voorbeeld van invoer en controles, zonder verwachte uitkomst.

Invoer: drie kritieke accounts, één vertrekkende beheerder, één secundaire beheerder die tot nu toe niets beheert.

1. Maak een overzicht van de accounts waar de vertrekkende persoon het enige contact of herstelmiddel is.
2. Laat de secundaire beheerder per account bevestigen dat die kan inloggen met een eigen methode, dus niet via het toestel of nummer van de vertrekker.
3. Vervang herstelnummers en herstelmailadressen die aan de vertrekker gekoppeld zijn.
4. Werk de lijst bij met nieuwe verantwoordelijken en een nieuwe controledatum.
5. Verwijder de toegang van de vertrekker na bevestigde overdracht per account. Is er twijfel over misbruik of een conflictueus vertrek, trek de toegang dan meteen in en los het herstel daarna op.

Verwachte technische controles: per account staat minstens één herstelgegeven dat niet aan de vertrekker hangt, en de secundaire beheerder kan aantoonbaar inloggen. Een geslaagde login bewijst nog niet dat het herstelpad zelf werkt; controleer ook de ingestelde herstelgegevens en alternatieve methoden. Hoe lang externe partijen over herstel doen, valt niet vooraf te beloven, dus plan overdrachten ruim voor de laatste werkdag.

Een lijst veroudert stil. Plan daarom een vaste controle, bijvoorbeeld per kwartaal en bij elke personeelswijziging. Een eenvoudige procedure:

1. Open de lijst vanaf een apparaat dat niet bij het bedrijfsaccount is ingelogd en controleer of je ze nog kunt lezen.
2. Bel of bericht elk noodcontact via het genoteerde kanaal en bevestig dat de gegevens kloppen.
3. Controleer in de accountinstellingen of de ingestelde verificatiemethoden en herstelgegevens nog overeenkomen met de lijst.
4. Noteer afwijkingen, wijs een eigenaar toe en leg een uiterste datum vast.
5. Herhaal de test na elke wijziging aan rollen, telefoonnummers of apparaten.

Test nooit een herstel op een live account op een moment dat je zakelijk afhankelijk bent van dat account. Beperk de controle tot het nakijken van gegevens en bereikbaarheid, tenzij je een ruim venster hebt.

Wil je daarnaast zien welke publieke signalen je website uitstraalt, bijvoorbeeld rond vertrouwen en bereikbaarheid, bekijk ze dan via Marketing Scan. Een publieke scan meet zichtbare signalen en kan je interne herstelpad of accountinstellingen niet beoordelen.