Een verwijderde medewerker heeft nog browsersessies

Een sessie is het bewijs dat een browser na het inloggen meekrijgt, meestal in een cookie of token. Of dat bewijs stopt te werken wanneer je het account verwijdert, bepaalt de dienst zelf. Voor websites die je zelf laat bouwen raadt de MDN-beveiligingsgids onder meer aan de levensduur van cookies voor ingelogde gebruikers zo kort mogelijk te houden en de attributen Secure, HttpOnly en SameSite te gebruiken. Zo'n instelling beperkt het probleem, maar bewijst niet dat een sessie na verwijdering direct ongeldig is.

Voor diensten van derden geldt: lees de documentatie van de dienst over het beëindigen van sessies en test het gedrag zelf. Welke knop of instelling daarvoor bestaat, kan verschillen per dienst en per abonnement. De beheerder controleert dat in het eigen beheerscherm en niet op basis van gokwerk.

Een verwijderd account is maar één deur. Loop de lijst hieronder per systeem af en noteer wie eigenaar is en wat je gecontroleerd hebt.

• Het hoofdaccount zelf: uitgeschakeld, verwijderd of overgedragen.
• Actieve sessies op laptops, telefoons en privéapparaten.
• Gekoppelde apps en tokens die namens de persoon toegang hebben.
• Gedelegeerde toegang tot mailbox, agenda of gedeelde mappen.
• Doorstuurregels van mail naar een privéadres.
• Herstelgegevens zoals een telefoonnummer of reserveadres.
• Gedeelde wachtwoorden en API-sleutels die de persoon kende.
• Beheerrechten op sociale kanalen, advertentieaccounts en domeinbeheer.

De laatste twee punten vallen vaak buiten het gewone gebruikersbeheer. Trek toegang die je al als ongewenst kent meteen in, ook als de inventaris nog niet volledig is.

Test nooit met het echte account van de vertrekkende persoon. Gebruik een testaccount met dezelfde rol in dezelfde tool.

1. Log met het testaccount in op twee browsers of apparaten en laat beide open.
2. Voer in beide een handeling uit die de server moet goedkeuren, zoals een pagina met gegevens openen of een kleine wijziging opslaan.
3. Verwijder of schakel het testaccount uit, zoals je dat bij een echte medewerker zou doen.
4. Herlaad in beide browsers en probeer opnieuw dezelfde handelingen. Noteer per browser of de handeling slaagt, mislukt of om opnieuw inloggen vraagt.
5. Herhaal de test met een aparte actie voor sessieintrekking, als de tool die biedt, om het verschil met accountverwijdering te zien.
6. Noteer wat je zag, wanneer je het zag en welke versie of abonnement je gebruikte.

Slaagt een handeling nog, dan is het account op die plek niet beveiligd door verwijderen alleen. Je procedure moet dan de aparte actie bevatten. Dit resultaat geldt alleen voor die tool en die configuratie, niet voor alle diensten.

Delegatie betekent dat een andere identiteit namens een account kan handelen. Dat kan blijven bestaan terwijl het oorspronkelijke account is weggehaald, of omgekeerd: de rechten verdwijnen met het account en de gedeelde mailbox is plots onbereikbaar. Controleer daarom per gedeelde bron wie de toegang bezit en wie de nieuwe eigenaar wordt.

Let ook op herstelgegevens. De Google-hulppagina over tweestapsverificatie beschrijft onder meer dat een nieuw telefoonnummer tot 7 dagen nodig kan hebben om vertrouwd te worden en dat een toegangssleutel de tweede stap overslaat omdat die op het apparaat zelf bestaat. Voor een account via werk of school kan de beheerder instellingen anders beheren. Een toegangssleutel op een privétoestel of een privételefoonnummer als tweede stap kan betekenen dat een vertrekkende persoon nog een weg heeft; controleer dat per account, want de bron zegt dit niet rechtstreeks. Zet zakelijke toegang dus niet op privégegevens, en verwijder of vervang herstelgegevens op accounts die je beheert.

Voer na elke ingreep dezelfde test opnieuw uit met het testaccount en noteer het resultaat in je offboardingdocument. Raadpleeg voor arbeids- of privacyvragen een juridisch adviseur, want deze gids geeft daar geen advies over.

Fictieve invoer: een medewerker beheert een gedeelde mailbox voor offertes, een advertentieaccount en de sociale kanalen. Het account staat in een e-mailtool, een CRM en een boekhoudpakket. De persoon gebruikte een privételefoon als tweede stap in de e-mailtool.

Verwachte controles voor de collega:

• Open de gedeelde mailbox met een ander account en kijk of de rechten nog kloppen.
• Test in elke tool met een testaccount of een open sessie na verwijdering nog werkt.
• Controleer in het advertentieaccount en bij de sociale kanalen wie nog beheerder is.
• Kijk in de e-mailtool naar herstelgegevens en doorstuurregels.
• Noteer per systeem de uitkomst en wie het opvolgt.

Ontbreekt een test of is het resultaat onduidelijk, dan staat die tool op open tot er antwoord is.

Wil je weten welke publieke signalen je website uitstuurt rond beveiliging en vertrouwen, bekijk je eigen site dan via Marketing Scan. De scan meet alleen zichtbare signalen en voert de interne controles hierboven niet uit.