Offboarding: toegangen regelen als iemand vertrekt

De cijfers rond cyberincidenten wijzen zelden naar geniale hackers. Verzekeraar Vanbreda stelde vast dat 9 op de 10 schadegevallen bij Belgische bedrijven te wijten zijn aan een menselijke fout. Vergeten toegangen zijn precies zo'n fout: geen inbraak, gewoon een deur die nooit op slot ging.

Het risico is dubbel. Er is het actieve scenario: een ontevreden ex-medewerker die nog kan inloggen en klantgegevens meeneemt of schade aanricht. En er is het passieve, veel vaker voorkomende scenario: het oude account met een zwak wachtwoord dat maanden later gekraakt wordt, terwijl niemand nog naar dat account omkijkt. Met 45,8% van de Vlaamse ondernemingen die in 2024 een cyberaanval te verwerken kreeg, wil je die stille achterdeuren gewoon niet hebben.

De oplossing kost geen geld, alleen discipline: een lijst en een vast moment om ze af te werken.

Je kunt geen toegangen intrekken die je niet kent. Maak dus vandaag, los van elk vertrek, één document met alle systemen en wie er toegang toe heeft:

• E-mail en agenda: alle mailboxen en aliassen, ook info@ en gedeelde adressen.
• Domein en hosting: wie kan inloggen bij de registrar (waar je domeinnaam beheerd wordt) en bij de hostingprovider?
• Website: beheerderslogins van je cms, webshopplatform en eventuele plug-ins.
• Sociale media en advertenties: beheerders van je Facebook-pagina, Instagram, LinkedIn en advertentieaccounts.
• Boekhouding, bank en betalingen: boekhoudsoftware, bankvolmachten, betaalterminals, facturatietools.
• Alle abonnementen: nieuwsbriefsoftware, plandsystemen, opslag in de cloud, wachtwoordmanager.

Bewaar die lijst op een plek die minstens twee personen kennen. Dit ene document maakt elke offboarding daarna een kwestie van afvinken in plaats van reconstrueren.

Op of vlak voor de laatste werkdag werk je de lijst af. De volgorde doet ertoe:

1. Blokkeer of reset de persoonlijke logins van de vertrekkende medewerker op alle systemen uit je inventaris, te beginnen met e-mail.
2. Verander gedeelde wachtwoorden. Alles waar met één gezamenlijk wachtwoord werd ingelogd (sociale media zijn de klassieker) krijgt een nieuw wachtwoord. Gebruik dit moment om over te stappen op persoonlijke accounts of een wachtwoordmanager.
3. Stel de mailbox netjes in: een automatisch antwoord met de nieuwe contactpersoon en interne doorsturing naar een collega. Verwijder de mailbox pas na enkele maanden, anders bounce je klantenmails het niemandsland in.
4. Trek bank- en betaalrechten in: volmachten, bankkaarten, kredietkaarten gekoppeld aan abonnementen.
5. Haal het toestelpark op: laptop, gsm, badges en sleutels, en wis of reset zakelijke gegevens op privétoestellen als die gebruikt werden.
6. Controleer doorstuurregeltjes. Kijk in de mailbox of er geen automatische doorsturing naar een extern adres actief is. Dat is een klassieke stille lek.

Het pijnlijkste offboarding-probleem ontdek je vaak pas jaren later: de domeinnaam of hosting staat geregistreerd op naam van iemand die er niet meer werkt, of erger, op diens privé-e-mailadres. Zolang alles draait, merk je niets. Tot het domein moet verlengd worden en de vernieuwingsmail naar een mailbox gaat die niemand nog leest.

Dat is geen detail. Je domein is de sleutel tot je website en je e-mail, en het is al schaars beschermd: van 5,5 miljoen gescande domeinen blokkeert amper 12,8% effectief vervalste mails uit eigen naam. Een domein dat administratief zoek is, kun je bovendien niet eens correct laten beveiligen.

Controleer daarom bij elke offboarding, en minstens één keer per jaar: staat het domein op naam van de vennootschap, met een e-mailadres dat de zaak beheert als contactadres? Idem voor de hosting en het cms. Wie dit nu leest en twijfelt: zoek het vandaag op, niet bij het volgende vertrek.

Meestal vertrekken mensen in goede verstandhouding, en dan is offboarding gewoon nette administratie. Maar bij een ontslag met conflict draai je de volgorde om: eerst de toegangen, dan het gesprek. Blokkeer e-mail, systemen en bankrechten op het moment van het ontslaggesprek zelf, niet de dag erna.

Een toegangenlijst maak je niet omdat je je mensen wantrouwt, maar zodat je ze nooit hoeft te wantrouwen.

Dat klinkt hard, maar het beschermt beide partijen: ook de vertrekkende medewerker is beter af als er achteraf geen discussie kan ontstaan over wie wat nog kon inzien. Documenteer wat je wanneer geblokkeerd hebt. En bedenk: fraudeurs spelen gretig in op vertrouwde namen en interne gewoontes. 78% van de bedrijven kreeg het voorbije jaar met fraude te maken; een ex-account dat blijft rondslingeren is voor zo'n scenario het perfecte vertrekpunt.

Offboarding is een onderdeel van een breder verhaal: weten wat je online bezit, wie erbij kan en hoe betrouwbaar het geheel oogt voor klanten. De gratis marketing scan geeft je in enkele minuten een extern beeld van je website en online aanwezigheid: een goed startpunt om de losse eindjes van je digitale huishouden op te sporen.