Een account blokkeren is maar één stap in een digitale offboarding. Wanneer een collega uit dienst gaat, kunnen er nog actieve sessies, gedeelde mappen, tokens, apparaten en accounts bij externe diensten bestaan. Begin daarom niet met de laptop, maar met de rechteninventaris. Zo zie je welke toegang moet stoppen, welk werk moet worden overgedragen en welke gegevens volgens beleid moeten blijven bestaan.
Maak de vertrekinformatie bruikbaar
Laat HR of de leidinggevende vóór de eindtijd de naam, laatste werkmoment, functie, vervanger en noodzakelijke overdracht vastleggen. Voeg een eigenaar toe die de checklist coördineert. De medewerker zelf kan nuttige context geven, maar de organisatie moet niet afhankelijk blijven van persoonlijke medewerking om toegang te beëindigen.
Maak vervolgens een overzicht van identiteiten: hoofdaccount, beheerdersrollen, gedeelde mailboxen, projectruimtes, cloudopslag, boekhouding, ontwikkelomgevingen, helpdesk, marketingtools en diensten die met hetzelfde e-mailadres zijn geregistreerd. Vergeet testaccounts en accounts die ooit voor een project zijn gemaakt niet. Het NCSC noemt in- en uitdiensttreding een vast onderdeel van identiteits- en toegangsbeheer; een vertrek is dus geen eenmalige improvisatie.
Werk in de juiste volgorde
Plan de acties rond het afgesproken eindmoment. Trek eerst toegang in tot systemen met hoge impact of gevoelige gegevens, maar voorkom dat je noodzakelijke overdracht onmogelijk maakt. Zet een account liever tijdelijk onder toezicht wanneer een leidinggevende nog documenten moet overnemen en beëindig daarna de resterende toegang. Maak onderscheid tussen blokkeren, verwijderen, eigenaarschap overdragen en gegevens bewaren.
- Bevestig de eindtijd en verantwoordelijke beslisser.
- Schakel het centrale account en sterke authenticatiemiddelen uit.
- Beëindig actieve sessies, VPN-toegang en mobiele synchronisatie.
- Trek persoonlijke tokens, API-sleutels en app-wachtwoorden in.
- Draag bestanden, agenda's, formulieren en eigenaarrollen over.
- Controleer apparaten, sleutels, simkaarten en fysieke toegang.
- Voer een tweede controle uit en leg bewijs en uitzonderingen vast.
Vergeet gedeelde en externe diensten niet
Controleer ook de stille koppelingen
Vraag naar eigenaarschap
De lastigste toegang staat soms niet in het centrale account. Denk aan een ontwerptool, nieuwsbriefdienst, cloudplatform, betaalomgeving, leverancierportaal of software waarvoor iemand zich ooit met een privé-mailadres heeft geregistreerd. Vraag niet alleen “waar werkte je mee?”, maar toon de lijst van leveranciers en systemen en laat de eigenaar per item bevestigen wie toegang heeft.
Controleer bij ieder item vier dingen: is er nog een actieve sessie, bestaat er een persoonlijke sleutel, is het eigenaarschap overgedragen en kan de dienst zelfstandig opnieuw toegang verlenen? Noteer de datum van controle. Een groen vinkje zonder eigenaar of bron is geen bewijs. Houd technische details beperkt tot de mensen die ze nodig hebben; een offboardingdocument mag zelf geen nieuwe gevoelige toegangslijst worden.
Bewaar wat moet blijven, verwijder wat weg kan
Geef uitzonderingen een einddatum
Niet ieder bestand van een vertrekkende medewerker mag direct verdwijnen. Contracten, financiële administratie, projectbesluiten en loggegevens kunnen onder beleid of wettelijke bewaartermijnen vallen. Leg daarom vast welke informatie wordt overgedragen, gearchiveerd of verwijderd en wie dat besluit neemt. Bewaar geen complete privé-inbox als gemakzuchtige oplossing wanneer gerichte overdracht volstaat.
Maak ook een lijst van uitzonderingen: een lopende overdracht, een wettelijke blokkade op verwijderen of een leverancier die pas later bevestigt dat een account is beëindigd. Geef iedere uitzondering een eigenaar en einddatum. Zonder datum verandert een tijdelijke maatregel snel in blijvende toegang.
Gebruik een tweede paar ogen
Controleer daarnaast of de checklist zelf niet meer rechten bevat dan nodig. Deel alleen de noodzakelijke vertrekinformatie met de mensen die de handeling uitvoeren en bewaar het resultaat op een plek met beperkte toegang. Zo blijft het proces proportioneel: je vermindert vergeten toegang zonder een nieuw, breed toegankelijk overzicht van medewerkers en systemen te maken.
Laat HR, de leidinggevende en IT elk hun eigen deel afronden. HR controleert de formele eindtijd en afspraken, de leidinggevende controleert overdracht en continuïteit, en IT controleert identiteit, apparaten, sessies en technische sleutels. Bij een kleine organisatie kan één persoon meerdere rollen hebben, maar noteer die rollen wel.
Plan na een week een korte nacontrole. Kijk of er nog facturen, inlogpogingen, terugkerende meldingen of accounts zonder eigenaar zijn. Verwijder niet automatisch alle logs; gebruik de vastgestelde bewaarbehoefte. De nacontrole is ook een kans om de rechtenmatrix aan te vullen en schaduw-IT zichtbaar te maken.
Maak er een herhaalbaar proces van
Leg na iedere afronding één leerpunt vast. Was een dienst niet bekend, duurde het beëindigen van een sessie langer dan gedacht of bleek een eigenaar onduidelijk? Verwerk dat punt in de volgende versie van de checklist. Zo groeit de procedure mee met de organisatie zonder dat zij een lang document wordt dat niemand opent. Plan ook een periodieke steekproef bij actieve accounts; daarmee ontdek je tussen vertrekken door al accounts zonder actuele eigenaar.
Gebruik voor de overdracht een vaste naamgeving en datum. Noteer niet alleen dat een map is overgedragen, maar ook aan welke rol, welke controle is uitgevoerd en welke openstaande actie bestaat. Dat maakt het later mogelijk om een beslissing te reconstrueren zonder oude privéberichten of persoonlijke mailboxen door te spitten.
Een goede checklist past bij het werkproces, maar vraagt niet om nog een extra tool. Gebruik één beheerde plek, vaste verantwoordelijken en een beperkte set statussen: gepland, overgedragen, ingetrokken, gecontroleerd en uitzondering. Link vanuit de procedure naar het artikel over een werkproces zonder toolmoeheid en naar de uitleg over betrouwbare zakelijke lijsten. Zo blijft de offboarding praktisch en controleerbaar.
De kerncontrole is eenvoudig: identiteit geblokkeerd, sessies beëindigd, sterke factoren ingetrokken, gedeelde toegang gecontroleerd, sleutels vervangen, eigenaarschap overgedragen, apparaten terug, bewaarbeleid toegepast en nacontrole gepland. Een organisatie die dit consequent uitvoert, verkleint niet alleen het risico van vergeten toegang. Zij maakt ook zichtbaar waar haar eigen beheer nog te veel van personen afhangt.
Bronnen en begrenzing
Deze checklist is gebaseerd op de informatie van het NCSC over in- en uitdiensttreding, de rechtenmatrix en het overzicht over schaduw-IT. Stem de concrete stappen af op contracten, arbeidsrecht, privacybeleid, bewaartermijnen en de technische mogelijkheden van de gebruikte diensten.