Een account uitschakelen in de adreslijst (Entra ID / Active Directory) blokkeert de aanmelding, maar niet noodzakelijk de machtigingen, de regels voor doorsturen, de OAuth-toepassingen of het lidmaatschap van Teams-kanalen die deze medewerker had opgebouwd. Offboarding Express controleert nauwkeurig wat nog actief blijft, buiten de adreslijst om.
Een uitgeschakeld account is niet hetzelfde als een medewerker die volledig van uw systemen is afgesloten
De aanmelding in de adreslijst blokkeren stopt de directe toegang, maar de machtigingen die hij had op gedeelde postvakken of de regels voor doorsturen die hij had ingesteld, kunnen los van het account actief blijven.
Een medewerker kan toepassingen van derden (agenda, CRM, browserextensies) hebben toegestaan die toegang tot de gegevens van het bedrijf houden, los van zijn gebruikersaccount.
Het lidmaatschap van teams, kanalen en de bijbehorende gedeelde bestanden blijft vaak lang na de laatste werkdag bestaan, zonder dat een waarschuwing dit meldt.
Zonder systematische controle bij elk vertrek stapelen deze resterende toegangen zich in de loop der jaren op en worden ze vergeten toegangspunten, onzichtbaar vanuit de adreslijst.
Een controlemotor met meerdere sporen, dezelfde als die van de SYAGA M365-audit, toegepast op het vertrek van een medewerker
Naam van de vertrokken medewerker (of van wie op het punt staat te vertrekken) en de geplande einddatum van de toegang. Aan de kant van de klant is geen installatie vereist.
Onze motor bevraagt de sporen Microsoft Graph, Exchange Online, Teams en Purview om machtigingen op gedeelde postvakken, regels voor automatisch doorsturen, OAuth-toestemmingen en lidmaatschappen van Teams-kanalen terug te vinden.
Gevoelige identificatiegegevens worden gepseudonimiseerd vóór elke analyse. Er worden geen ruwe gegevens gekopieerd of bewaard op onze servers: alleen de meting wordt doorgestuurd.
U ontvangt een rapport met elk gecontroleerd gebied en de status ervan (afgesloten / actief / te controleren), samen met de aanbevelingen om definitief te sluiten wat nog openstaat.
Een concreet rapport over de werkelijke toestand van de toegang van een account, voorbij de status die in de adreslijst wordt getoond
Gedetailleerde status (afgesloten / actief / te controleren) voor elk van de gecontroleerde gebieden van het betreffende account.
Technisch spoor van de uitgevoerde controle, nuttig bij een interne controle of een incident rond een oud account.
Geprioriteerde lijst van acties aan de kant van de klant om de als actief aangemerkte toegangen definitief af te sluiten.
Het beheer van de toegang bij het vertrek van een medewerker staat in de gangbare beveiligingskaders
Passende technische en organisatorische maatregelen om de beveiliging van persoonsgegevens te waarborgen. Het daadwerkelijk intrekken van de toegang van een vertrokken medewerker draagt rechtstreeks bij aan deze beveiligingsplicht.
De gidsen voor IT-hygiëne van de ANSSI bevelen een strikt beheer van accounts en toegangsrechten aan, inclusief de volledige intrekking ervan bij het vertrek van medewerkers.
Het beheer van toegangsrechten gedurende de hele levenscyclus van een medewerker, inclusief de intrekking ervan bij het einde van het contract, behoort tot de organisatorische beheersmaatregelen die de norm dekt.
Een systematische beoordeling van resterende toegangen bij het vertrek van een medewerker past in een algemene aanpak van cyberrisicobeheer, zonder op zichzelf een specifieke wettelijke verplichting te vormen.
In alle gevallen een offerte op maat - geen enkele hier getoonde prijs staat vooraf vast
Een enkel vertrek, op aanvraag
Frequente vertrekken, ingebed in uw HR-/IT-proces
Meerdere tenants, dochterondernemingen, grote volumes
Twee Franse autoriteiten hebben dit onderwerp onder hun hoede: de ANSSI voor de informatiebeveiliging, de CNIL voor de gegevensbescherming. Dit is wat zij werkelijk zeggen, zonder overdrijving.
Het is geen wet die een termijn in cijfers vastlegt (er bestaat geen verplichting van het type "48 uur om de toegang af te sluiten"). Het is een resultaatsverplichting, gedragen door twee officiële kaders: het vertrek of de functiewijziging van een medewerker moet leiden tot het intrekken van zijn toegang, zonder ongerechtvaardigd uitstel. Een belangrijke nuance om in gedachten te houden, om een aanbevolen goede praktijk niet te verwarren met een wettelijke verplichting.
De gids voor IT-hygiëne van de ANSSI (Agence nationale de la sécurité des systèmes d'information) wijdt een volledige maatregel aan dit onderwerp, zonder onderscheid naar bedrijfsomvang:
Er bestaat zelfs een gratis begeleidingsprogramma ("Aidant cyber") speciaal voor organisaties zonder eigen IT-afdeling, dat wil zeggen de meerderheid van de zeer kleine en kleine en middelgrote ondernemingen.
De CNIL (Commission nationale de l'informatique et des libertés) koppelt ditzelfde onderwerp aan de gegevensbescherming, in haar fiche over het beheer van autorisaties:
Deze fiche richt zich tot elke organisatie die persoonsgegevens verwerkt: in de praktijk elk bedrijf met werknemers, klanten of prospects in zijn IT-hulpmiddelen.
Maatregel nr. 6 van de gids somt op wat een vertrekprocedure minimaal moet dekken (exacte tekst):
De ANSSI beveelt een actuele inventaris aan van accounts met uitgebreide rechten (beheerder, toegang tot de mappen van anderen), omdat dit de geliefde doelwitten van aanvallers zijn:
Concreet: het beheerdersaccount van de website, van de zakelijke e-mail of van de online boekhoudsoftware verdient bij elk vertrek een systematische controle, zelfs in een kleine organisatie.
Noch de ANSSI noch de CNIL stelt een termijn in cijfers vast (geen wettelijke "48 uur" of "7 dagen"). Beide teksten gebruiken een resultaatsverplichting: de rechten moeten worden ingetrokken "bij het vertrek" (ANSSI) of "zodra" de persoon niet meer bevoegd is, en uiterlijk "bij het einde van zijn contract" (CNIL). Het is een aanbeveling voor beveiliging en gegevensbescherming van twee officiële autoriteiten, geen wetsartikel met een nauwkeurig na te leven getal. De CNIL noemt overigens als te vermijden fout: "vergeten de gebruikersaccounts te verwijderen van personen die de organisatie hebben verlaten of van functie zijn veranderd."
Naast het algemene principe volgen hier de precieze verwachte acties, wie ze valideert en in welk tempo, zoals beschreven in de officiële teksten.
De ANSSI beveelt aan een formele vertrekprocedure vast te leggen, in samenwerking met human resources, die minimaal het volgende dekt:
De CNIL koppelt het intrekken van toegang aan haar fiche over het beheer van autorisaties, waarin staat dat elke toekenning van een recht door een verantwoordelijke moet zijn gevalideerd:
In een kleine organisatie zonder eigen IT-afdeling komt deze rol in de praktijk toe aan de bedrijfsleider of aan de persoon die de toegang tot de digitale hulpmiddelen van het bedrijf beheert.
Dit is het enige cijfermatige ritme dat in de geraadpleegde officiële teksten is aangetroffen: de CNIL beveelt een periodieke beoordeling van de autorisaties aan, met een nauwkeurig vastgelegde minimumfrequentie:
Deze beoordeling maakt het met name mogelijk om na het vertrek van een medewerker de vergeten toegangen op te sporen, die tijdens de vertrekprocedure door de mazen van het net zijn geglipt.
De AVG verplicht de verwerkingsverantwoordelijke om "alle nuttige voorzorgen" te nemen om de beveiliging van gegevens te waarborgen (artikel 32). Het is een reële wettelijke verplichting, maar geformuleerd in termen van passende maatregelen: ze geeft op zichzelf niet aan wat te doen bij het vertrek van een medewerker. De hierboven genoemde aanbevelingen van de ANSSI en de CNIL geven daarvoor de concrete gebruiksaanwijzing.
Geen enkele tekst legt een termijn in uren op om de toegang van een vertrokken medewerker af te sluiten: noch een wettelijke "48 uur", noch "24 uur". Er bestaan wel twee nauwkeurige, onderbouwde eisen: de toegang intrekken "bij het vertrek", zonder te wachten (ANSSI), en alle autorisaties minstens één keer per jaar herzien (CNIL) om bij te werken wat vergeten zou zijn. Deze dubbele controle, onmiddellijk na elk vertrek en in de tijd verifieerbaar, biedt Offboarding Express.
Eenvoudige antwoorden, elk gesteund op een controleerbare officiële bron (ANSSI, CNIL)
Over dit onderwerp bestaat geen enkel wetsartikel dat alles opsomt. Het zijn twee Franse autoriteiten, de ANSSI voor de informatiebeveiliging en de CNIL voor de gegevensbescherming, die officiële aanbevelingen publiceren. Dit is wat zij werkelijk zeggen, zonder overdrijving.
Neem contact met ons op voor een offerte op maat.