Wat houdt deze control in?
In ISO 27002:2022 heet deze control officieel Verantwoordelijkheden bij beëindiging of verandering van dienstverband; de control geldt dus niet alleen bij vertrek, maar ook bij een interne functiewijziging. Bij vertrek of functiewijziging moeten beveiligingsverantwoordelijkheden worden overgedragen en toegangen worden ingetrokken.
Waarom is dit verplicht?
Niet-ingetrokken toegangen bij vertrokken medewerkers zijn een veelvoorkomend beveiligingsrisico.
Praktische implementatie
- Stel een offboarding-checklist op met alle in te trekken toegangen
- Automatiseer intrekken van accounts via HR-koppeling
- Trek bij interne functiewijziging de rechten van de oude functie actief in; ken niet alleen nieuwe rechten toe, anders ontstaat stapeling van toegangsrechten
- Retourneer bedrijfsmiddelen voor de laatste werkdag
- Herinner aan geheimhoudingsplicht die na dienstverband doorloopt
Aandachtspunten voor de overheid
Bij inhuur via detachering moeten offboarding-afspraken contractueel zijn vastgelegd.
Relatie met andere controls
Gerelateerd aan 5.11 (teruggave) en 5.18 (toegangsrechten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Bij vertrek of functiewijziging draag je beveiligingsverantwoordelijkheden over en trek je toegangen in. Niet-ingetrokken toegangen bij vertrokken medewerkers zijn een veelvoorkomend beveiligingsrisico: een 'vergeten' account is een open deur. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Let bij inhuur via detachering op contractuele offboarding-afspraken.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een offboarding-checklist op met alle in te trekken toegangen en te retourneren bedrijfsmiddelen.
- ›Retourneer bedrijfsmiddelen vóór de laatste werkdag en trek toegangen tijdig in.
- ›Herinner de vertrekkende medewerker aan de geheimhoudingsplicht die na het dienstverband doorloopt.
- ›Leg bij inhuur via detachering de offboarding-afspraken contractueel vast.
- ›Automatiseer het intrekken van accounts via een koppeling met het HR-systeem, zodat vertrek direct leidt tot deactivatie.verdieping
Bewijs dat je kunt verzamelen
- ›De offboarding-checklist en ingevulde exemplaren van recente uitdiensttredingen
- ›Registratie van ingetrokken toegangen en geretourneerde bedrijfsmiddelen
- ›Contractuele offboarding-afspraken bij detachering
- ›Logging/bewijs van (geautomatiseerde) accountdeactivatie
Wat je bij een audit moet kunnen aantonen
- ›Dat bij vertrek toegangen aantoonbaar en tijdig worden ingetrokken
- ›Dat bedrijfsmiddelen worden geretourneerd
- ›Dat de doorlopende geheimhoudingsplicht wordt gecommuniceerd
- ›Dat offboarding ook voor ingehuurd/gedetacheerd personeel is geborgd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een offboarding-procedure/checklist vastgesteld?
- ›Is bepaald welke toegangen en middelen bij vertrek moeten worden ingetrokken/geretourneerd?
- ›Zijn afspraken voor gedetacheerd personeel vastgelegd?
- ›Wordt de checklist bij recente uitdiensttredingen daadwerkelijk gebruikt?
- ›Zijn toegangen van vertrokken medewerkers daadwerkelijk ingetrokken?
- ›Zijn middelen geretourneerd?
- ›Worden toegangen consistent en tijdig ingetrokken bij elk vertrek?
- ›Werkt de HR-koppeling (indien aanwezig) betrouwbaar?
- ›Wordt periodiek gecontroleerd op actieve accounts van vertrokken medewerkers?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.