Wat houdt deze control in?
Medewerkers en externe partijen moeten bij beëindiging van het dienstverband alle bedrijfsmiddelen teruggeven, inclusief apparatuur, toegangspassen en documenten.
Waarom is dit verplicht?
Niet-teruggegeven bedrijfsmiddelen vormen een risico voor datalekken en ongeautoriseerde toegang na vertrek.
Praktische implementatie
- Stel een offboarding-checklist op voor alle terug te geven middelen
- Controleer teruggave voor de laatste werkdag
- Documenteer teruggave en bewaar dit in het personeelsdossier
- Verwijder data van teruggegeven apparaten voor heruitgifte
Aandachtspunten voor de overheid
Neem ook digitale bedrijfsmiddelen mee: tokens, certificaten en toegangscodes.
Relatie met andere controls
Gerelateerd aan 6.5 (beëindiging) en 5.18 (toegangsrechten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Bij beëindiging van het dienstverband of contract geven medewerkers en externe partijen alle bedrijfsmiddelen terug — apparatuur, toegangspassen, documenten én digitale middelen zoals tokens, certificaten en toegangscodes. Niet-teruggegeven middelen vormen een risico voor datalekken en ongeautoriseerde toegang na vertrek. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend.
Passende maatregelen
4 basismaatregelen.
- ›Stel een offboarding-checklist op met alle terug te geven middelen, inclusief digitale middelen (tokens, certificaten, toegangscodes).
- ›Controleer de teruggave vóór de laatste werkdag.
- ›Documenteer de teruggave en bewaar dit in het personeels- of leveranciersdossier.
- ›Verwijder data van teruggegeven apparaten voordat ze opnieuw worden uitgegeven.
Bewijs dat je kunt verzamelen
- ›De offboarding-checklist met fysieke én digitale middelen
- ›Vastgelegde teruggavebewijzen in de dossiers
- ›Registratie van data-verwijdering bij heruitgifte van apparaten
- ›Overzicht van ingetrokken tokens/certificaten/toegangscodes
Wat je bij een audit moet kunnen aantonen
- ›Dat bedrijfsmiddelen bij vertrek aantoonbaar worden teruggegeven
- ›Dat ook digitale middelen (tokens, certificaten) worden ingetrokken
- ›Dat teruggave wordt gedocumenteerd
- ›Dat data van teruggegeven apparaten wordt verwijderd vóór heruitgifte
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een teruggaveprocedure/checklist vastgesteld (incl. digitale middelen)?
- ›Is bepaald wie de teruggave controleert en vastlegt?
- ›Is data-verwijdering bij heruitgifte belegd?
- ›Wordt de checklist bij recente uitdiensttredingen gebruikt?
- ›Zijn middelen daadwerkelijk teruggegeven en vastgelegd?
- ›Zijn digitale middelen ingetrokken?
- ›Gebeurt teruggave consistent bij elk vertrek?
- ›Wordt data van apparaten verwijderd vóór heruitgifte?
- ›Wordt periodiek gecontroleerd op openstaande middelen?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.