Externe toegangsrechten trek je in door onmiddellijk na beëindiging van de samenwerking alle accounts, VPN-toegangen en systemen van de externe partij te deactiveren of te verwijderen. Dit geldt voor leveranciers, aannemers, tijdelijke medewerkers en andere derden die ooit toegang kregen tot jouw IT-omgeving. In dit artikel beantwoorden we de meest gestelde vragen over hoe je dit proces gestructureerd en veilig aanpakt.
Wat zijn de risico’s van actieve externe toegangsrechten?
Actieve externe toegangsrechten die niet tijdig worden ingetrokken, vormen een van de grootste beveiligingsrisico’s binnen IT-omgevingen. Wanneer een leverancier, aannemer of tijdelijke medewerker de samenwerking beëindigt maar zijn toegang behoudt, ontstaat een zogenaamd “orphan account”: een actief account zonder legitieme eigenaar. Dit soort accounts zijn een geliefd doelwit voor aanvallers.
De concrete risico’s zijn aanzienlijk. Een voormalige externe medewerker met nog actieve inloggegevens kan bewust of onbewust toegang krijgen tot gevoelige systemen, klantdata of bedrijfskritische applicaties. Bovendien zijn externe accounts vaak voorzien van verhoogde rechten, zoals privileged access, omdat externe partijen doorgaans technische werkzaamheden uitvoeren. Dit maakt een eventuele inbreuk extra schadelijk.
Vanuit complianceperspectief zijn er ook verplichtingen. Regelgeving zoals de AVG en NIS2 vereist dat organisaties aantoonbaar grip hebben op wie toegang heeft tot welke systemen. Actieve toegangsrechten van vertrokken partijen kunnen leiden tot boetes, reputatieschade en verlies van klantvertrouwen. Goed IT-toegangsbeheer is daarmee niet alleen een technische maatregel, maar ook een juridische noodzaak.
Hoe snel moet je externe toegangsrechten intrekken na beëindiging?
Externe toegangsrechten moeten idealiter worden ingetrokken op het moment dat de samenwerking eindigt, bij voorkeur nog vóór de laatste werkdag of het laatste contactmoment. In de praktijk geldt als vuistregel: binnen 24 uur na beëindiging moeten alle toegangen zijn uitgeschakeld. Hoe sneller dit gebeurt, hoe kleiner het aanvalsoppervlak.
Bij hoog-risicopartijen, zoals leveranciers met toegang tot financiële systemen of persoonsgegevens, is directe intrekking op het moment van beëindiging de norm. Wacht niet tot het einde van de dag of de volgende werkdag. Elk uur dat een account onnodig actief blijft, vergroot het risico.
Een goede afspraak is om de einddatum van de samenwerking al bij aanvang vast te leggen en te koppelen aan een automatisch offboarding-proces. Zo hoeft niemand handmatig te onthouden wanneer toegang moet worden ingetrokken, en voorkom je menselijke fouten in het offboarding-IT-proces.
Welke systemen en accounts moeten worden afgesloten bij extern offboarding?
Bij het offboarden van een externe partij moeten alle systemen en accounts worden afgesloten waartoe die partij ooit toegang heeft gekregen. Dit omvat meer dan alleen het e-mailaccount of de VPN-verbinding. Een volledige checklist voorkomt dat er blinde vlekken ontstaan.
- VPN- en remote desktop-toegangen (RDP, Citrix, TeamViewer)
- Cloudomgevingen zoals Microsoft 365, Azure, AWS of Google Cloud
- Applicatieaccounts in ERP-, CRM- en HR-systemen
- Beheerderstoegang tot servers, firewalls en netwerkinfrastructuur
- Ticketsystemen en projectmanagementtools zoals Jira of ServiceNow
- Gedeelde wachtwoorden en API-sleutels die de externe partij kende
- Fysieke toegangspassen tot kantoor of datacenters
Vergeet ook gedeelde credentials niet te roteren. Als een externe partij toegang had via een gedeeld beheerderswachtwoord, moet dat wachtwoord direct worden gewijzigd, ongeacht of er vermoedens zijn van misbruik.
Hoe stel je een stap-voor-stap proces in voor het intrekken van toegangsrechten?
Een gestructureerd offboarding-proces voor externe partijen begint bij het vastleggen van alle toegangen op het moment van onboarding. Wie dat van tevoren goed bijhoudt, kan bij beëindiging snel en volledig handelen. Het proces bestaat uit een aantal vaste stappen.
- Registreer toegangen bij aanvang: Leg bij elke nieuwe externe partij vast tot welke systemen zij toegang krijgen en op welke einddatum of onder welke voorwaarden die toegang vervalt.
- Stel een verantwoordelijke aan: Wijs een interne eigenaar aan die verantwoordelijk is voor het beheer en de intrekking van externe toegangsrechten.
- Plan de offboarding vooraf: Koppel de einddatum van het contract aan een geautomatiseerde taak of herinnering in het IT-systeem.
- Voer een volledige accountaudit uit: Controleer op de dag van beëindiging alle systemen op actieve accounts van de vertrekkende partij.
- Deactiveer accounts direct: Schakel accounts uit in plaats van ze direct te verwijderen, zodat je bij eventuele vragen nog logs kunt raadplegen.
- Roteer gedeelde credentials: Wijzig alle wachtwoorden en API-sleutels die de externe partij kende.
- Documenteer de afronding: Leg vast welke accounts zijn ingetrokken, door wie en op welk tijdstip, voor compliancedoeleinden.
Welke tools helpen bij het automatisch beheren van externe toegangsrechten?
Verschillende tools ondersteunen het automatisch beheren en intrekken van externe toegangsrechten, waardoor het risico op menselijke fouten sterk afneemt. De meest gebruikte categorieën zijn Identity and Access Management (IAM)-platforms, Privileged Access Management (PAM)-oplossingen en directory-gebaseerde tools.
Identity and Access Management (IAM)
IAM-platforms zoals Microsoft Entra ID (voorheen Azure AD) en Okta bieden mogelijkheden om externe gebruikers op te nemen in een aparte directory met beperkte rechten en een vaste vervaldatum. Wanneer de einddatum bereikt is, worden accounts automatisch gedeactiveerd. Dit sluit goed aan bij een zero trust-toegang-strategie, waarbij iedere gebruiker continu wordt geverifieerd op basis van identiteit en context.
Privileged Access Management (PAM)
PAM-oplossingen zoals CyberArk, BeyondTrust of Delinea zijn specifiek gericht op het beheren van bevoorrechte accounts. Ze bieden tijdelijke toegangssessies die automatisch verlopen, sessieopname voor auditdoeleinden en granulaire rechtenstructuren. Dit is met name relevant voor externe beheerders die toegang nodig hebben tot kritieke infrastructuur.
Naast deze gespecialiseerde tools helpen ook ITSM-platforms zoals ServiceNow bij het koppelen van contractbeheer aan toegangsbeheer, zodat offboarding automatisch wordt getriggerd wanneer een contract afloopt.
Wat moet er in een toegangsbeheerbeleid staan voor externe partijen?
Een toegangsbeheerbeleid voor externe partijen legt de spelregels vast rondom wie toegang krijgt, onder welke voorwaarden en hoe die toegang wordt ingetrokken. Een goed beleid bevat minimaal de volgende elementen.
- Definitie van externe partijen: Wie valt onder het beleid? Denk aan leveranciers, aannemers, consultants en uitzendkrachten.
- Minimale rechten (least privilege): Externe partijen krijgen alleen toegang tot de systemen die strikt noodzakelijk zijn voor hun werkzaamheden.
- Tijdgebonden toegang: Elke externe toegang heeft een einddatum die vooraf wordt vastgelegd.
- Goedkeuringsproces: Toegang wordt alleen verleend na expliciete goedkeuring van een interne verantwoordelijke.
- Offboarding-procedure: Een stap-voor-stap beschrijving van hoe toegang wordt ingetrokken bij beëindiging van de samenwerking.
- Auditverplichtingen: Periodieke controles op actieve externe accounts, bij voorkeur elk kwartaal.
- Escalatieprocedure: Wat gebeurt er bij vermoeden van misbruik of ongeautoriseerde toegang?
Een sterk beleid is niet alleen intern gedocumenteerd, maar wordt ook contractueel verankerd met externe partijen. Zo is voor iedereen helder welke verplichtingen er gelden rondom external access management.
Hoe HET IT helpt met het intrekken van externe toegangsrechten
Wij begrijpen dat het beheren en tijdig intrekken van externe toegangsrechten voor veel organisaties een uitdaging is, zeker wanneer er geen dedicated IT-team beschikbaar is of wanneer het aantal externe partijen snel groeit. Als fullservice IT-dienstverlener helpen wij organisaties in de Benelux om dit proces gestructureerd en veilig in te richten.
Wat wij voor jou kunnen doen:
- Inrichten van een IAM- of PAM-oplossing die aansluit op jouw omgeving en het aantal externe gebruikers
- Opstellen en implementeren van een toegangsbeheerbeleid voor externe partijen
- Automatiseren van offboarding-processen zodat accounts tijdig worden ingetrokken
- Periodieke audits uitvoeren op actieve externe accounts en toegangsrechten
- Adviseren over een zero trust-strategie die past bij jouw organisatie en sector
- 24/7 ondersteuning bij beveiligingsincidenten rondom ongeautoriseerde toegang
Of je nu een gemeente, zorginstelling of zakelijke dienstverlener bent: wij denken graag met je mee over hoe je externe toegangsrechten beheersbaar en veilig houdt. Neem contact op voor een vrijblijvend gesprek en ontdek hoe wij jouw IT-toegangsbeheer naar een hoger niveau tillen.
Veelgestelde vragen
Wat is het verschil tussen een account deactiveren en verwijderen bij extern offboarding?
Bij deactiveren blijft het account bestaan maar is inloggen onmogelijk, terwijl verwijderen het account permanent wist. Het is aan te raden om accounts eerst te deactiveren en pas na een retentieperiode (bijvoorbeeld 30 tot 90 dagen) definitief te verwijderen. Zo blijven logs en auditsporen beschikbaar voor eventuele compliancecontroles of forensisch onderzoek, zonder dat de toegang actief is.
Hoe ga ik om met externe toegangsrechten als de samenwerking onverwacht en abrupt eindigt?
Bij een abrupte beëindiging, zoals bij een conflict of een onmiddellijk ontslag, is snelheid cruciaal: schakel alle toegangen direct uit zodra de beslissing is genomen, nog vóór de externe partij hiervan op de hoogte is gesteld. Zorg dat je IT-team of IT-dienstverlener een noodprocedure heeft klaarstaan voor dit soort situaties, inclusief een contactpersoon die 24/7 bereikbaar is. Verander daarna onmiddellijk alle gedeelde wachtwoorden en API-sleutels die de partij kende.
Hoe controleer ik of er nog actieve externe accounts zijn die ik over het hoofd heb gezien?
Voer een periodieke toegangsaudit uit door alle actieve accounts in je systemen te vergelijken met een actuele lijst van huidige externe samenwerkingen. IAM-platforms zoals Microsoft Entra ID bieden rapportagefuncties waarmee je snel inactieve of verlopen gastaccounts kunt identificeren. Doe dit minimaal elk kwartaal, of stel geautomatiseerde alerts in die melden wanneer een account langer actief is dan de contractduur.
Moeten externe partijen worden geïnformeerd over het intrekkingsproces vóór de samenwerking begint?
Ja, transparantie vooraf voorkomt misverstanden achteraf. Leg in het contract of de samenwerkingsovereenkomst expliciet vast dat toegangsrechten tijdgebonden zijn en bij beëindiging direct worden ingetrokken. Dit stelt duidelijke verwachtingen, versterkt het wederzijds vertrouwen en geeft jou als organisatie ook een juridische basis om te handelen zonder voorafgaande discussie.
Wat als een externe partij beweert nog toegang nodig te hebben na de officiële einddatum?
Verleng toegang nooit stilzwijgend of informeel: doorloop altijd opnieuw het formele goedkeuringsproces. Laat een interne verantwoordelijke de verlengingsaanvraag beoordelen en documenteer de beslissing, inclusief de nieuwe einddatum en de reden voor verlenging. Een tijdelijke verlenging mag nooit de standaard worden; beschouw het als een uitzondering die zorgvuldig wordt beheerd.
Hoe ga ik om met externe partijen die toegang deelden met hun eigen medewerkers of onderaannemers?
Dit is een veelvoorkomend risico dat contractueel moet worden geborgd: vereis dat externe partijen geen toegang doorgeven aan derden zonder jouw expliciete toestemming. Leg vast dat bij beëindiging ook eventuele subgebruikers worden uitgeschakeld, en controleer dit actief tijdens de offboarding. Gebruik bij voorkeur individuele accounts per gebruiker in plaats van gedeelde credentials, zodat je altijd precies weet wie toegang heeft.
Hoe begin ik als mijn organisatie momenteel geen formeel proces heeft voor het intrekken van externe toegangsrechten?
Start met een inventarisatie: breng alle huidige externe partijen in kaart en controleer welke systemen zij kunnen bereiken. Voer daarna direct een opschoning uit van accounts die niet meer actief horen te zijn. Stel vervolgens een eenvoudige checklist op voor toekomstige offboardingen en wijs één verantwoordelijke aan die dit proces bewaakt. Voor een meer gestructureerde en geautomatiseerde aanpak kun je samenwerken met een IT-dienstverlener die IAM- en PAM-oplossingen implementeert.