Toegang die je vergeet in te trekken is een risico
Het is een van de meest voorkomende beveiligingsproblemen bij MKB-bedrijven: mensen die ooit toegang kregen tot systemen en die nog steeds hebben, terwijl ze die niet meer nodig hebben. De stagiaire van vorig jaar die nog in je CRM kan. De freelancer die nog bij je cloudopslag kan. De ex-medewerker wiens e-mailaccount nog actief is.
Elke ongebruikte toegang is een potentieel beveiligingsrisico en een GDPR-probleem.
Waarom periodiek controleren?
Toegangsrechten veranderen voortdurend:
- Medewerkers vertrekken - hun accounts moeten direct worden gedeactiveerd
- Rollen veranderen - iemand die van sales naar marketing gaat, heeft andere toegang nodig
- Externe partijen wisselen - je oude boekhouder hoeft niet meer in je systeem
- Tools veranderen - nieuwe software wordt toegevoegd, oude niet altijd opgeruimd
- Rechten stapelen zich op - mensen krijgen er rechten bij maar raken ze zelden kwijt
Hoe voer je een toegangsreview uit?
1. Maak een lijst van je tools
Begin met alle systemen en tools waarin persoonsgegevens worden verwerkt. Prioriteer de meest gevoelige:
- HR- en salarissysteem
- Boekhoudsoftware
- CRM-systeem
- E-mailaccounts
- Cloudopslag
- Sociale media accounts
- Analytics en advertentieplatforms
2. Controleer per tool wie toegang heeft
Log in als beheerder en bekijk de gebruikerslijst. Stel bij elk account de vraag:
- Werkt deze persoon nog bij ons?
- Heeft deze persoon deze toegang nog nodig voor zijn of haar huidige rol?
- Is het toegangsniveau correct (admin vs. gewone gebruiker)?
3. Ruim op
- Deactiveer accounts van vertrokken medewerkers en externe partijen
- Verlaag rechten waar iemand te veel toegang heeft
- Verwijder gedeelde accounts en vervang ze door persoonlijke logins
4. Documenteer
Leg vast wanneer je de review hebt uitgevoerd, wat je hebt gevonden en welke acties je hebt genomen. Dit is je bewijs van actief toegangsbeheer.
Maak er een routine van
Plan je toegangsreview in je agenda, net zoals je je boekhouding periodiek bijwerkt. Twee keer per jaar is een goed startpunt. Koppel het aan een vast moment, bijvoorbeeld aan het einde van elk halfjaar of na elke grote personeelswijziging.
GDPRWise helpt je om vast te leggen welke beveiligingsmaatregelen je hebt genomen, inclusief je toegangsbeleid en reviews.