Wat doet u met het Microsoft 365-account van een werknemer die vertrekt?

Waarom een vergeten account een echt risico is

Wanneer iemand het bedrijf verlaat, denkt men aan de badge, de sleutels en de laptop. Het Microsoft 365-account blijft echter vaak open. Toch heeft het niets van zijn toegang verloren: het opent nog altijd de mailbox, de OneDrive-bestanden, de teams in Teams, de gedeelde mappen en soms ook vakspecifieke toepassingen die aan dezelfde aanmelding gekoppeld zijn.

Microsoft zegt het zonder omwegen: in veel organisaties worden accounts niet altijd verwijderd wanneer werknemers vertrekken, en die overbodig geworden accounts vormen een beveiligingsrisico. Het gevaar komt niet noodzakelijk van de ex-werknemer zelf. Het komt vooral doordat niemand dat account nog bekijkt: als het wachtwoord elders gelekt is, valt een verdachte aanmelding niemand op.

• De mailbox: die blijft berichten van klanten en leveranciers ontvangen, ook facturen en betalingsverzoeken.
• De bestanden: de OneDrive van de persoon en alles wat in Teams of SharePoint met hem of haar gedeeld werd.
• De telefoon: de Outlook- of Teams-app op de smartphone blijft gesynchroniseerd zolang niemand ze afsluit.
• Toegevoegde toegangen: een app-wachtwoord (een aparte code, aangemaakt zodat een oud mailprogramma of een printer zich zonder tweestapsverificatie kan aanmelden), een tweede telefoon voor de tweestapsverificatie, een toepassing die de mails mag lezen.

Vier misvattingen

De meeste ‘vergeten’ accounts zijn niet echt vergeten: iemand heeft wel iets gedaan, maar niet het juiste. Dit zeggen de pagina’s van Microsoft over de meest gebruikelijke handelingen.

Voorbeeld, verzonnen ter illustratie. Een verkoopster verlaat een kmo van vijftien mensen. Om een licentie te besparen, wordt haar mailbox omgezet naar een gedeelde mailbox die haar collega raadpleegt om de klanten op te volgen. Niemand denkt aan het wachtwoord. Maanden later circuleert dat wachtwoord, dat ze ook op een gehackte website gebruikte, online. Iemand meldt zich aan op de gedeelde mailbox en stuurt de klanten ‘nieuwe bankgegevens’. Niemand hield dat account in het oog: het komt pas aan het licht wanneer een klant belt over een overschrijving.

De dag van het vertrek: de handelingen, in volgorde

Deze handelingen worden uitgevoerd door wie uw Microsoft 365 beheert, intern of bij uw IT-partner. Ze volgen de procedure van Microsoft voor het vertrek van een werknemer. Het eenvoudigst is ze te plannen op de laatste werkdag, op het uur van vertrek.

1. Het wachtwoord wijzigen en alle sessies afsluiten. Dit sluit de toegang het snelst af: de persoon wordt binnen het uur afgemeld, zodra de lopende toegang verloopt.
2. Het aanmelden blokkeren. Het account is dan onbruikbaar, ook met het juiste wachtwoord.
3. De telefoon afsluiten. Als de persoon zijn of haar werkmails op de smartphone las, wist de beheerder op afstand alleen het werkaccount, zonder aan de foto’s of persoonlijke apps te raken, en blokkeert daarna het toestel.
4. Weghalen wat de persoon had toegevoegd: de methoden voor tweestapsverificatie, de app-wachtwoorden, de toepassingen die hij of zij toegang had gegeven en vooral de beheerdersrechten, als die er waren.
5. Een automatisch antwoord instellen dat het vertrek meldt en een contactadres geeft (zie verder).
6. In veiligheid brengen wat van het bedrijf is: de nuttige OneDrive-bestanden naar een teammap, de mails die een collega nodig heeft om een dossier op te volgen.
7. De licentie wegnemen en daarna het account verwijderen, zodra alles opgehaald is. Na verwijdering bewaart Microsoft het account nog ongeveer 30 dagen: als u iets vergeten bent, kunt u het nog herstellen. Uitzondering: als u de mailbox omgezet hebt naar een gedeelde mailbox, verwijder het account dan niet, want de gedeelde mailbox hangt ervan af. Houd het geblokkeerd, met een nieuw wachtwoord.

Stap 1 tot 4 zijn het dringendst: die sluiten de deur. Stap 5 tot 7 mogen over enkele weken gespreid worden, op voorwaarde dat het account al geblokkeerd is.

En de mailbox? Wat de Gegevensbeschermingsautoriteit zegt

De mailbox van een ex-werknemer bevat persoonsgegevens: die van de persoon zelf en die van iedereen die hem of haar schrijft. Ze mag dus niet onbeperkt ‘voor het geval dat’ open blijven.

In haar beslissing 64/2020 van 29 september 2020 legde de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) een boete van 15.000 euro op aan een kmo die de e-mailadressen van een vertrokken voormalige bestuurder tweeënhalf tot bijna drie jaar actief had gelaten. De beslissing neemt de volgende aanbeveling over:

• De mailbox blokkeren van de persoon die vertrokken is, zo snel mogelijk.
• Een automatisch bericht instellen dat correspondenten laat weten dat de persoon vertrokken is, gedurende een redelijke termijn: in principe een maand.
• Daarna de mailbox verwijderen. Het adres op naam van een ex-werknemer mag niet meer gebruikt worden.

Concreet: verwittig de persoon vóór het vertrek over de datum van blokkering, geef hem of haar de kans om zijn of haar privéberichten uit te zoeken, en leg de regel eens en voor altijd vast in uw IT-beleid. Dit is geen juridisch advies: vraag voor een specifiek geval raad aan uw jurist of uw sociaal secretariaat.

De OneDrive-bestanden: een stille aftelling

De OneDrive van een ex-werknemer bevat vaak werkdocumenten die niemand anders heeft: offertes, rekenbladen, contracten. Wat ermee gebeurt, hangt af van de gekozen handeling, en de termijnen van Microsoft zijn strikt.

• Account verwijderd: de leidinggevende krijgt, als die in de fiche van de werknemer in Microsoft 365 vermeld staat, standaard 30 dagen toegang tot de OneDrive om de bestanden op te halen. Anders krijgt niemand die toegang automatisch: vraag de beheerder om die toegang vóór de verwijdering te geven. Daarna gaan de bestanden naar de prullenbak en werken de deelkoppelingen die naar klanten gestuurd zijn niet meer.
• Licentie weggenomen zonder het account te verwijderen: de OneDrive wordt op dag 60 alleen-lezen en op dag 93 gearchiveerd. Om hem weer te openen, moet u opnieuw een licentie toekennen of voor de heractivering betalen.
• De juiste reflex: vóór het vertrek de nuttige documenten verplaatsen naar een teamruimte (Teams of SharePoint), die van geen enkele persoon afhangt.

Accounts die al vergeten zijn: een controle van een kwartier

Als er de voorbije jaren mensen uit uw bedrijf vertrokken zijn, is de kans groot dat er nog ergens een account rondslingert. Microsoft stelt voor de accounts op te sporen aan de hand van hun laatste aanmelding en noemt een periode van 90 tot 180 dagen zonder aanmelding als redelijk ijkpunt. Vraag uw beheerder deze ronde te doen:

1. De lijst van Microsoft 365-accounts vergelijken met de lijst van het huidige personeel. Elk account moet een eigenaar hebben die nog in het bedrijf werkt.
2. De accounts opsporen zonder aanmelding sinds meer dan 90 dagen en voor elk ervan vragen: wie heeft het nog nodig, en waarom?
3. De gedeelde mailboxen nakijken die vroeger persoonlijke mailboxen waren: het aanmelden op het account moet geblokkeerd zijn.
4. De lijst van beheerders nalopen. Een ex-werknemer of een vroegere IT-partner mag er niet meer op staan.
5. De externe gasten (vroegere consultants, vroegere partners) die nog toegang hebben tot uw teams in Teams, opruimen.

Maak van de controle daarna een gewoonte: een vertrekfiche die gedeeld wordt tussen wie het personeel beheert en wie de IT beheert, met de datum en het uur van de blokkering. Het account wordt gesloten op de dag van het vertrek, niet pas wanneer iemand eraan terugdenkt.

Microsoft 365-accounts laten nakijken→