De eerste werkdag van een nieuwe medewerker gaat meestal over koffie, een rondleiding en een stapel namen die niet blijven hangen. Ondertussen gebeurt er iets waar niemand bij stilstaat: er wordt een account aangemaakt, een laptop uitgedeeld en toegang geregeld tot systemen waarover eigenlijk nog niemand goed heeft nagedacht. Bij veel bedrijven gaat dat prima, tot het een keer misgaat.
Hoe het er in de praktijk vaak aan toegaat
In het MKB wordt onboarding doorgaans geregeld door de leidinggevende die de nieuwe collega verwacht. Die belt of mailt naar wie de ICT regelt met het verzoek om hetzelfde als bij een bestaande collega aan te maken. Die collega werkt al jaren bij het bedrijf en heeft in die tijd allerlei extra toegang gekregen: tot het inkoopsysteem, tot de gedeelde schijf van een ander team, tot een rapportagetool die eigenlijk alleen voor leidinggevenden bedoeld was. De nieuwe medewerker krijgt dat in één keer mee, zonder dat iemand zich afvraagt of dat wel past bij de functie.
Dit werkt zolang er niets misgaat. Maar zo bouw je langzaam een bedrijf op waarin niemand meer precies weet wie waar toegang toe heeft en waarom.
Waarom dit meer is dan een kwestie van gemak
Een nieuwe medewerker is in de eerste weken extra kwetsbaar, en dat heeft weinig met onvoorzichtigheid te maken. Alles is nog nieuw: de systemen, de collega’s, de manier van werken. Een e-mail die zogenaamd van de directeur komt met een dringend verzoek wordt door iemand die het bedrijf nog niet kent minder snel herkend als vreemd. Wie net begint, wil bovendien graag laten zien behulpzaam en snel te zijn. Dat maakt deze periode aantrekkelijk voor iemand die misbruik wil maken van onoplettendheid.
Daar komt bij dat te ruime toegang een risico blijft, ook nadat de onwennigheid van de eerste weken voorbij is. Een nieuwe medewerker die per ongeluk toegang heeft tot financiële gegevens of klantdata die niets met de functie te maken hebben, is niet alleen een intern risico. Het is ook iets waar je bij een incident of een controle moeilijk uitleg over kunt geven.
Eerst meten: welke rollen heeft jouw bedrijf eigenlijk
Wij beginnen dit vraagstuk nooit bij de techniek, maar bij de vraag welke rollen een bedrijf eigenlijk heeft. Een groothandel heeft andere functies dan een productiebedrijf of een transportonderneming, maar binnen elk bedrijf is te omschrijven wat iemand in het magazijn, de planning, de administratie of de verkoop nodig heeft om zijn werk te doen. Dat klinkt eenvoudig, maar in de praktijk is het vaak nog nooit opgeschreven.
Pas wanneer die rollen in kaart zijn gebracht, kun je zinvol vaststellen welke toegang daarbij hoort. Niet wat iemand ooit heeft gekregen omdat het op dat moment handig was, maar wat logisch is gezien de functie. Dat is meten voordat je iets regelt: je kunt geen goed beleid maken over toegang die je niet eerst in beeld hebt.
Beleid vóór techniek
Zodra rollen en bijbehorende toegang zijn vastgelegd, kan de techniek dat overnemen. Een nieuw account is dan de toepassing van een vastgesteld sjabloon, in plaats van een kopie van een willekeurige collega: deze functie hoort bij dit systeem, deze apparatuur en dit toegangsniveau. Een leidinggevende hoeft dan geen inschatting meer te maken, want die keuze is al gemaakt op het moment dat het beleid is opgesteld.
Dit is ook het moment waarop aantoonbaarheid ontstaat. Als je kunt laten zien welke rol welke toegang krijgt en waarom, heb je iets in handen dat verder gaat dan een gevoel dat het wel goed zit. Dat is precies de aantoonbaarheid die je nodig hebt als je stappen zet richting NIS2.
Mensen meenemen vanaf dag 1
Beleid en techniek lossen niet alles op. Een nieuwe medewerker die op de eerste dag alleen te horen krijgt wat wel en niet mag, zonder uitleg waarom, ervaart dat als een lijst regels die in de weg zit. Leg vanaf de eerste dag kort uit waarom bepaalde toegang is afgeschermd, hoe het bedrijf omgaat met verdachte e-mails en bij wie iemand terechtkan bij twijfel. Dat hoeft geen lange training te zijn. Een kwartier, gegeven door iemand die het zelf ook gewoon vindt, werkt beter dan een document dat ongelezen blijft.
Zo wordt beveiliging onderdeel van hoe het bedrijf werkt, in plaats van een verplichting die achteraf wordt opgelegd.
Wat je deze week al kunt doen
Je hoeft hier niet meteen een heel project van te maken om vooruitgang te boeken.
- Zet de functies in je bedrijf op een rij en schrijf per functie op welke systemen en data daarbij nodig zijn.
- Spreek af wie toestemming geeft voor een nieuw account, zodat dit niet langer de losse keuze van een leidinggevende is.
- Plan een vast moment in de onboarding waarin iemand kort uitlegt hoe het bedrijf omgaat met wachtwoorden, toegang en verdachte berichten.
- Vergelijk af en toe de toegang van een paar medewerkers met dezelfde functie. Grote verschillen zijn vaak een teken dat rechten in de loop der tijd zijn gegroeid zonder dat iemand ze heeft herzien.
Wie dit eenmaal op orde heeft, merkt dat de eerste werkdag van een nieuwe medewerker verandert van een moment van onzekerheid in het toepassen van iets dat al vaststond.
Een paar vragen die we vaak krijgen
Moet ik voor elke functie in mijn bedrijf apart beleid opstellen?
Niet per se voor elke individuele functie. De meeste bedrijven hebben een beperkt aantal rollen die in grote lijnen dezelfde toegang nodig hebben, zoals magazijn, administratie of buitendienst. Begin met die hoofdgroepen en verfijn pas als blijkt dat een functie echt afwijkt.
Wat als een nieuwe medewerker via een uitzendbureau of op tijdelijke basis komt?
Juist dan is vooraf vastgelegd beleid belangrijk, omdat tijdelijke medewerkers vaak sneller wisselen en minder lang in beeld blijven bij wie de toegang beheert. Koppel toegang aan de rol en aan een einddatum, zodat niemand erop hoeft te letten dat een tijdelijk account ook weer wordt afgesloten.
Hoe voorkom ik dat dit extra werk wordt voor leidinggevenden?
Het kost vooraf tijd om rollen en toegang vast te leggen, maar daarna juist minder. Een leidinggevende hoeft dan geen inschatting meer te maken bij elke nieuwe medewerker, want die keuze ligt al vast in het sjabloon.
Hangt dit samen met wat er gebeurt als iemand het bedrijf verlaat?
Het is het spiegelbeeld daarvan. Bij uitdiensttreding gaat het om het tijdig intrekken van toegang die niet langer nodig is; bij onboarding gaat het om vanaf het begin geen toegang te geven die niet nodig is. Wie beide kanten op orde heeft, houdt continu overzicht over wie waarom toegang heeft.
Wil je weten hoe onboarding er bij jouw bedrijf nu precies uitziet en waar de rollen en toegang nog niet op elkaar aansluiten? Wij denken daar graag met je over mee.
