Toegang externe medewerkers: geven én vanzelf weer intrekken

Er komt een zzp’er, een interim-manager of een stagiair binnen. Die moet meteen aan de slag, dus er wordt snel iets geregeld: een account aangemaakt, een wachtwoord doorgegeven, een map gedeeld. Werk gaat voor. Zo hoort het ook, want een externe die drie dagen op zijn toegang zit te wachten kost je gewoon geld. Toegang externe medewerkers regelen is zelden het probleem; het weer intrekken is dat wel.

Het probleem zit aan de achterkant. Het project loopt af, de facturen zijn betaald, iedereen gaat verder — en dat account staat er een jaar later nog. Vaak met dezelfde rechten als op de eerste dag. Niemand kijkt ernaar, want de persoon werkt er niet meer. Precies daarom is zo’n vergeten account interessant voor een aanvaller: er is niemand die opmerkt dat het gebruikt wordt.

De oplossing is niet strenger zijn of beter je best doen om het te onthouden. De oplossing is het zo inrichten dat de toegang zichzelf opruimt. In Microsoft 365 kan dat met Conditional Access in Microsoft Entra ID, en het instellen kost je ongeveer een uur. In dit artikel lopen we die inrichting door, met de nuances die er in de praktijk toe doen.

Waarom vergeten accounts zo hardnekkig zijn

Bij een vast personeelslid dat vertrekt gaat er van alles rinkelen. Er is een laatste werkdag, een afscheid, een salarisadministratie die stopt. Bij een externe gebeurt dat allemaal niet. De samenwerking eindigt zachtjes: de laatste factuur, een appje “top gedaan”, en klaar. Er is geen moment waarop iemand denkt: en nu de toegang eruit.

Daar komt bij dat externen vaak toegang krijgen op basis van vertrouwen in plaats van op basis van hun taak. Een boekhouder die de administratie doet, krijgt “maar even” brede leesrechten, want dat is sneller dan uitzoeken wat hij precies nodig heeft. Een marketingbureau krijgt toegang tot de hele SharePoint in plaats van tot één map. En omdat het tijdelijk is, wordt het nooit netjes gemaakt.

Het gaat hier trouwens over accounts van personen. De koppelingen en apps die ook aan je omgeving hangen zijn een apart verhaal — daarover lees je meer in externe apps en koppelingen beoordelen.

Stap 1: één groep waar alle externen in zitten

Begin niet bij de regels, begin bij de indeling. Maak in het Microsoft Entra-beheercentrum één beveiligingsgroep aan met een duidelijke naam, bijvoorbeeld Externen of Tijdelijke toegang. Iedereen die niet in loondienst is, komt daarin: zzp’ers, uitzendkrachten, stagiairs, medewerkers van je leveranciers.

Die groep wordt vanaf nu je enige knop. Iemand toevoegen betekent: alle regels gelden meteen. Iemand eruit halen betekent: alles vervalt. Je hoeft nooit meer per persoon te bedenken wat er ook alweer aan stond. Dat klinkt simpel, en dat is het ook — maar het is precies de stap die meestal wordt overgeslagen, waardoor iedere externe zijn eigen setje losse rechten krijgt.

Werk je met echte gastaccounts (dus mensen die met hun eigen zakelijke e-mailadres inloggen via Entra External ID), dan gelden dezelfde regels. Een gastaccount is voor jouw beleid gewoon een gebruiker.

Stap 2: alleen de apps die ze echt nodig hebben

Denk na over wat de externe daadwerkelijk doet. Een tekstschrijver heeft je contentomgeving nodig, niet je boekhoudpakket. Een installateur die aan een project meewerkt heeft één SharePoint-site nodig, niet je hele Teams-omgeving.

Maak daarom een Conditional Access-beleid dat je aan de groep Externen koppelt en waarin je onder Doelbronnen alleen de toepassingen selecteert die zij mogen gebruiken. Alles wat daarbuiten valt, blokkeer je. Dit is het principe van minimale rechten: iemand krijgt de sleutel van de kamer waar hij moet zijn, niet van het hele pand.

Wees hierbij wel praktisch. Blokkeer je te breed, dan lopen mensen vast op iets onvoorziens en gaan ze workarounds zoeken — bestanden mailen naar hun privéadres, bijvoorbeeld. Begin met een lijst die klopt met het contract, en houd de eerste week even in de gaten of er iets ontbreekt.

Stap 3: laat de toegang vanzelf verlopen

Dit is het onderdeel dat het meeste oplevert. In hetzelfde beleid ga je naar de sessie-instellingen en zet je de aanmeldingsfrequentie op een periode die past bij je opdrachten: 7 dagen, 30 dagen, of de looptijd van het contract. De externe moet dan periodiek opnieuw inloggen.

Waarom werkt dat? Omdat opnieuw inloggen alleen lukt zolang iemand nog in de groep zit. Haal je hem eruit, dan lukt de volgende aanmelding simpelweg niet meer. Je hoeft dus niet te onthouden dat je een account moet uitzetten; je hoeft alleen te vergeten hem in de groep te houden.

Eén eerlijke nuance, want hier gaan artikelen over dit onderwerp vaak de mist in: iemand uit een groep halen zet niet gegarandeerd op datzelfde moment elke lopende sessie stop. Moderne Microsoft-toepassingen reageren snel op dit soort wijzigingen, maar niet alles doet dat even keurig. Wil je het zeker weten bij een vertrekkende externe, gebruik dan ook de optie om de sessies van die gebruiker in te trekken en schakel het account uit. Dat is dertig seconden werk en het scheelt gedoe.

Stap 4: sterke inlog zonder dat je hun laptop beheert

Je gaat de privélaptop van een zzp’er niet beheren, en dat hoeft ook niet. Maar je mag wel eisen hoe iemand zich aanmeldt bij jouw systemen. Zet in hetzelfde beleid meervoudige verificatie verplicht, en stuur waar het kan op een phishing-bestendige methode: de Microsoft Authenticator-app met nummerherkenning, of een passkey.

Sms als tweede stap is beter dan niets, maar het is de zwakste variant. Welke methode wanneer verstandig is, hebben we uitgewerkt in welke MFA is het veiligst; het uitrollen zelf staat in MFA uitrollen: een stappenplan.

Beheer je wel apparaten van eigen medewerkers, dan kun je die twee scheiden: eigen mensen alleen vanaf een beheerd apparaat, externen vanaf elk apparaat mits met sterke verificatie. Zo maak je het voor je eigen team strenger zonder de samenwerking met buiten te blokkeren.

Een voorbeeld uit de praktijk

Een adviesbureau met 22 medewerkers werkte in een druk jaar met zeven externen: twee interim-adviseurs, een tekstschrijver, een marketingbureau en drie stagiairs. Bij een opruimronde bleken vijf van die zeven accounts nog actief, waarvan drie al meer dan een jaar. Het account van de tekstschrijver had nog toegang tot de gedeelde schijf met offertes en klantcontracten — werk waar hij nooit iets mee te maken had gehad.

Er was niets misgegaan. Maar er was ook niets dat het had tegengehouden. Na het inrichten van één groep, twee beleidsregels en een aanmeldingsfrequentie van 30 dagen was het probleem structureel weg: wie eruit gaat, komt er vanzelf niet meer in. De uitvoering kostte een middag, inclusief het testen met een proefaccount.

Zo pak je het aan

Wil je dit zelf oppakken, dan is dit een werkbare volgorde:

1. Maak een lijst van iedereen die nu toegang heeft en niet in loondienst is. Alleen die inventarisatie levert vaak al verrassingen op.
2. Maak de beveiligingsgroep aan en zet iedereen erin die er nog in hoort. De rest zet je uit.
3. Maak het eerste beleid: MFA verplicht plus een aanmeldingsfrequentie die past bij je opdrachten.
4. Maak het tweede beleid: alleen de toegestane toepassingen, de rest geblokkeerd.
5. Test met één proefaccount voordat je het aanzet. Gebruik de rapportagemodus zodat je ziet wat er zou gebeuren zonder dat er iemand buitengesloten raakt.
6. Zet in je agenda per kwartaal een controle van tien minuten: klopt de groep nog?

Zorg er ook voor dat je jezelf niet buitensluit. Houd altijd één beheerdersaccount buiten dit soort beleidsregels als noodingang, met een lang, uniek wachtwoord dat veilig is opgeborgen.

Waar je op moet letten

Conditional Access is geen losse aankoop, maar zit in Microsoft Entra ID P1. Die zit in Microsoft 365 Business Premium, en dus hebben veel mkb-bedrijven het al zonder het te gebruiken. Automatische toegangsbeoordelingen, waarbij het systeem periodiek aan een eigenaar vraagt of iemand nog toegang nodig heeft, zitten pas in P2. Voor de meeste bedrijven van vijf tot vijftig medewerkers is een kwartaalcontrole in de agenda prima genoeg.

Denk daarnaast aan de afspraken op papier. Wie toegang krijgt tot persoonsgegevens, hoort onder een verwerkersovereenkomst te vallen; dat is een AVG-verplichting en geen formaliteit. Meer daarover in leveranciersrisico beheren. Werk je voor klanten die onder de nieuwe Cyberbeveiligingswet vallen, dan krijg je dit soort vragen sowieso via de keten op je bord.

Veelgestelde vragen

Moet ik hiervoor een IT-beheerder in dienst hebben?

Nee. De inrichting is eenmalig werk van ongeveer een uur voor iemand die de weg kent in Entra. Daarna is het beheer een kwestie van mensen aan een groep toevoegen of eruit halen, en dat kan een office manager prima doen. De valkuil is niet de techniek maar het bijhouden van de groep.

Wat als een externe zijn eigen laptop en e-mail gebruikt?

Dat kan prima. Je kunt hem als gast uitnodigen, waarna hij met zijn eigen zakelijke account inlogt en jouw regels op hem van toepassing zijn. Voordeel: er is geen extra wachtwoord in omloop, en jij hoeft geen postbus te betalen. Zie ook BYOD soepel en veilig.

Geldt dit ook voor mijn IT-leverancier of accountant?

Zeker, en juist daar is het belangrijk, omdat die partijen vaak ruime rechten hebben. Zet ze in dezelfde groep en geef ze alleen toegang tot wat ze nodig hebben. Vraag je leverancier ook of hij per medewerker inlogt in plaats van met één gedeeld beheeraccount — dat laatste is nog altijd verrassend gebruikelijk.

Wat doe ik met externen die al jaren toegang hebben?

Zet ze niet zomaar uit, want er kan een lopende afspraak achter zitten. Maak eerst de lijst, bel de twijfelgevallen even na, en zet daarna alles uit wat niemand kan verantwoorden. Neem dezelfde stap meteen op in je digitale offboarding, zodat het bij de volgende ronde vanzelf goed gaat.

Hoe vaak controleer je de toegang van externen?

Twee keer per jaar is voor de meeste organisaties genoeg, en verder bij elk project dat afloopt. Zet het als vaste stap in je procedures, zodat er regelmatig iemand door de lijst loopt. Je wilt vooral overzicht: wie heeft er nog toegang, tot welke gevoelige informatie, en sinds wanneer. Wat niemand meer kan uitleggen, mag je verwijderen.

Welke tools heb je nodig om toegang voor externen te beheren?

Meestal niets extra’s. Microsoft 365 kan gasten uitnodigen, in groepen zetten en die toegang vanzelf laten verlopen; dat dekt het proces voor kleine organisaties prima. Grotere bedrijven gebruiken tools voor toegangsbeheer die periodiek om een akkoord vragen. Belangrijker dan de tool is dat iemand het beheren echt oppakt — anders houden ex-medewerkers en oud-leveranciers gewoon hun account, en dat is een gat in je beveiliging dat niemand ziet.

Twijfel je of je omgeving nu goed staat, of weet je niet zeker wie er allemaal nog toegang heeft? We kijken graag een keer met je mee en zetten het samen in één middag netjes neer.