Waarom is offboarding in het onderwijs het grootste risico?

Bij de start van iemand gaat alle aandacht naar onboarding: de nieuwe collega moet snel aan de slag. Het vertrek krijgt minder prioriteit. Het gevolg is een stille opeenhoping van achtergebleven accounts, ook wel orphan accounts: actieve accounts van mensen die er niet meer horen te zijn.

In het onderwijs speelt dit extra sterk door het hoge verloop, de vele invallers en medewerkers die op meerdere scholen werken. Een vergeten account met geldige toegang is een privacy en beveiligingsrisico, en telt direct mee in je positie ten opzichte van het normenkader.

Disable-first: de veilige volgorde

Uitschakelen en verwijderen zijn niet hetzelfde:

• Uitschakelen blokkeert toegang direct, maar behoudt het account en de gegevens. Dit is de juiste eerste stap.

• Verwijderen ruimt het account daadwerkelijk op, na een bewust gekozen periode.

De verstandige aanpak is dus eerst overal uitschakelen bij vertrek, en pas na een vastgestelde termijn opruimen. Zo beperk je het risico direct, zonder dat je per ongeluk gegevens of toegang vernietigt die nog nodig zijn voor de overdracht.

Hoe automatiseer je het vanuit HR?

Maak het personeelssysteem de bron en laat een orchestratielaag de rest doen:

1. Indiensttreding leidt automatisch tot een account met de juiste toegang, in Microsoft 365 of Google Workspace.

2. Functiewijziging of overstap past de rechten automatisch aan, zodat oude toegang niet blijft hangen.

3. Vertrek of einde inzet leidt tot direct uitschakelen, gevolgd door gecontroleerd opruimen.

4. Reconciliatie vergelijkt periodiek de actieve accounts met de actuele personeelsstand, om achtergebleven accounts op te sporen.

Voor invallers en flexkrachten werkt dezelfde aanpak, mits hun inzet met een einddatum is vastgelegd.

Veelgestelde vragen

Waarom niet meteen verwijderen bij vertrek? Omdat directe verwijdering toegang tot gedeelde bestanden, mail of historie onbedoeld kan vernietigen. Eerst uitschakelen beperkt het risico zonder dataverlies.

Hoe vind ik bestaande orphan accounts? Door de lijst met actieve accounts periodiek te vergelijken met de personeelsstand. Een orchestratielaag kan die reconciliatie automatiseren.

Telt dit mee voor het Normenkader IBP? Ja. Beheer van de levenscyclus van accounts is onderdeel van het IAM-domein, en geautomatiseerde offboarding is daarin een belangrijke maatregel.