Nieuwe medewerker: de IT-onboarding checklist voor een veilige eerste dag

Een nieuwe collega start maandag. De laptop komt nog, het account wordt 'even snel' aangemaakt en omdat de mailbox nog niet werkt, stuurt iemand de eerste documenten maar naar een privéadres. Het lijkt onschuldig, maar wat op de eerste dag gebeurt, bepaalt hoe iemand de komende jaren werkt. Wie op dag één een gedeeld wachtwoord krijgt 'voor nu', gebruikt dat over een jaar nog altijd. Daarom bekijken we onboarding bij onze klanten als een beveiligingsmoment, niet als een administratieve klus. Hieronder de checklist die we daarvoor gebruiken, in drie fases.

Waarom de eerste dag zoveel bepaalt

Nieuwe medewerkers willen goed beginnen. Ze doen wat ze zien en wat hen gezegd wordt, zeker in de eerste week. Dat is een kans: als de veilige manier meteen de normale manier is, hoef je later niets af te leren. In de praktijk zien we dat de meeste slechte gewoontes in een KMO niet uit onwil komen, maar uit een eerste dag waarop niets klaarstond en iedereen improviseerde.

• Het gedeelde wachtwoord dat 'even voor nu' was, staat drie jaar later nog in dezelfde chat.
• Wie op dag één met privémail werkt, heeft na een maand klantgegevens op een account dat jij niet beheert.
• Wie meteen beheerdersrechten kreeg omdat dat makkelijker was, heeft ze nog altijd bij het vertrek.

Een week vooraf: alles klaar vóór de eerste dag

Het meeste werk van een goede onboarding gebeurt vóór de nieuwe collega binnenstapt. Reken op een uurtje voorbereiding, verspreid over de week ervoor.

1. Maak het account aan op eigen naam. Geen 'info@' en niet het account van de voorganger hergebruiken. Eén persoon, één account, zo weet je later altijd wie wat gedaan heeft.
2. Ken rechten toe volgens de functie, niet 'alles zoals de collega'. Schrijf per functie op welke mappen, tools en mailboxen nodig zijn en gebruik die lijst als vertrekpunt.
3. Zet de laptop klaar en zorg dat hij beheerd is: versleuteld, met automatische updates, antivirus en de mogelijkheid om hem op afstand te wissen als hij verloren gaat.
4. Regel de licenties: Microsoft 365 of Google Workspace, het boekhoudpakket, de CRM. Een licentie die pas op dag één besteld wordt, is een dag verloren en een uitnodiging om te improviseren.
5. Geef toegang tot alleen de mappen en tools die nodig zijn. Toevoegen kan altijd nog, en het is veel makkelijker dan achteraf weer afnemen.

Op dag 1: samen instellen, niet doorsturen

Op de eerste dag zelf gaat het om ongeveer anderhalf uur, liefst samen met iemand die het zelf al gedaan heeft. Een handleiding doorsturen werkt niet. Samen aan tafel zitten wel.

1. Stel meervoudige verificatie (MFA) samen in, op de laptop én in de app op de telefoon. Dit is het moment waarop het gebeurt, of het gebeurt nooit.
2. Installeer de wachtwoordmanager en maak de eerste logins meteen vanuit de kluis aan. Zo begint niemand met een wachtwoord dat hij ook thuis gebruikt.
3. Neem twintig minuten voor phishing: hoe je een valse mail herkent, wat je doet bij twijfel en bij wie je het meldt. Onze uitleg over phishing herkennen en wat je doet als iemand geklikt heeft is daar een goed vertrekpunt voor.
4. Overloop het IT-beleid van één pagina en laat het niet alleen tekenen, maar ook begrijpen.
5. Koppel de eigen telefoon alleen aan de werkmail als het toestel beheerd is. Anders geef je een bedrijfstoestel, of geen mail op de telefoon.

Na de eerste maand: bijsturen

Een onboarding is pas af als je ze evalueert. Plan na een maand een kwartier in, dat is genoeg.

1. Herbekijk de rechten. Heeft de nieuwe collega ondertussen 'even' toegang gekregen tot iets extra? Is dat nog nodig?
2. Vraag wat niet werkt. Omslachtige stappen worden omzeild, en omzeilingen zijn beveiligingsgaten.
3. Plan een opleiding in. Een korte awareness-sessie of een module rond veilig werken, liefst meteen voor de rest van het team.

Least privilege, en wat je bewust niet doet

Het principe achter deze checklist heet least privilege: iedereen krijgt precies de toegang die nodig is voor zijn werk, niet meer. Een gehackt account kan alleen misbruikt worden voor wat het mag. Hoe minder dat is, hoe kleiner de schade. Het is geen wantrouwen tegenover je mensen, maar bescherming: wie geen beheerder is, kan ook niet per ongeluk iets kapotmaken.

• Deel geen accounts. Ook niet tijdelijk, ook niet voor de gedeelde mailbox. Daar bestaan gedeelde mailboxen met eigen logins voor.
• Geef geen beheerdersrechten omdat het makkelijk is. Een beheerder die op een phishingmail klikt, geeft de aanvaller meteen het hele huis.
• Geen wachtwoord op een post-it, geen wachtwoord in een mail of chat.

De spiegel: wie goed onboardt, kan makkelijk offboarden

Alles wat je op dag één netjes doet, betaalt zich terug op de dag dat iemand vertrekt. Eén account op eigen naam, rechten per functie, een beheerde laptop en logins in een gedeelde kluis: dan is offboarding een kwestie van een halfuur in plaats van een zoektocht naar wie waar nog toegang toe heeft. Bekijk daarom ook onze checklist voor wanneer een medewerker vertrekt.