Home/Kennisbank/Virtual assistants/Hoe geef je een VA veilig toegang tot je systemen?
Hoe geef je een VA veilig toegang tot je systemen?
Een wachtwoordkluis, eigen accounts met beperkte rechten, tweestapsverificatie en een uitdienstlijst — plus wat de AVG van je vraagt zodra er persoonsgegevens bij komen.
Deel nooit je eigen wachtwoord. Geef elke persoon een eigen account met de minimale rechten die het werk vraagt, zet tweestapsverificatie aan en deel inloggegevens uitsluitend via een wachtwoordkluis met een gedeelde map. Leg per tool vast wie welke rol heeft en wie de toegang gaf. Maak op dag één de lijst die je op de laatste dag gebruikt om alles weer in te trekken. Werkt iemand met persoonsgegevens van klanten, dan vraagt de AVG om een verwerkersovereenkomst.
De basis, in oplopende volgorde
- Wachtwoordkluis met een gedeelde map — nooit wachtwoorden in chat of mail.
- Een eigen account per persoon, nooit een gedeeld account.
- Minimale rechten: alleen de rollen die het werk echt nodig heeft.
- Tweestapsverificatie op elk account, met de herstelcodes bij jou.
- Een toegangslijst: tool, rol, wie het gaf en wanneer.
Toegang zonder je wachtwoord te delen
Bijna elke serieuze tool kent gasttoegang of teamrollen: mail via gedelegeerde toegang, boekhouding via een eigen gebruiker, sociale kanalen via een beheerdersrol. Kan een tool dat niet, gebruik dan een kluisregel met verborgen wachtwoord en spreek af wat daar wel en niet mag gebeuren. Reken dat mee als reden om die tool op termijn te vervangen.
Waarom een eigen account geen formaliteit is
Met gedeelde accounts verdwijnt het spoor van wie wat deed. Je kunt toegang niet los intrekken, je ziet bij een fout niet waar hij ontstond, en je kunt bij een incident niets aantonen. Een eigen account aanmaken kost vijf minuten en lost alle drie op.
De AVG-kant, kort
Verwerkt je VA persoonsgegevens van klanten, dan ben jij verwerkingsverantwoordelijke en zij verwerker. Dat vraagt om een verwerkersovereenkomst en om afspraken over waar de gegevens staan. Zit de VA buiten de EU, leg dan vast op welke grondslag de doorgifte rust. Neem daarnaast een geheimhoudingsbepaling op in de opdracht. Dit is algemene uitleg, geen juridisch advies.
De uitdienstlijst
Maak op dag één de lijst die je op de laatste dag afvinkt: accounts uitschakelen, gedeelde mappen intrekken, kluis-toegang verwijderen, actieve sessies uitloggen en gedeelde wachtwoorden vervangen. Zonder die lijst blijft toegang jarenlang openstaan bij mensen die allang weg zijn — en dat merk je pas wanneer het misgaat.
Voorbeelden
Wachtwoordkluis met drie mappen: "alles", "operatie" en "alleen boekhouding". De VA krijgt uitsluitend de map die bij haar werk hoort. Mail loopt via gedelegeerde toegang op haar eigen account, de boekhouding via een eigen gebruiker met leesrecht plus invoerrecht, en de bank blijft volledig bij jou. Bij vertrek: één map uit de kluis halen, twee accounts uitschakelen, klaar.
Veelgemaakte fouten
- Het eigen wachtwoord delen "omdat het maar één tool is". Daarmee verlies je het spoor én de mogelijkheid om los in te trekken.
- Beheerdersrechten geven omdat dat sneller is dan de juiste rol uitzoeken.
- Herstelcodes van tweestapsverificatie bij de ander laten liggen.
- Geen uitdienstlijst maken, waardoor oude toegang blijft bestaan.
- Bankieren of betalingen delegeren zonder tweede goedkeuring op de betaling zelf.
Veelgestelde vragen
Mag ik mijn wachtwoord delen als het maar één tool is?
Nee. Je verliest het spoor van wie wat deed en je kunt de toegang niet los intrekken. Een eigen account kost vijf minuten en lost beide op.
Wat als een tool geen extra gebruikers toestaat?
Gebruik een kluis met verborgen wachtwoord, beperk wat er in die tool mag gebeuren en zet er een controle op. Neem het mee als reden om op termijn naar een tool te gaan die het wel kan.
Heb ik echt een verwerkersovereenkomst nodig?
Zodra iemand namens jou persoonsgegevens van klanten verwerkt, wel. Dat is bij inboxwerk of CRM-onderhoud vrijwel altijd het geval.
Deze pagina beantwoordt ook
- Heb ik een verwerkersovereenkomst nodig voor een VA?
- Hoe trek ik toegang weer in als iemand stopt?