Direct antwoord
Annex A-maatregel 5.11 eist dat medewerkers, contractors en andere externen bij beëindiging van hun dienstverband of contract alle bedrijfsmiddelen retourneren: laptops, telefoons, toegangspassen, tokens en informatiedragers. De praktische invulling is een offboarding-checklist gekoppeld aan het assetregister, uitgevoerd vóór of op de laatste werkdag.
Annex A-maatregel 5.11 van ISO 27001, “Return of assets”, eist dat alle bedrijfsmiddelen worden geretourneerd wanneer een dienstverband, contract of overeenkomst eindigt. Elk niet-ingeleverd apparaat is een sluimerend datalek.
Wat eist de maatregel?
Medewerkers en externe gebruikers moeten bij beëindiging alle bedrijfsmiddelen inleveren die zij in bezit hebben: apparatuur (laptop, telefoon, tokens), fysieke toegangsmiddelen (passen, sleutels), informatiedragers (USB-sticks, externe schijven) en documentatie. Ook informatie op privé-apparaten valt eronder: die moet worden overgedragen en verwijderd.
Zo vul je hem in
- Maak een offboarding-checklist: alle in te nemen middelen per vertrekkende medewerker, afgevinkt en gedateerd. Genereer de lijst vanuit het assetregister zodat niets wordt vergeten.
- Koppel aan het uitdienstproces: HR meldt het vertrek, IT voert de checklist uit vóór of op de laatste werkdag, samen met het intrekken van toegangsrechten (maatregel 5.18).
- Regel BYOD en thuiswerkers: spreek af hoe bedrijfsdata van privé-apparaten wordt verwijderd (MDM-wipe van het zakelijke profiel) en hoe apparatuur van thuiswerkers wordt geretourneerd.
- Registreer: bewaar de afgetekende checklist als bewijs.
Waar let de auditor op?
De auditor pakt de laatst vertrokken medewerkers en vraagt het bewijs: ingevulde checklist, ingenomen middelen, ingetrokken toegang. De klassieke bevinding is het gat tussen HR en IT: het vertrek was bij IT pas weken later bekend, de laptop lag nog thuis en het account stond nog open. Een vaste meldroute van HR naar IT met een doorlooptijd van dezelfde dag voorkomt dit.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Hoe ga je om met kennis die vertrekkende medewerkers meenemen?
De maatregel noemt ook informatie en kennis: leg vast dat vertrekkende medewerkers lopende werkzaamheden documenteren en overdragen, en dat de geheimhoudingsplicht na vertrek doorloopt (vastgelegd in de arbeidsovereenkomst).
Wat als een ex-medewerker apparatuur niet inlevert?
Zorg dat je op afstand kunt handelen: MDM-tooling om apparaten te wissen of blokkeren, en directe intrekking van alle accounts. Registreer het niet-geretourneerde middel en de genomen actie; neem de afspraak over inlevering en eventuele verrekening op in de arbeidsvoorwaarden.