Contractors en tijdelijke inhuur: RBAC-toegang die zichzelf intrekt

Het project duurt zes weken. De aannemer krijgt een badge voor de bouwvleugel en de serverruimte. Het project eindigt. De badge blijft actief.

Niet vanwege nalatigheid, maar omdat het intrekken van tijdelijke toegang altijd een handmatige stap is die net iets minder urgent voelt dan de andere dingen op de lijst, totdat er iets misgaat.

Contractors en tijdelijke medewerkers vormen het grootste blinde vlak in de meeste toegangssystemen. Ze zijn zichtbaar bij aanvang, onzichtbaar bij vertrek. Dat is precies waar contractors toegangsbeheer RBAC het verschil maakt: toegang die automatisch vervalt zodra de opdracht afloopt.

Wat is RBAC voor contractors?

RBAC staat voor Role-Based Access Control: een systeem waarbij toegangsrechten niet per persoon worden ingesteld, maar per rol. Een contractor-rol bevat precies de zones, tijdvensters en systemen die nodig zijn voor de opdracht, en niets meer.

Het cruciale verschil met regulier RBAC: contractor-rollen hebben een ingebouwde vervaldatum. Zodra die datum bereikt is, vervalt alle bijbehorende toegang automatisch. Geen herinneringsmail, geen handmatige actie, geen vergeten badge.

Het principe is eenvoudig. De impact is groot. Elke contractor die het gebouw verlaat zonder actieve rechten betekent een beveiligingsrisico minder.

Herken je dit?

Een IT-dienstverlener heeft maanden na het afsluiten van een project nog steeds actieve credentials voor de serverruimte. Niemand wist het totdat een externe audit de actieve badges opsomde.

Een schoonmaakdienst heeft nachtelijke toegang tot zones die overdag voor bezoekers zijn afgesloten. Niet omdat iemand dat zo heeft gewild, maar omdat de rechten er nog van een eerdere dienstverlener in staan en nooit zijn opgeruimd.

Een contractor vraagt om uitbreiding van zijn toegangsrechten voor een kleine klus op verdieping 3. Je wil dat controleren, maar je hebt geen snel overzicht van wat hij al heeft. Het verzoek wordt goedgekeurd zonder context.

Een zzp’er werkt drie dagen per week in het gebouw maar staat niet in het HR-systeem. Zijn onboarding is volledig handmatig: badge aanvragen, parkeerplaats regelen, vergaderzalen vrijgeven. Bij vertrek dezelfde route in omgekeerde volgorde, als iemand het dan nog weet.

Tijdens een beveiligingsaudit kun je niet aantonen welke externe partijen in welke periode toegang hadden tot welke zones. Het is er ergens wel, maar niet in een formaat dat de auditor accepteert.

Wat gaat er mis zonder tijdgebonden rollen?

Elk toegangssysteem dat geen rekening houdt met de tijdelijkheid van contractors groeit vanzelf richting zombie-toegang: rechten die actief zijn voor identiteiten die er al lang niet meer zijn.

Dat is niet de fout van een individu. Het is een structureel probleem in systemen die rechten vergeven bij aanvang maar geen mechanisme hebben om die rechten automatisch te beperken in de tijd. Handmatige intrekking werkt niet op schaal. Mensen vergeten het. Prioriteiten verschuiven.

Voor organisaties die werken met CISO-verantwoordelijkheid, ISO27001-certificering of NEN7510-compliance is zombie-toegang geen theoretisch risico. Het is een aantoonbare gap in de security-architectuur.

Hoe Rhyzi contractors toegangsbeheer RBAC inricht

In Rhyzi krijgt elke contractor een rol met een verplichte einddatum. Alle bijbehorende rechten (zones, tijdvensters, systemen) zijn onderdeel van die rol en worden bij aanmaak automatisch bepaald. Er is geen ruimte voor ad-hoc uitbreidingen buiten de rol.

Op de einddatum trekt Rhyzi alle toegangsrechten automatisch in. Niet als achtergrondtaak die misschien wordt uitgevoerd, maar als gegarandeerd onderdeel van het systeem.

Wil je een opdracht verlengen? Een rolverlenging past automatisch de einddatum van alle bijbehorende rechten aan. Geen herconfiguratie, geen vergeten systemen.

Alle toegangsgebeurtenissen worden onveranderbaar gelogd in de audit trail: wie had wat, wanneer en voor hoe lang. Die informatie is in tien seconden opvraagbaar, niet na drie dagen zoekwerk in losse systemen.

Voor wie is dit relevant? 

Bouwprojecten: de aannemer krijgt toegang tot de bouwzone en material en opslag voor de duur van het project. Bij oplevering vervalt alles automatisch.

IT-dienstverleners: tijdelijke serverruimte toegang voor onderhoud, met exacte begin- en eindtijd. Geen dag langer dan nodig.
Schoonmaakdiensten: nachtelijke toegang tot specifieke zones, automatisch ingetrokken zodra het contract eindigt. Nieuwe dienstverlener? Nieuwe rol, schone lei.

ZZP’ers en freelancers: tijdgebonden werkplek toegang inclusief printer en vergaderruimte, zonder handmatige provisioning per bezoek. Alles zit in de rol.

Resultaten

Zombie-toegang voor contractors is structureel onmogelijk wanneer elke rol een verplichte einddatum heeft. Niet minder waarschijnlijk: onmogelijk.

Een volledige audit trail is altijd beschikbaar. Wie had toegang, wanneer en tot welke zone: tien seconden, niet drie dagen.
Automatische intrekking bij contracteinde vereist geen handmatige actie. De offboarding van een contractor verloopt zonder tussenkomst van facility of IT.

Rhyzi is ISO 9001 en NEN7510 gecertificeerd. De audit trail en rolstructuur voldoen aan de eisen van ISO27001 en AVG.

Veelgestelde vragen

Kan ik de toegangsduur van een contractor verlengen zonder alles opnieuw in te richten?

Ja. Een rolverlenging in Rhyzi past automatisch de einddatum van alle bijbehorende toegangsrechten aan. Je hoeft geen individuele rechten te doorlopen.

Hoe onderscheidt Rhyzi contractor-toegang van medewerker-toegang?

Via rolsjablonen. Een contractor-rol heeft andere zones, tijdvensters en rechten dan een medewerker-rol, en een verplichte einddatum. Medewerker-rollen hebben die verplichte einddatum niet.

Wordt contractor-toegang ook gelogd in de audit trail?

Ja. Alle toegangspogingen, succesvolle toegangen en weigeringen worden tijdgestempeld en onveranderbaar gelogd per identiteit. Contractors zijn daarin niet anders dan medewerkers of bezoekers.

Wat als een contractor eerder vertrekt dan gepland?

Toegang kan op elk moment handmatig worden ingetrokken in Rhyzi, ongeacht de ingestelde einddatum. De einddatum is een maximumgrens, geen minimum.

Probeer het zelf

Wil je zien hoe Rhyzi contractor-toegang beheersbaar en auditeerbaar maakt? Boek een demo via rhyzi.com/plan-een-demo/ en bekijk hoe RBAC met tijdgebonden rollen werkt in jouw situatie.

Je ziet direct hoe de audit trail eruitziet, hoe een contractor-rol wordt aangemaakt en hoe automatische intrekking werkt bij contracteinde.

Boek een demo via rhyzi.com/plan-een-demo/