Bijgewerkt op 4 november 2026 door Simon Mestdagh, oprichter van Caspian.

Kort

• Toegangsbeheer bepaalt wie welke apps, accounts en gedeelde bestanden mag gebruiken, en houdt dat bij als mensen komen, van rol wisselen of vertrekken.
• Elke wijziging raakt drie lagen: de apps op de laptop, het account in elke SaaS-app, en wat binnen die app gedeeld is, zoals Slack-kanalen, Google-groepen, gedeelde drives en GitHub-repo's.
• Wie van rol wisselt, houdt vaak zijn oude toegang. Elke verschuiving moet ook wegnemen wat de oude rol nodig had.
• SCIM maakt accounts automatisch aan en uit, maar alleen in apps die het ondersteunen op jouw abonnement.

Toegangsbeheer (in het Engels access management, of in de praktijk vaak joiner, mover, leaver) is het proces dat toegang geeft, aanpast en weer afneemt wanneer iemand in dienst komt, van rol verandert of vertrekt. Deze pagina geeft het proces als tabel, met per stap een eigenaar, een timing en een bewijs.

Caspian publiceert deze pagina en verkoopt een product in deze ruimte: Caspian, het IT-automatiseringsplatform voor scale-ups. Feiten gecontroleerd op 4 november 2026. De uitgebreide Engelse versie met een beleidstekst om te kopiëren: joiner mover leaver process template.

Wie doet wat?

Het HR-systeem start elke wijziging: HR is eigenaar van de data (startdatum, rol, team, laatste werkdag). IT voert de wijzigingen in toegang uit. Managers en app-eigenaars bevestigen wat elke rol nodig heeft. Komen aanvragen binnen via chat in plaats van via HR, dan schuiven data op en kan niemand achteraf tonen wat wanneer gebeurde.

Het proces als tabel

Moment	Laag	Taak	Eigenaar	Timing	Bewijs
Instroom	Laptop	Laptop toewijzen en inschrijven, apps van de rol installeren	IT	Voor dag één	Toestel toont eigenaar; applijst klopt met rol
Instroom	Account	Identiteitsaccount en account in elke app aanmaken	IT of app-eigenaar	Voor dag één	Gebruikerslijst per app
Instroom	Binnen apps	Toevoegen aan kanalen, groepen, drives en repo's van het team	Manager	Dag één	Ledenlijsten
Doorstroom	Laptop	Apps van de nieuwe rol installeren, die van de oude verwijderen	IT	Datum van de wissel	Applijst van het toestel
Doorstroom	Account	Nieuwe accounts aanmaken, oude accounts en adminrollen weghalen	IT of app-eigenaar	Datum van de wissel	Oude rollen weg, nieuwe aanwezig
Uitstroom	Binnen apps	Nieuwe eigenaar van bestanden, repo's en kanalen aanduiden en overdragen	Manager	Voor de laatste dag	Nieuwe eigenaar zichtbaar in de app
Uitstroom	Account	Identiteitsaccount schorsen, elke app deactiveren, tokens intrekken	IT	Einde laatste werkdag	Gebruikerslijst per app
Uitstroom	Laptop	Laptop terugnemen, vergrendelen of wissen	IT	Laatste dag	MDM-status

NIST SP 800-53 (controle PS-4) legt dezelfde lat voor vertrekkers: toegang binnen een vastgelegde termijn uitschakelen, inloggegevens intrekken en bedrijfsmateriaal terugnemen (NIST via csf.tools, gecontroleerd op 4 november 2026).

Waar loopt het mis?

Doorstromers houden oude toegang. De meeste processen voegen alleen toe. Na een paar wissels heeft iemand toegang tot drie teams. Behandel elke wissel als twee wijzigingen op dezelfde dag: de oude manager neemt weg, de nieuwe voegt toe.

Tijdelijke overlap. Heeft iemand de oude toegang nog een week nodig voor de overdracht, geef die toegang dan meteen een einddatum. Een verwijdering "na de overdracht" gebeurt meestal niet.

Freelancers en stagiairs. Leg de einddatum vast bij de start. Dan lopen de uitstroomstappen op die datum zonder dat iemand eraan moet denken.

Ontslag. Neem toegang weg op het moment dat de persoon het hoort. Begin met adminrollen, gedeelde logins en API-tokens.

De kolom Bewijs is wat een ISO 27001- of SOC 2-auditor vraagt. Een ticket op "klaar" bewijst dat een wijziging verstuurd is. Een gebruikerslijst uit de app bewijst dat ze gebeurd is.

Toegangsbeheer automatiseren

SCIM laat een identiteitsprovider (Google Workspace, Microsoft Entra of Okta) accounts aanmaken en deactiveren in apps die het ondersteunen, maar leveranciers verkopen het vaak alleen op hun duurste abonnement. Slack biedt SCIM op Business+ en Enterprise Grid (Slack help, gecontroleerd op 4 november 2026), Notion alleen op Enterprise (Notion help, gecontroleerd op 4 november 2026). SCIM stopt bij het account: het installeert geen apps op de laptop en verplaatst geen kanaallidmaatschappen. Welke apps buiten SCIM vallen, staat in SCIM provisioning and the apps without it.

Caspian start elke in-, door- en uitstroom vanuit het HR-systeem, voert de wijziging uit in elke app via API, SCIM of een controleerbaar browserscript, en leest de app nadien terug. Een mens keurt elke verwijdering goed. Caspian is geen identiteitsprovider: aanmelden blijft bij Google Workspace, Entra of Okta. Het kost €10 per actieve gebruiker per maand, exclusief btw. Start gratis.

Wat leest Caspian, en met welke rechten?

Caspian leest metadata en instellingen, geen inhoud. Het ziet welke apps er zijn, wie een account heeft, met welke rol, en in welke staat elke laptop is. Het leest geen bestanden, e-mails of chatberichten. Koppelingen zijn standaard alleen-lezen; schrijfrechten vraagt Caspian pas voor de stappen die je aanzet, zoals het account van een vertrekker verwijderen. Klantdata staat bij AWS in de EU (Frankfurt). In augustus 2026 voerde Workstreet een externe pentest uit.

Simon Mestdagh, oprichter van Caspian, schreef deze pagina. Wij bouwen Caspian, een van de tools op deze pagina.

Veelgestelde vragen

Wat is toegangsbeheer?

Het proces dat bepaalt wie welke apps, accounts en gedeelde bestanden mag gebruiken, en dat toegang geeft, aanpast en afneemt wanneer iemand in dienst komt, van rol verandert of vertrekt.

Hoe snel moet de toegang van een vertrekker weg?

Tegen het einde van de laatste werkdag. Bij ontslag op het moment dat de persoon het hoort.

Volstaat SCIM voor toegangsbeheer?

Gedeeltelijk. SCIM maakt accounts aan en deactiveert ze in apps die het ondersteunen op jouw abonnement. Het dekt geen apps zonder SCIM, de laptop of wat binnen elke app gedeeld is.