Mogen medewerkers gebruik maken van hun mobiel?

Veel toegangscontrolesystemen maken gebruik van pasjes en daar kleeft een zeker risico aan. Want hoe vaak komt het niet voor dat medewerkers dat pasje even zijn vergeten of zelfs niet meer kunnen vinden? De oplossing: een systeem waarbij je kunt inloggen met je mobiel. Zeer handig, maar heeft dat ook nadelen?

Door Peter Passenier / Foto: Shutterstock

Stel, je werkgever introduceert een nieuw beleid: medewerkers die ’s ochtends het pand betreden, loggen in met een mobiel, hun eigen mobiel. Bring Your Own Device luidt het motto, en oh ja, de nadruk ligt hier op het woord ‘own’, want telefoons van de zaak worden niet langer verstrekt.

Afschuiven van verantwoordelijkheid

Het klinkt modern, maar volgens informaticus en IT-jurist Arnoud Engelfriet is het buitengewoon onverstandig. ‘Dit past niet binnen de filosofie van Bring Your Own Device. Dit is gewoon afschuiven van je verantwoordelijkheid en dat werkt niet. Ten eerste heb je juridisch gezien geen poot om op te staan. Een werknemer kan gewoon iets zeggen als: ‘Het spijt me, ik heb geen mobiel.’ En zelfs als dat niet waar is, is het einde discussie, want je gaat er als werkgever nooit achter komen. Dus heb je maar één optie: die betreffende medewerker alsnog een toestel van de zaak aanbieden.’

Arnoud Engelfriet is informaticus en IT-jurist. Hij is gespecialiseerd in AI, data en software, op het snijvlak van ICT en recht, een onderwerp waar hij zich sinds 1993 mee bezighoudt. Hij schreef de boeken ICT en Recht en AI and Algorithms.

Hakken in het zand

Ook als de medewerkers niet met hun hakken in het zand gaan, ziet Engelfriet grote nadelen. ‘Werkzaken moeten door de werkgever worden aangeboden. Je neemt ook niet je eigen pen en papier mee naar kantoor. En als je daar wel toe wordt gedwongen, zie je een soort moral licensing. Dan gaan mensen ook wc-papier mee naar huis nemen. Of ze gaan dingen downloaden en kopiëren om de werkgever zakelijk op kosten te jagen. En als die werkgever vraagt om even iets in een winkel te kopen, doen ze de weekboodschappen er gewoon bij. Natuurlijk, dat mag niet, maar het komt omdat jij de werksfeer hebt verpest. En zo’n goede sfeer krijg je niet gemakkelijk meer terug.’

> LEES OOK: Hoogleraar Marc Schuilenburg: ‘Gezichtsherkenning enkel bij hoge uitzondering’

Basis van vrijwilligheid

Als je een dergelijk toegangscontrolesysteem instelt, moet het volgens Engelfriet gebaseerd zijn op vrijwilligheid: mensen moeten kunnen kiezen tussen hun eigen smartphone en een toestel van de zaak. Maar dan nog ziet hij risico’s. ‘Combineren van privé- en zakelijk gebruik op één toestel leidt vaak tot problemen op het gebied van de beheersbaarheid. Je hebt altijd mensen die nog gehecht zijn aan hun opa-Nokia uit 1995. De ene helft van de collega’s heeft een iPhone en de andere een Android en dat werkt dan niet goed samen. En jij probeert je mobile device management er op zes verschillende manieren doorheen te rammen en daar kom je gewoon niet goed uit.’

Gebrek aan controle

Dan hebben we het nog niet eens over het gebrek aan controle op de software. ‘Wat je soms hoort is dat kinderen er een raar spelletje op hebben gezet en dat ontpopt zich als een extreme dataslurper. Zo’n app kan maandenlang meekijken met het interne werkverkeer en al die data worden overgeheveld naar een ver buitenland. Zelfs als je daar op tijd achter komt, heb je als werkgever niet altijd genoeg controlemogelijkheden. Je kunt roepen dat de medewerker de app moet de-installeren, maar dat is niet zo makkelijk af te dwingen, want het is de telefoon van de werknemer.’

Mobiel van de zaak

Het is duidelijk: als een werkgever streeft naar een mobiel toegangscontrolesysteem, kan hij volgens Engelfriet het beste kiezen voor telefoons van de zaak.

‘Natuurlijk, dat is een investering, maar dan kun je gebruikmaken van MDM-software. Die zorgt ervoor dat de werknemer niet meer alles kan installeren; dat blijft beperkt tot de apps op het lijstje van de werkgever. Bijvoorbeeld Outlook, het CRM-systeem en de app van het werk. Als jij of je kinderen er toch spelletjes op willen zetten, krijg je een foutmelding. En dan sta je als werkgever in je recht, omdat het gaat om een werktelefoon.’

Praktische voordelen

Zo’n systeem, met een mobiel van de zaak, leidt volgens Engelfriet tot praktische voordelen. ‘Je pasje of je badge kun je snel vergeten; hij zit bijvoorbeeld in een jas die je nu niet aan hebt. Maar zo’n mobiel heb je echt altijd bij je en mensen raken hem maar zelden kwijt. En als ze hem toch verliezen, is er een mogelijkheid tot beheer op afstand. Je kunt het zo regelen dat alle data worden gewist. Bij pasjes of badges is dat onmogelijk, want die beschikken niet over een netwerkverbinding.’

Een ziekenhuis heeft heel andere bedreigingen dan een productiebedrijf

Opstellen risicoprofiel

Maar dat wil niet zeggen dat werkgevers onmiddellijk zo’n systeem moeten installeren. Volgens Engelfriet zit er een stap voor: het opstellen van een risicoprofiel. ‘Waar ligt een werkgever ’s nachts van wakker? Ben jij bijvoorbeeld kwetsbaar voor phishing of gaan ze eerder fysiek het magazijn leegroven? Daar moet je je toegangscontrolesysteem op aanpassen. En je begrijpt: die risicoprofielen verschillen per branche en organisatie. Een ziekenhuis ervaart heel andere bedreigingen dan een productiebedrijf, een kapper of een boekhouder.’

Geen inbreuk op privacy  medewerker

Als je die risico’s goed op je netvlies hebt, kun je je toegangscontrolesysteem ook veilig inrichten. ‘Begrijp me goed: inloggen met je mobiel, waarbij je telefoon een code geeft of via NFC een signaal afgeeft bij een poortje, dat is allemaal niet zo risicovol. Mits de app goed is uitgezocht en past bij de infrastructuur van het bedrijf. Maar toch: het systeem werkt alleen als de belangen van de medewerkers worden gerespecteerd en de veiligheid wordt gewaarborgd. Zonder inbreuk te maken op de privésfeer van de medewerker.’

Volg Security Management op LinkedIn