Klantgegevens beveilig je binnen een accountantskantoor door toegangsbeheer in te richten op basis van rollen, software te kiezen die voldoet aan AVG-vereisten en ISO-certificeringen, en processen te standaardiseren voor het omgaan met gevoelige dossiers. Accountantskantoren verwerken financiële, fiscale en persoonlijke gegevens van honderden klanten tegelijk, wat hen tot een aantrekkelijk doelwit maakt voor cybercriminelen en datalekken. De vragen hieronder geven je per onderdeel een concreet antwoord op hoe je beveiliging goed inricht.
Welke klantgegevens zijn het meest kwetsbaar bij accountantskantoren?
De meest kwetsbare klantgegevens bij accountantskantoren zijn financiële overzichten, belastingaangiften, BSN-nummers, jaarrekeningen en gegevens over bedrijfsstructuren. Deze informatie is gevoelig omdat ze zowel privacygevoelig als commercieel waardevol is en bij misbruik directe financiële of reputatieschade oplevert voor jouw klanten.
Naast financiële gegevens verwerken accountantskantoren ook persoonsgegevens van directeuren, aandeelhouders en medewerkers van klantorganisaties. Denk aan salarisgegevens, identiteitsbewijzen voor Wwft-controles en contactgegevens. Al deze informatie valt onder de AVG en vereist passende technische en organisatorische maatregelen.
Wat het risico vergroot, is dat veel kantoren deze gegevens verspreid bewaren: in e-mailbijlagen, lokale schijven, Excel-bestanden en losse cloudomgevingen. Hoe meer verspreiding, hoe groter de kans dat gegevens in de verkeerde handen vallen. Een centrale, beveiligde omgeving voor klantdossiers beperkt dit risico aanzienlijk.
Welke AVG-verplichtingen gelden specifiek voor accountantskantoren?
Accountantskantoren zijn verplicht om als verwerkingsverantwoordelijke een verwerkingsregister bij te houden, een bewaarbeleid te hanteren en klanten te informeren over hoe hun gegevens worden gebruikt. Bij het inschakelen van softwareleveranciers of andere partijen die persoonsgegevens verwerken, moeten kantoren een verwerkersovereenkomst afsluiten.
Specifiek voor accountantskantoren gelden ook verplichtingen rondom de Wwft: klantidentificatie en het bewaren van verificatiedocumenten voor minimaal vijf jaar. Dit raakt direct aan de manier waarop je klantgegevens opslaat en toegankelijk maakt binnen je organisatie.
Praktisch betekent dit dat je minimaal het volgende geregeld moet hebben:
- Verwerkingsregister met alle categorieën persoonsgegevens, doeleinden en bewaartermijnen
- Verwerkersovereenkomsten met alle softwareleveranciers en externe dienstverleners
- Privacyverklaring die klanten informeert over gegevensgebruik
- Datalekprocedure waarmee je binnen 72 uur een lek kunt melden bij de Autoriteit Persoonsgegevens
- Bewaartermijnenbeleid dat aansluit op wettelijke vereisten per gegevenstype
Hoe richt je toegangsbeheer in voor gevoelige klantdossiers?
Toegangsbeheer richt je in op basis van het principe van minimale toegang: medewerkers krijgen alleen toegang tot de klantgegevens die ze nodig hebben voor hun werk. Dit beperk je door rollen en rechten toe te wijzen op basis van functie, niet op basis van individuele verzoeken.
Een werkbare aanpak bestaat uit drie lagen:
- Rolgebaseerde toegang: definieer rollen zoals accountmanager, medewerker loonadministratie en directie, en koppel daar specifieke rechten aan.
- Tweefactorauthenticatie (2FA): verplicht voor iedereen die toegang heeft tot klantdossiers, zeker bij werken op afstand.
- Logging en auditing: houd bij wie wanneer welke gegevens heeft ingezien of gewijzigd. Dit is zowel nuttig voor interne controle als bij een eventueel datalek.
Zorg er ook voor dat toegangsrechten actief worden ingetrokken bij uitdiensttreding of functiewijziging. Dit klinkt vanzelfsprekend, maar in de praktijk blijft dit regelmatig liggen, zeker bij drukte of groei.
Voor accountantskantoren die werken met Fortes CRM geldt dat klantdossiers, contactpersonen en gerelateerde informatie centraal worden beheerd in één omgeving. Dat maakt het eenvoudiger om toegangsrechten consistent in te richten en te controleren, in plaats van gegevens verspreid over meerdere systemen te beheren.
Wat zijn de grootste beveiligingsrisico’s voor accountantssoftware?
De grootste beveiligingsrisico’s voor accountantssoftware zijn phishing, zwakke wachtwoorden, verouderde software zonder beveiligingsupdates en onbeveiligde integraties met andere systemen. Phishing is verantwoordelijk voor een groot deel van de succesvolle aanvallen op kantoren, omdat medewerkers dagelijks veel e-mailverkeer verwerken en urgente berichten snel openen.
Andere risico’s die specifiek spelen bij accountantssoftware:
- Onbeveiligde API-koppelingen tussen systemen zoals boekhoudsoftware, documentbeheer en planningstools
- Cloudopslag zonder encryptie of met gedeelde inloggegevens
- Lokale opslag van klantbestanden op laptops zonder versleuteling
- Gebrek aan bewustwording bij medewerkers over social engineering en phishing
Het risico wordt groter wanneer een kantoor met meerdere losstaande systemen werkt. Elke koppeling is een potentieel kwetsbaar punt. Hoe minder systemen je combineert, hoe kleiner het aanvalsoppervlak.
Hoe voorkom je een datalek bij een fusie of kantooruitbreiding?
Bij een fusie of kantooruitbreiding voorkom je een datalek door vooraf een gegevensaudit uit te voeren, duidelijke afspraken te maken over welke systemen worden samengevoegd en toegangsrechten direct opnieuw in te richten voor de nieuwe situatie. De periode rondom een fusie is extra risicovol omdat systemen tijdelijk naast elkaar draaien en verantwoordelijkheden onduidelijk kunnen zijn.
Concrete stappen die je helpen:
- Breng in kaart welke systemen beide kantoren gebruiken en welke klantgegevens daarin zitten
- Sluit nieuwe verwerkersovereenkomsten af voor systemen die je na de fusie blijft gebruiken
- Richt toegangsrechten opnieuw in op basis van de nieuwe organisatiestructuur
- Communiceer intern wie verantwoordelijk is voor gegevensbeheer tijdens de transitie
- Test of alle beveiligingsmaatregelen ook na de migratie correct werken
Een veelgemaakte fout is dat medewerkers van het overgenomen kantoor tijdelijk toegang krijgen tot alle systemen van het nieuwe kantoor, zonder dat rechten specifiek zijn ingesteld. Dit vergroot het risico op onbedoelde toegang of verlies van gegevens aanzienlijk.
Welke certificeringen moet je controleren bij een softwareleverancier?
Bij een softwareleverancier controleer je minimaal op ISO 27001-certificering, omdat dit aantoont dat de leverancier een formeel managementsysteem voor informatiebeveiliging heeft ingericht en laat auditen. Voor leveranciers die ook zorggegevens verwerken, is NEN 7510 de relevante aanvullende norm.
Naast certificeringen zijn de volgende punten relevant om te controleren:
- ISO 27001: internationaal erkende norm voor informatiebeveiliging
- NEN 7510: specifiek voor informatiebeveiliging in de zorg, maar ook relevant als je zorgklanten bedient
- AVG-conformiteit: vraag naar de verwerkersovereenkomst en het privacybeleid van de leverancier
- Dataopslag binnen de EU: zorg dat klantgegevens niet buiten de Europese Economische Ruimte worden opgeslagen zonder aanvullende waarborgen
- Penetratietesten: vraag of de leverancier regelmatig externe beveiligingstests laat uitvoeren
Een certificering is geen garantie, maar wel een betrouwbare indicator dat een leverancier beveiliging serieus neemt en zich laat controleren door een onafhankelijke partij.
Hoe Fortes Milestones helpt met het beveiligen van klantgegevens
Wij begrijpen dat accountantskantoren dagelijks omgaan met gevoelige klantgegevens en daar verantwoordelijkheid voor dragen. Fortes Milestones is ISO 27001- en NEN 7510-gecertificeerd, wat betekent dat informatiebeveiliging en privacy structureel geborgd zijn in onze werkprocessen en infrastructuur. Je kunt bij ons een verwerkersovereenkomst afsluiten en onze dataopslag voldoet aan Europese privacyvereisten.
Wat Fortes Milestones concreet biedt voor accountantskantoren:
- Centraal klantbeheer in één beveiligde omgeving, zodat klantgegevens niet verspreid staan over losse systemen
- Rolgebaseerde toegangsrechten waarmee je per medewerker instelt welke informatie toegankelijk is
- Integraties met bestaande software via beveiligde koppelingen, zodat je geen gegevens handmatig hoeft over te zetten
- Eén actuele bron van klantdata voor het hele kantoor, inclusief bij groei of fusies
- Ondersteuning bij implementatie, zodat je niet alleen staat bij het inrichten van een veilige werkomgeving
Wil je zien hoe dit er in de praktijk uitziet voor jouw kantoor? Bekijk dan onze oplossing voor accountantskantoren of vraag een persoonlijke demo aan. Heb je vragen over beveiliging, certificeringen of een verwerkersovereenkomst? Neem contact met ons op en we denken graag met je mee.
