Orphaned Accounts (verweesde accounts)

Orphaned Accounts (verweesde accounts) zijn gebruikers- of technische accounts waaraan geen verantwoordelijke eigenaar meer is gekoppeld, maar die nog actief zijn en toegang toestaan. Ze ontstaan doorgaans na uitdiensttreding, functiewisselingen, reorganisaties of migraties, en bij technische accounts die zonder gedocumenteerde verantwoordelijkheid zijn aangemaakt.

Nauw verwant zijn dormant accounts (inactieve accounts), die gedurende een vastgelegde periode niet zijn gebruikt maar actief zijn gebleven. Bij een inactief account is de eigenaar meestal nog bekend, bij een verweesd account ontbreekt elke koppeling. Beide accounttypen zijn aantrekkelijk voor aanvallers, omdat misbruikte aanmeldingen daar minder snel opvallen. Bijzonder kritiek zijn ze wanneer beheer- of geprivilegieerde rechten bestaan, en bij technische accounts waarvan de inloggegevens vaak nooit zijn gewijzigd.

Tegenmaatregelen grijpen op meerdere plekken aan: geautomatiseerde processen in Identity Lifecycle Management voorkomen dat accounts na uitdiensttreding blijven bestaan, een regelmatige Access Review brengt overgebleven accounts aan het licht en inactiviteitsregels deactiveren ongebruikte toegangen na vastgelegde termijnen. Voor technische accounts gelden daarbij meestal eigen drempelwaarden. Het opschonen van verweesde en inactieve accounts is een fundamenteel onderdeel van Identity Security.