Hoe veilig is een ATS?

Een ATS kan goed beveiligd zijn, maar geen enkel recruitmentsysteem is volledig veilig. De beveiliging hangt af van de techniek van de leverancier, de hosting, koppelingen en de manier waarop de organisatie het systeem inricht. Belangrijke maatregelen zijn multifactorauthenticatie, beperkte gebruikersrechten, versleuteling, logging, back-ups en een duidelijk incidentproces. Controleer daarnaast hoe de leverancier beveiligingsupdates uitvoert, welke andere partijen toegang hebben tot data en wat er gebeurt wanneer het systeem uitvalt.

Inleiding

Een ATS bevat cv’s, contactgegevens, beoordelingen, e-mails en soms salaris- of identiteitsgegevens. Dat maakt recruitmentsoftware interessant voor cybercriminelen. Veiligheid moet daarom al tijdens de ATS-selectie worden onderzocht. Een leverancier kan sterke technische beveiliging bieden, maar verkeerde toegangsrechten, onveilige koppelingen of onvoldoende beheer kunnen alsnog risico’s veroorzaken.

Waarom is beveiliging bij een ATS belangrijk?

Recruitmentdata is aantrekkelijk omdat één systeem informatie over grote aantallen mensen bevat. RecruitmentTech beschreef in 2026 meerdere beveiligingsincidenten binnen de recruitmentsector en concludeerde dat recruitmentplatforms door hun grote hoeveelheid persoonsgegevens een interessant doelwit zijn.

De gevolgen van een incident kunnen verder gaan dan het uitlekken van cv’s. Aanvallers kunnen bijvoorbeeld accounts misbruiken voor phishing, gegevens aanpassen of recruitmentprocessen verstoren. Ook tijdelijke uitval kan problemen veroorzaken wanneer sollicitaties, vacatures en kandidaatcommunicatie volledig afhankelijk zijn van het ATS.

Hoe beschermt een veilig ATS gebruikersaccounts?

Een account is een belangrijke toegangspoort tot kandidaatdata. Alleen een gebruikersnaam en wachtwoord bieden daarom onvoldoende bescherming voor een systeem met gevoelige informatie.

Een modern ATS moet bij voorkeur ondersteuning bieden voor:

multifactorauthenticatie;
Single Sign-On via de organisatie;
sterke wachtwoordregels;
automatische blokkering van verdachte toegang;
het snel intrekken van accounts;
rollen en rechten per type gebruiker.

RecruitmentTech noemt aanvullende accountbeveiliging en beperkte gebruikersrechten als belangrijke securityfuncties. Vooral bij hiring managers is dit relevant. Zij hoeven meestal alleen kandidaten te bekijken die bij hun eigen vacatures horen en niet de volledige kandidatendatabase.

Zijn gegevens in een ATS versleuteld?

Versleuteling zorgt ervoor dat gegevens niet eenvoudig leesbaar zijn wanneer iemand ongeautoriseerd toegang krijgt tot de verbinding of opslag. Controleer of gegevens zowel tijdens verzending als bij opslag worden beschermd.

Vraag daarbij niet alleen of de leverancier encryptie gebruikt, maar ook waar deze wordt toegepast. Het ATS kan zelf goed beveiligd zijn terwijl bestanden via een onveilige koppeling, export of e-mail alsnog buiten de beschermde omgeving terechtkomen.

Beveiliging stopt daarom niet bij de database. Ook documenten, API-koppelingen, mobiele toegang, back-ups en gegevensuitwisseling met andere recruitmentsoftware moeten worden meegenomen.

Hoe belangrijk zijn gebruikersrechten?

Een veelvoorkomend veiligheidsrisico ontstaat doordat medewerkers meer toegang krijgen dan noodzakelijk. Een recruiter heeft andere rechten nodig dan een hiring manager, externe recruiter, systeembeheerder of leverancier.

Werk daarom volgens het principe van minimale toegang. Gebruikers krijgen alleen rechten die nodig zijn voor hun werkzaamheden. Trek accounts bovendien direct in wanneer iemand uit dienst gaat of een project eindigt.

Controleer tijdens een ATS-demo of rechten gedetailleerd kunnen worden ingesteld. Een systeem waarin alleen onderscheid bestaat tussen een gewone gebruiker en beheerder kan voor grotere organisaties te beperkt zijn.

Waarom is logging belangrijk?

Logging registreert welke gebruiker een bepaalde handeling uitvoert. Denk aan inloggen, gegevens bekijken, kandidaatprofielen aanpassen, exports maken of instellingen wijzigen.

Deze informatie is belangrijk bij onderzoek naar een beveiligingsincident. Wanneer bijvoorbeeld een groot aantal cv’s is geëxporteerd, moet de organisatie kunnen achterhalen welk account daarvoor is gebruikt en wanneer dat gebeurde.

Vraag daarom hoe lang loggegevens beschikbaar blijven en welke gebeurtenissen worden vastgelegd. Controleer ook wie de logs kan bekijken en of de leverancier afwijkend gedrag automatisch kan signaleren.

Hoe veilig is een ATS in de cloud?

De meeste moderne ATS’en worden als clouddienst aangeboden. Dat hoeft niet minder veilig te zijn dan software op eigen servers. Wel wordt de organisatie afhankelijker van de beveiliging en beschikbaarheid van de leverancier.

Het Nationaal Cyber Security Centrum adviseert organisaties bij cloudgebruik aandacht te besteden aan beschikbaarheid, integriteit en vertrouwelijkheid. Maak daarom afspraken over beveiliging, incidenten, herstel en toegang tot gegevens.

Vraag een ATS-leverancier onder meer:

waar de gegevens worden gehost;
welke cloudleveranciers worden gebruikt;
hoe de omgeving wordt beveiligd;
hoe snel kwetsbaarheden worden opgelost;
hoe uitval wordt opgevangen;
hoe gegevens kunnen worden teruggekregen bij beëindiging van het contract.

Wat betekenen koppelingen voor de beveiliging?

Een ATS werkt vaak samen met een werken-bij-site, HR-systeem, agenda, assessmentplatform, jobboards en andere toepassingen. Iedere verbinding vormt een extra toegangspunt tot gegevens.

Breng daarom in kaart welke informatie via iedere koppeling wordt uitgewisseld. Een integratie hoeft bijvoorbeeld niet automatisch toegang te krijgen tot alle kandidaatvelden wanneer alleen naam, vacature en processtatus nodig zijn.

Controleer ook welke externe leveranciers bij de gegevensverwerking betrokken zijn. Het NCSC benadrukt dat leveranciers onderdeel zijn van de digitale keten en adviseert organisaties om digitale weerbaarheid mee te nemen in het inkoopproces.

Zijn back-ups voldoende?

Een leverancier moet gegevens kunnen herstellen na een storing, menselijke fout of cyberaanval. Alleen zeggen dat er back-ups worden gemaakt is daarom niet voldoende. Belangrijk is ook of herstel daadwerkelijk wordt getest.

Vraag hoe vaak back-ups worden gemaakt, hoelang deze worden bewaard en hoe snel het ATS na een ernstig incident weer beschikbaar kan zijn. Controleer daarnaast of back-ups voldoende zijn afgeschermd van de productieomgeving. Bij ransomware kan een back-up die via dezelfde omgeving bereikbaar is namelijk ook worden getroffen.

Hoe beoordeel je de beveiliging van een ATS-leverancier?

Certificeringen zoals ISO 27001 kunnen helpen om te beoordelen of een leverancier informatiebeveiliging structureel heeft ingericht. Een certificaat is echter geen garantie dat een ATS nooit wordt gehackt. Vraag welke diensten en locaties binnen de certificering vallen en wanneer de laatste externe controle heeft plaatsgevonden.

Laat bij grotere of risicovolle implementaties ook IT en informatiebeveiliging aansluiten bij de selectie. Zij kunnen technische documentatie, auditrapporten en contractuele afspraken beoordelen.

Wat gebeurt er bij een beveiligingsincident?

Zelfs bij sterke beveiliging kan een incident plaatsvinden. Daarom is de reactie van de leverancier minstens zo belangrijk als preventie. De Autoriteit Persoonsgegevens adviseert organisaties om bij een datalek snel overzicht te krijgen, het lek te stoppen, risico’s te beoordelen en vast te stellen of melding noodzakelijk is.

Maak vooraf afspraken over wie contact opneemt, binnen welke termijn de leverancier een incident meldt en welke informatie wordt verstrekt. Zonder goede logging en communicatie is moeilijk vast te stellen welke kandidaten en gegevens zijn getroffen.

Praktijkvoorbeeld

Een organisatie selecteert een nieuw ATS. De leverancier gebruikt encryptie en heeft een beveiligingscertificering. Tijdens de technische beoordeling blijkt echter dat hiring managers standaard toegang krijgen tot alle kandidaatprofielen en dat multifactorauthenticatie niet verplicht is ingesteld.

Voor de ingebruikname past de organisatie de rechten aan, activeert MFA en koppelt accounts aan Single Sign-On. Ook worden afspraken gemaakt over incidentmeldingen, back-ups en het verwijderen van accounts van vertrokken medewerkers. Het systeem zelf verandert nauwelijks, maar de uiteindelijke beveiliging wordt aanzienlijk sterker door een betere inrichting.

Checklist: hoe veilig is je ATS?

Ondersteunt het ATS multifactorauthenticatie en Single Sign-On?
Kunnen gebruikersrechten nauwkeurig worden ingesteld?
Zijn gegevens tijdens verzending en opslag versleuteld?
Worden belangrijke gebruikersactiviteiten gelogd?
Zijn beveiligingsupdates en kwetsbaarheden goed geregeld?
Worden back-ups gemaakt én regelmatig getest?
Zijn alle koppelingen en externe leveranciers in kaart gebracht?
Zijn afspraken gemaakt over beveiligingsincidenten en datalekken?
Kan de organisatie gegevens exporteren wanneer de dienstverlening stopt?
Wordt de beveiliging periodiek opnieuw beoordeeld?

Veelgestelde vragen

Kan een ATS volledig veilig zijn?

Nee. Geen enkel informatiesysteem is volledig vrij van risico. Goede beveiliging verkleint de kans op incidenten en beperkt de gevolgen wanneer er toch iets misgaat.

Is een ATS in de cloud veilig?

Dat kan. De veiligheid hangt af van de beveiligingsmaatregelen van de ATS- en cloudleverancier, de gekozen instellingen en afspraken over toegang, back-ups en incidenten.

Is ISO 27001 voldoende om een ATS veilig te noemen?

Nee. Een ISO 27001-certificering is een relevant signaal dat informatiebeveiliging structureel wordt beheerd, maar organisaties moeten ook de technische functies, inrichting, leveranciersketen en eigen werkwijze beoordelen.

Wie is verantwoordelijk voor de beveiliging van het ATS?

Zowel leverancier als klant hebben een rol. De leverancier beveiligt de technische dienstverlening. De organisatie is onder meer verantwoordelijk voor gebruikersrechten, accounts, koppelingen, interne processen en veilig gebruik.