Aanbevelingen voor IAM in de Enterprise Architectuur

Identity & Access Management (IAM)

Onderdeel van

Thema's

Contact

Harro Kremer

harro.kremer@jio.nl

Status

Actueel

Inhoud IAM

• Wat is IAM?
• Visie op IAM
• Begrippen IAM
• Identiteitenbeheer
• Authenticatie(middelen)
• Bevoegdheden
• Machtigen
• Toegang verlenen
• Expertgroep IAM

Wat moet een overheidsorganisatie allemaal doen om Identity & Access Management goed toe te passen in haar dienstverlening en bedrijfsvoering?

Hieronder geven we handvatten voor een Enterprise Architect
Welke IAM-functies zijn nodig in de architectuur van jouw organisatie?
Wie bepaalt eigenlijk wanneer Identity & Access Management goed genoeg is geregeld?
En welke normen en waardenstelsels hanteer je daarbij?

In het achterhoofd houden we daarbij vast aan de rol van de NORA: NORA levert een referentie architectuur en we proberen de onderstaande vragen vanuit de gebruiker daarbij steeds in acht te houden:

• 1. De referentiearchitectuur bevat een uitputtend overzicht van IAM objecten en hun relaties (in archimate) van toepassing binnen de NL overheid. (zie hiervoor de pagina Begrippen IAM)
• 2. Op basis van deze objecten zijn specifieke patroonuitwerkingen gemaakt voor generieke overheidsdiensten (zoals digid) en evt. ook de patronen om deze services inpasbaar te maken. Deze patronen zijn hierdoor (her)bruikbaar binnen de eigen architecturen van overheidsorganisaties (dimensies: Rijksoverheid, ZBO's, gemeenten, etc). (zie hiervoor de pagina Authenticatie(middelen)beheer
• 3. De referentie architectuur kent een eigen meta model toegepast voor de NORA waarin we ons bespreken in het gebruik van bepaalde objecten. De prioriteit ligt hier bij het gebruik van services en functies (in alle lagen), business processen en situationeel ook naar specifieke passieve en actieve structuur elementen. We blijven hier weg bij de architectuur van de 'constructie' (applicatie componenten, infrastructuur nodes, etc). N.B. ter verduidelijking: de huidige modellen bij de begrippenlijst op Nora online zijn voornamelijk objectmodellen (passieve structuur). Gedrag, actieve structuur elementen en uitwerkingen zijn niet gegeven (soms zie je wel een relatie naar dergelijke objecten). Het modelleren van services en functies op de applicatie en infra lagen helpt overheidsorganisaties bij marktconsultatie, verwervingen en realisatie.
• 4. De referentiearchitectuur bevat ondersteunende begrippen en toelichtingen ter verduidelijking van de opgenomen objecten, patronen en de toepassing daarvan.
• 5. Op basis van de IAM referentiearchitectuur is het mogelijk om synergie te bereiken in architecturen en wijze van vastlegging met oog op eventuele lange termijn doelen (denkrichting: GDI / compacte overheid, etc).
• 6. De referentie architectuur is als totaalmodel bruikbaar voor verschillende visualisaties en 'heatmaps' om bruikbaar te zijn voor huidige, toekomstige en streef-architecturen. Modellen zijn niet alleen 'gestold' beschikbaar' op noraonline maar ook in deelbare/herbruikare formaten (kan een puzzel zijn).

IAM binnen de totale NORA referentie architectuur op het niveau van Enterprise Architectuur, dat is deels nog een zoektocht !
Onze huidige inzichten zijn daartoe aangegeven.

IAM voor burgers en medewerkers

Traditioneel zijn er voor IAM twee soorten inrichtingen ontstaan. Eén voor de klantkant (burgers, bedrijven e.d.) en één voor de medewerkers van de organisaties die diensten verlenen aan de klanten. In de praktijk zien we dat de klanten steeds meer betrokken worden in de afhandeling of realisatie van een dienst. Dit zorgt ervoor dat klanten ook in de "backoffice systemen" toegang gaan krijgen.
Bij de overheid zie je deze tweedeling ook. Enerzijds het IAM voor de ambtenaren en anderzijds het IAM voor burgers en bedrijven. Doordat veel wet- en regelgeving in Nederland gericht is op de rollen van mensen, zoals ambtenaar of burger of ondernemer, kan IAM momenteel amper anders ingericht worden dan met zo'n tweedeling. Denk maar aan het gebruik van een BSN als unieke identificatie voor een burger bij contacten met de overheid: die BSN mag niet worden gebruikt voor identificatie van de ambtenaren en ook mogen private bedrijven die BSN niet gebruiken voor haar medewerkers.

Federatief IAM voor samenwerkende organisaties

Als een organisatie de genoemde aspecten van IAM heeft ingevoerd, dan is het mogelijk om de samenwerking met andere organisaties (waar ook ter wereld) vorm te geven via een federatie van IAM. Federatie heeft vaak voordelen t.o.v. fusies of andere verdergaande vormen van samenwerking, met name doordat de betrokken organisaties de eigen autonomie daarbij kunnen behouden.
Voor een Federatie is randvoorwaardelijk dat een vertrouwensrelatie wordt verkregen en behouden tussen de betrokken partijen. Generieke diensten (al dan niet geleverd door verschillende partijen), zoals van Identiteiten Service Providers (IsP's), Authenticatie Service Providers (AuthsP's), Autorisatie (AsP's) en Attribuut Service Providers (AttsP's), kunnen de werking van Federatief IAM sterk verbeteren.
Zie voor verdere uitleg: Patroon voor federatie van identity management

Ontwikkelingen waar IAM in de toekomst binnen moet passen

Bij het inrichten van IAM voor jouw organisatie is het goed om rekening te houden met Nationale en wereldwijde ontwikkelingen.
De Visie op IAM geeft daar inzicht in.

Normen en waarden voor IAM voor medewerkers

Identiteitenbeheer

1. Is zicht op alle uitgegeven digitale identiteiten i.r.t. de bijbehorende medewerkers (mensen van vlees en bloed)?
2. Is de Identiteitenregistratie actueel en volledig?
   1. bevat die alle doelgroepen (internen, externen, servicepersoneel, stagiairs)
   2. met een vastgestelde minimale persoonsgegevens-set
3. Verlopen de processen van in-, door- en uitstroom volgens de opzet (Monitoring en Audit)?
   1. uiterlijk 1e werkdag geregistreerd
   2. mogelijkheid tot tussentijdse inactivering en re-activering
   3. uiterlijk laatste werkdag op non-actief gesteld

Normen:
- ISO/IEC 24760-1:2019 Identity Management
- voor Rijksoverheid: Gemeenschappelijk_Normenkader_Rijksoverheidbreed_IdM (PDF, 361 kB)
- AVG

Authenticatie(middelen)beheer

1. Is zicht op welke authenticatiemiddelen mogen worden toegepast (beleid)?
   1. gebruikersnaam + wachtwoord
   2. tokens + pincode
2. Heeft iedere medewerker (identiteit) tenminste 1 van die authenticatiemiddelen?
3. Is Single-Sign-On zo maximaal mogelijk doorgevoerd? (zonder dat het leidt tot een te groot veiligheidsrisico)
4. Verlopen de processen van verstrekken en intrekken van authenticatiemiddelen volgens de opzet (Monitoring en Audit)?

Normen:
- ISO/IEC 29115:2013 Authenticatie raamwerk

Bevoegdhedenbeheer

1. Is zicht op welke medewerkers (identiteiten) welke bevoegdheden hebben?
   1. interne medewerkers
   2. externe medewerkers
2. En welk niveau van screening / bevoegdheid die medewerkers (identiteiten) hebben?
3. Is zicht op de (tijdelijke geldigheid van) bevoegdheden van die medewerkers (identiteiten)?
4. Verlopen de processen van verstrekken en intrekken van bevoegdheden volgens de opzet (Monitoring en Audit)?
   1. volledig geautomatiseerd en met RBAC / ABAC
   2. of handmatig bij specifiek verzoek

Normen:
- ISO/IEC 29146:2016 Access Management

Machtigen

1. Kunnen medewerkers elkaar machtigen om bepaalde acties / taken / functies uit te voeren? (met in achtname van functiescheiding)
2. Worden machtigingen ook weer tijdig ingetrokken?
3. Verlopen de processen van verstrekken en intrekken van machtigingen volgens de opzet (Monitoring en Audit)?
   1. volledig geautomatiseerd
   2. of handmatig bij specifiek verzoek

Normen:
- ISO/IEC 11889-1:2015 Trusted platform Architecture - vier delen - ISO/IEC 9594-8:2020 Public-key and attribute certificate frameworks

Toegang verlenen

1. Heeft iedereen tijdig toegang gekregen tot de juiste bedrijfsmiddelen?
2. Is zicht op de uitzonderingen die zijn geweest? (niet tijdige toegang of onterechte toegang, tijdelijke toegang)
3. Krijgen externe medewerkers -van leveranciers (service personeel) of partner-organisaties- via federatief IAM toegang? (of worden ze als “externe” medewerker opgevoerd in de Identiteitenregistratie?)
4. Krijgen eigen medewerkers bij andere organisaties toegang via Federatief IAM?
5. Verloopt het proces van toegang verlenen volledig geautomatiseerd en volgens de opzet?
6. Zijn er geen bijzonderheden bij Audit & Logging?

Normen:
- ISO/IEC 29146:2016 Access Management

NORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak.

Een beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen.

Nederlandse Overheid Referentie Architectuur.

Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem

Alle belanghebbenden van overheidsdienstverlening in de ruimste zin van het woord.

Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.