Aanbevelingen voor IAM in de Enterprise Architectuur

Identity & Access Management (IAM)

Onderdeel van

Thema's

Contact

Harro Kremer

harro.kremer@jio.nl

Status

Actueel

Inhoud IAM

• Wat is IAM?
• Visie op IAM
• Begrippen IAM
• Identiteitenbeheer
• Authenticatie(middelen)
• Bevoegdheden
• Machtigen
• Toegang verlenen
• Expertgroep IAM

Wat moet een overheidsorganisatie allemaal doen om Identity & Access Management goed toe te passen in haar dienstverlening en bedrijfsvoering?

Hieronder geven we handvatten voor een Enterprise Architect
Welke IAM-functies zijn nodig in de architectuur van jouw organisatie?
Wie bepaalt eigenlijk wanneer Identity & Access Management goed genoeg is geregeld?
En welke normen en waardenstelsels hanteer je daarbij?
Dat is deels nog een zoektocht !
Onze huidige inzichten zijn daartoe aangegeven.

IAM voor burgers en medewerkers

Traditioneel zijn er voor IAM twee soorten inrichtingen ontstaan. Eén voor de klantkant (burgers, bedrijven e.d.) en één voor de medewerkers van de organisaties die diensten verlenen aan de klanten. In de praktijk zien we dat de klanten steeds meer betrokken worden in de afhandeling of realisatie van een dienst. Dit zorgt ervoor dat klanten ook in de "backoffice systemen" toegang gaan krijgen.
Bij de overheid zie je deze tweedeling ook. Enerzijds het IAM voor de ambtenaren en anderzijds het IAM voor burgers en bedrijven. Doordat veel wet- en regelgeving in Nederland gericht is op de rollen van mensen, zoals ambtenaar of burger of ondernemer, kan IAM momenteel amper anders ingericht worden dan met zo'n tweedeling. Denk maar aan het gebruik van een BSN als unieke identificatie voor een burger bij contacten met de overheid: die BSN mag niet worden gebruikt voor identificatie van de ambtenaren en ook mogen private bedrijven die BSN niet gebruiken voor haar medewerkers.

Federatief IAM voor samenwerkende organisaties

Als een organisatie de genoemde aspecten van IAM heeft ingevoerd, dan is het mogelijk om de samenwerking met andere organisaties (waar ook ter wereld) vorm te geven via een federatie van IAM. Federatie heeft vaak voordelen t.o.v. fusies of andere verdergaande vormen van samenwerking, met name doordat de betrokken organisaties de eigen autonomie daarbij kunnen behouden.
Voor een Federatie is randvoorwaardelijk dat een vertrouwensrelatie wordt verkregen en behouden tussen de betrokken partijen. Generieke diensten (al dan niet geleverd door verschillende partijen), zoals van Identiteiten Service Providers (IsP's), Authenticatie Service Providers (AuthsP's), Autorisatie (AsP's) en Attribuut Service Providers (AttsP's), kunnen de werking van Federatief IAM sterk verbeteren.
Zie voor verdere uitleg: Patroon voor federatie van identity management

Ontwikkelingen waar IAM in de toekomst binnen moet passen

Bij het inrichten van IAM voor jouw organisatie is het goed om rekening te houden met ontwikkelingen die zich wereldwijd afspelen. Het internet houdt immers niet op bij de Nederlandse grens.

Er is een wereldwijd stelsel van afspraken waarbij Nationale paspoorten en andere formele reisdocumenten de wereldburgers in staat stellen zich vrij te bewegen over onze planeet. Willen we vertrouwen kunnen hebben in de digitale identiteiten, dan zullen we ook zo’n soort afsprakenstelsel moeten hebben voor de digitale reizen die we elke dag maken. Anders zullen ondernemers en landen niet op voorhand vertrouwen op die digitale identiteiten (je weet dan immers niet zeker met wie je te maken hebt) en gaan dan extra eigen digitale identiteiten uitgeven die ze zelf wel vertrouwen. Dat is echter omslachtig en zorgt voor het risico dat de burgers te veel digitale identiteiten krijgen, met alle risico’s en gevolgen van dien.

Stel je dan eens voor:

• dat geregeld zou zijn dat iedere Nederlander tenminste één digitale identiteit heeft (het kunnen er dus ook meer zijn) die zodanig betrouwbaar is, dat die daarmee over de gehele wereld, en dus ook in Nederland, digitale diensten van overheden -en zo mogelijk ook van private partijen- kan afnemen;
• dat geregeld zou zijn dat bij die elektronische identiteit ook 1 of meer authenticatie-middelen beschikbaar zijn waarmee door alle betrokken partijen kan worden geverifieerd of degene die zegt een bepaald iemand te zijn dat ook daadwerkelijk is;
• dat geregeld zou zijn dat van elk van die middelen is vastgesteld welke mate van zekerheid dan bestaat dat die bewering juist is;
• dat geregeld zou zijn dat er (inter)nationale autorisatie- en machtigingenvoorzieningen beschikbaar zijn die mogen worden gebruikt door zowel publieke als private organisaties;

Als dat allemaal zou zijn geregeld, dan kan elke dienstaanbieder die voor zijn elektronische dienst heeft bepaald met welke zekerheid de identiteit van de dienstafnemer bekend moet zijn, hergebruik (laten) maken van de beschreven IAM-voorzieningen.
En indien de afnemer van de dienst aan de gestelde eisen voldoet, kan de dienst worden geleverd c.q. afgenomen. In de praktijk zijn we echter nog niet zo ver.

En toch denken we al aan een stap verder ...
Wereldwijd zien we een ontwikkeling waarbij gegevens niet meer worden gekopieerd van de ene plek (lees: registratie of database) naar de andere plek, maar waar op basis van het stellen van vragen ("Is deze persoon ouder dan 18 jaar?") een antwoord wordt gegeven (ja, nee) waarmee een dienstveerlener kan besluiten om een dienst wel of juist niet te leveren. We zien daarbij een stelsel ontstaan van zogenaamde Attribute Service Providers, waar alle gegevens- en informatie-uitwisseling voor de dienstverlening mee kan worden geregeld.
Het lijkt mogelijk dat de attributen die relevant zijn voor IAM straks onderdeel worden van dat stelsel.

Een paar voorbeelden van initiatieven die gebaseerd zijn op deze visie zijn:

• IRMA
• SSI
• DigitalMe

Noot: Het streefbeeld dat we hierboven hebben neergezet lijkt voor sommigen een koele analytische vaststelling, waarbij mogelijk te lichtzinnig over maatschappelijke en morele zaken wordt heengestapt. Zo zijn geen voorbeelden opgenomen van wat mis kan gaan e.d. Denk bijvoorbeeld aan identiteitsfraude, tweedeling in de samenleving door het wel of niet hebben van een formele registratie van een Nederlandse identiteit, of (politieke) misbruik van het systeem van de overheid.
Het is niet de intentie om een koele analytische vaststelling weer te geven, maar juist een pragmatisch beeld wat we als Nederlandse burgers zouden kunnen wensen. Ethiek en risico's zijn daarbij aspecten die altijd belichting nodig hebben.

Momenteel hebben we nog beperkt zicht op welke streefbeelden bestaan bij de overheidsorganisaties. Daarnaast is er vrijwel geen zicht op het groeipad dat die overheidsorganisatie willen volgen om hun streefbeeld te realiseren en ook niet welke kaders en voorzieningen zij daarbij hanteren.
Het verkrijgen van zicht op de benodigde eisen, normen, richtlijnen of producten is daarom onderdeel van deze ontwikkeling in de NORA.

Identiteitenbeheer

1. Is zicht op alle uitgegeven digitale identiteiten i.r.t. de bijbehorende medewerkers (mensen van vlees en bloed)?
2. Is de Identiteitenregistratie actueel en volledig?
   1. bevat die alle doelgroepen (internen, externen, servicepersoneel, stagiairs)
   2. met een vastgestelde minimale persoonsgegevens-set
3. Verlopen de processen van in-, door- en uitstroom volgens de opzet (Monitoring en Audit)?
   1. uiterlijk 1e werkdag geregistreerd
   2. mogelijkheid tot tussentijdse inactivering en re-activering
   3. uiterlijk laatste werkdag op non-actief gesteld

Normen:
- ISO 24760 IM (Identity Management)
- voor Rijksoverheid: Gemeenschappelijk_Normenkader_Rijksoverheidbreed_IdM (PDF, 361 kB)
- AVG

Authenticatie(middelen)beheer

1. Is zicht op welke authenticatiemiddelen mogen worden toegepast (beleid)?
   1. gebruikersnaam + wachtwoord
   2. tokens + pincode
2. Heeft iedere medewerker (identiteit) tenminste 1 van die authenticatiemiddelen?
3. Is Single-Sign-On zo maximaal mogelijk doorgevoerd? (zonder dat het leidt tot een te groot veiligheidsrisico)
4. Verlopen de processen van verstrekken en intrekken van authenticatiemiddelen volgens de opzet (Monitoring en Audit)?

Normen:
- ?

Bevoegdhedenbeheer

1. Is zicht op welke medewerkers (identiteiten) welke bevoegdheden hebben?
   1. interne medewerkers
   2. externe medewerkers
2. En welk niveau van screening / bevoegdheid die medewerkers (identiteiten) hebben?
3. Is zicht op de (tijdelijke geldigheid van) bevoegdheden van die medewerkers (identiteiten)?
4. Verlopen de processen van verstrekken en intrekken van bevoegdheden volgens de opzet (Monitoring en Audit)?
   1. volledig geautomatiseerd en met RBAC / ABAC
   2. of handmatig bij specifiek verzoek

Normen:
- ISO 29146 AM (Access Management)

Machtigen

1. Kunnen medewerkers elkaar machtigen om bepaalde acties / taken / functies uit te voeren? (met in achtname van functiescheiding)
2. Worden machtigingen ook weer tijdig ingetrokken?
3. Verlopen de processen van verstrekken en intrekken van machtigingen volgens de opzet (Monitoring en Audit)?
   1. volledig geautomatiseerd
   2. of handmatig bij specifiek verzoek

Normen:
- ?

Toegang verlenen

1. Zijn er geen bijzonderheden bij Audit & Logging?

Normen:
- ?

NORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak.

Een beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen.

Alle belanghebbenden van overheidsdienstverlening in de ruimste zin van het woord.

Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.

Het proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen

De persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn.

Nederlandse Overheid Referentie Architectuur.