Aanbevelingen voor IAM in de Enterprise Architectuur

Identity & Access Management (IAM)

Onderdeel van

Thema's

Contact

Harro Kremer

harro.kremer@jio.nl

Status

Actueel

Inhoud IAM

• Wat is IAM?
• Visie op IAM
• Begrippen IAM
• Identiteitenbeheer
• Authenticatie(middelen)
• Bevoegdheden
• Machtigen
• Toegang verlenen
• Expertgroep IAM

Wat moet een overheidsorganisatie allemaal doen om Identity & Access Management goed toe te passen in haar dienstverlening en bedrijfsvoering?

Hieronder geven we handvatten voor een Enterprise Architect
Welke IAM-functies zijn nodig in de architectuur van jouw organisatie?
Wie bepaalt eigenlijk wanneer Identity & Access Management goed genoeg is geregeld?
En welke normen en waardenstelsels hanteer je daarbij?
Dat is deels nog een zoektocht !
Onze huidige inzichten zijn daartoe aangegeven.

IAM voor burgers en medewerkers

Traditioneel zijn er voor IAM twee soorten inrichtingen ontstaan. Eén voor de klantkant (burgers, bedrijven e.d.) en één voor de medewerkers van de organisaties die diensten verlenen aan de klanten. In de praktijk zien we dat de klanten steeds meer betrokken worden in de afhandeling of realisatie van een dienst. Dit zorgt ervoor dat klanten ook in de "backoffice systemen" toegang gaan krijgen.
Bij de overheid zie je deze tweedeling ook. Enerzijds het IAM voor de ambtenaren en anderzijds het IAM voor burgers en bedrijven. Doordat veel wet- en regelgeving in Nederland gericht is op de rollen van mensen, zoals ambtenaar of burger of ondernemer, kan IAM momenteel amper anders ingericht worden dan met zo'n tweedeling. Denk maar aan het gebruik van een BSN als unieke identificatie voor een burger bij contacten met de overheid: die BSN mag niet worden gebruikt voor identificatie van de ambtenaren en ook mogen private bedrijven die BSN niet gebruiken voor haar medewerkers.

Federatief IAM voor samenwerkende organisaties

Als een organisatie de genoemde aspecten van IAM heeft ingevoerd, dan is het mogelijk om de samenwerking met andere organisaties (waar ook ter wereld) vorm te geven via een federatie van IAM. Federatie heeft vaak voordelen t.o.v. fusies of andere verdergaande vormen van samenwerking, met name doordat de betrokken organisaties de eigen autonomie daarbij kunnen behouden.
Voor een Federatie is randvoorwaardelijk dat een vertrouwensrelatie wordt verkregen en behouden tussen de betrokken partijen. Generieke diensten (al dan niet geleverd door verschillende partijen), zoals van Identiteiten Service Providers (IsP's), Authenticatie Service Providers (AuthsP's), Autorisatie (AsP's) en Attribuut Service Providers (AttsP's), kunnen de werking van Federatief IAM sterk verbeteren.
Zie voor verdere uitleg: Patroon voor federatie van identity management

Ontwikkelingen waar IAM in de toekomst binnen moet passen

Bij het inrichten van IAM voor jouw organisatie is het goed om rekening te houden met Nationale en wereldwijde ontwikkelingen.
De Visie op IAM geeft daar inzicht in.

Normen en waarden voor IAM voor medewerkers

Identiteitenbeheer

1. Is zicht op alle uitgegeven digitale identiteiten i.r.t. de bijbehorende medewerkers (mensen van vlees en bloed)?
2. Is de Identiteitenregistratie actueel en volledig?
   1. bevat die alle doelgroepen (internen, externen, servicepersoneel, stagiairs)
   2. met een vastgestelde minimale persoonsgegevens-set
3. Verlopen de processen van in-, door- en uitstroom volgens de opzet (Monitoring en Audit)?
   1. uiterlijk 1e werkdag geregistreerd
   2. mogelijkheid tot tussentijdse inactivering en re-activering
   3. uiterlijk laatste werkdag op non-actief gesteld

Normen:
- ISO/IEC 24760-1:2019 Identity Management
- voor Rijksoverheid: Gemeenschappelijk_Normenkader_Rijksoverheidbreed_IdM (PDF, 361 kB)
- AVG

Authenticatie(middelen)beheer

1. Is zicht op welke authenticatiemiddelen mogen worden toegepast (beleid)?
   1. gebruikersnaam + wachtwoord
   2. tokens + pincode
2. Heeft iedere medewerker (identiteit) tenminste 1 van die authenticatiemiddelen?
3. Is Single-Sign-On zo maximaal mogelijk doorgevoerd? (zonder dat het leidt tot een te groot veiligheidsrisico)
4. Verlopen de processen van verstrekken en intrekken van authenticatiemiddelen volgens de opzet (Monitoring en Audit)?

Normen:
- ISO/IEC 29115:2013 Authenticatie raamwerk

Bevoegdhedenbeheer

1. Is zicht op welke medewerkers (identiteiten) welke bevoegdheden hebben?
   1. interne medewerkers
   2. externe medewerkers
2. En welk niveau van screening / bevoegdheid die medewerkers (identiteiten) hebben?
3. Is zicht op de (tijdelijke geldigheid van) bevoegdheden van die medewerkers (identiteiten)?
4. Verlopen de processen van verstrekken en intrekken van bevoegdheden volgens de opzet (Monitoring en Audit)?
   1. volledig geautomatiseerd en met RBAC / ABAC
   2. of handmatig bij specifiek verzoek

Normen:
- ISO/IEC 29146:2016 Access Management

Machtigen

1. Kunnen medewerkers elkaar machtigen om bepaalde acties / taken / functies uit te voeren? (met in achtname van functiescheiding)
2. Worden machtigingen ook weer tijdig ingetrokken?
3. Verlopen de processen van verstrekken en intrekken van machtigingen volgens de opzet (Monitoring en Audit)?
   1. volledig geautomatiseerd
   2. of handmatig bij specifiek verzoek

Normen:
- ISO/IEC 11889-1:2015 Trusted platform Architecture - vier delen - ISO/IEC 9594-8:2020 Public-key and attribute certificate frameworks

Toegang verlenen

1. Heeft iedereen tijdig toegang gekregen tot de juiste bedrijfsmiddelen?
2. Is zicht op de uitzonderingen die zijn geweest? (niet tijdige toegang of onterechte toegang, tijdelijke toegang)
3. Krijgen externe medewerkers -van leveranciers (service personeel) of partner-organisaties- via federatief IAM toegang? (of worden ze als “externe” medewerker opgevoerd in de Identiteitenregistratie?)
4. Krijgen eigen medewerkers bij andere organisaties toegang via Federatief IAM?
5. Verloopt het proces van toegang verlenen volledig geautomatiseerd en volgens de opzet?
6. Zijn er geen bijzonderheden bij Audit & Logging?

Normen:
- ISO/IEC 29146:2016 Access Management

NORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak.

Een beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen.

Alle belanghebbenden van overheidsdienstverlening in de ruimste zin van het woord.

Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.