Bevoegdhedenbeheer

Deze pagina wordt beheerd door de Expertgroep IAM. In 2018 onderzoekt de expertgroep vier deelonderwerpen om (implementatie-)vraagstukken en mogelijke oplossingen in kaart te brengen, kennis te delen en elkaar te ondersteunen. Uiteindelijk leidt dit hopelijk tot architectuuroplossingen. De deelonderwerpen zijn Identity & Access Management (IAM), Identiteitenbeheer, Authenticatie(middelen)beheer, Impact eIDAS voor Nederland, Bevoegdhedenbeheer en Toegang verlenen.

Status, versie en auteurs Dit is een 1e overzicht van de informatie en vindplaatsen die wij - als leden van de werkgroep - relevant achten. Contactpersoon: Ben Binnendijk Mail: b.binnendijk@dji.minjus.nl Versie: 9 september 2018 Bijdragen door: Wim Geurts (Logius) Frans de Kok (Logius) Menno Stigter (Gemeente Den Haag) Eric Brouwer (ICTU)

Bevoegdhedenbeheer betreft de “levenscyclus” van bevoegdheden: vanaf het onderkennen (ontstaan en eventueel aanpassen), naar het toekennen aan digitale identiteiten en het verklaren daarvan, tot aan het intrekken (verwijderen) van bevoegdheden. Doorgaans wordt dit ook wel Autorisatie beheer of Access management genoemd. Uitgangspunt hierbij is, dat met bepaalde “regels” wordt bepaald wat mag (of wat niet mag) en dat op het moment dat ergens toegang tot wordt gevraagd, dat dan wordt gecontroleerd of dat volgens die regels mag.

Zo’n regel kan bijvoorbeeld ook zijn, dat een persoon door iemand anders gemachtigd is om iets te doen. Machtigen wordt daarom gezien als onderdeel van Bevoegdhedenbeheer. De resultaten van het lopende programma Machtigen willen we graag plaatsen in het kader IAM om op die manier maatschappelijk goed inzicht te geven in deze belangrijke ontwikkelingen. Het programma Machtigen heeft tot doel verbetering en samenhang aan te brengen in het huidige machtigingslandschap. Dat landschap wordt enerzijds gekenmerkt door een veelheid aan machtigingsvormen en –relaties. Anderzijds ontbreken specifieke machtigingsvormen en functionaliteiten die maatschappelijk zeer gewenst zijn. Kernbegrippen voor het programma zijn het gebruiksgemak voor burgers en organisaties en de ontzorging van dienstaanbieders. De opdracht van het programma Machtigen in de huidige fase (1e plateau) is tweeledig:

1. Stel het Globale Ontwerp op voor een oplossing voor het machtigingsvraagstuk in het publieke domein met betrekking tot zowel burgers als organisaties.
2. Stel een Project Start Architectuur (PSA) op voor het 1e plateau op basis van de functionele behoeften van de betrokken publieke dienstaanbieders.

De eerste resultaten zijn al beschikbaar, te weten:

• de Globale Architectuur Machtigen (PDF, 1,2 MB)

• de PSA Machtigen (plateau 1) (, )

Deze zullen z.s.m. in de expertgroep IAM worden toegelicht. Gezien de landelijke impact van Machtigen, wordt ook bespreking ervan verwacht in de Gebruikersraad NORA.

Onderkennen van bevoegdheden

Bevoegdheden worden qua typering doorgaans onderkend op basis van inzichten in de gebruikers (digitale identiteiten), de voorzieningen (objecten van toegang) en de patronen van het gewenste, het verwachte en het feitelijke gebruik. Bevoegdheden hebben de vorm van rollen (roles), regels (rules) of aanvragen (requests), waaraan bepaald gebruik van voorzieningen is gekoppeld. De bevoegdheden kunnen grof en fijnmazig zijn en tevens generiek, dan wel specifiek per voorziening. Bevoegdheden zijn hierdoor niet statisch en zullen dus wijzigen in de loop van de tijd. Vanuit een beveiligingsperspectief wordt voor het bevoegdhedenbeheer doorgaans een autorisatie & rollen matrix gehanteerd.

Toekennen van bevoegdheden

Dit is het bepalen welke bevoegdheden (autorisaties) voor welke digitale identiteiten geldig zijn. De bevoegdheden van interne medewerkers worden doorgaans toegekend op basis van hun functie en/of rol. Daarnaast zien we steeds vaker, dat het verzoek tot toekenning van bevoegdheden ontstaat vanuit de gebruiker, via een zelfservice voorziening. Goedkeuren van de aangevraagde bevoegdheden gebeurt door of namens de eigenaar van het proces waar de betreffende voorziening onderdeel van uitmaakt. Het kan voorkomen dat meerdere eigenaren goedkeuring moeten geven. Ook zaken als functiescheiding, vier-ogen-principe e.d. zijn hier relevant.

Verklaren van toegekende bevoegdheden

Het gaat hier om het verschaffen van inzicht in welke bevoegdheden aan welke digitale identiteit(en) is toegekend, of een verklaring dat bepaalde bevoegdheden terecht zijn toegekend en niet conflicterend zijn. Dit is onder meer relevant voor Auditing.

Intrekken van bevoegdheden

Wanneer de toegang tot voorzieningen moet vervallen, zullen de betreffende bevoegdheden moeten worden ingetrokken. Dat kan komen door bijvoorbeeld wijzigingen in de rollen van een digitale identiteit, of wanneer de digitale identiteit wordt afgesloten (beëindigd).

Nieuwe vormen van bevoegdheden

Er zijn tegenwoordig ook ontwikkelingen die niet uitgaan van bevoegdheden vooraf, maar van de eisen die worden gesteld vanuit een dienst of voorziening, de regie die je daar zelf op hebt, of van een combinatie daarvan. Zie bijvoorbeeld:

• IRMA
• SSI
• DigitalMe

De praktijk

Hoe we in Nederland omgaan met het beheer van bevoegdheden (inclusief machtigingen) voor digitale identiteiten, willen we in de NORA zodanig uitwerken, dat architecten daar eenvoudig gebruik van kunnen maken als ze nieuwe diensten voor de overheid ontwerpen of als ze binnen (overheids)organisaties IAM optimaal willen inrichten. Daarbij gaan we rekening houden met zaken als:

1. Afspraken die hierover reeds beschikbaar zijn. Denk o.a. aan het stelsel eHerkenning https://www.eherkenning.nl/ of het Afsprakenstelsel elektronische Toegangsdiensten https://afsprakenstelsel.etoegang.nl/
2. Zo veel mogelijk hergebruik van de definities van eToegang, de wet GDI en de wet DO.
3. De diensten en voorzieningen die reeds beschikbaar zijn. Denk o.a. aan DigiD Machtigen https://www.logius.nl/diensten/digid-machtigen/
4. Diverse opmerkingen die via de review IAM zijn gemaakt over deze onderwerpen
5. Autorisatiemanagement kan binnen de organisatie ingericht zijn en tussen organisaties / ketens: voor internen (personeel) en voor externen (burgers, bedrijven).
6. Mogelijk onderscheid tussen wettelijke bevoegdheden of andersoortige bevoegdheden.
7. Hoe een bevoegdheid namens een andere persoon of een bedrijf (een machtiging dus) in dit concept past.
8. Bevoegdheden in relatie tot competenties e.d., zoals BIG-register voor zorgverleners of het Schietvaardigheidsregister.
9. enz.

Nederlandse Overheid Referentie Architectuur.

Het proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen

Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem