Identity & Access Management (IAM)

Uit NORA Online
Ga naar: navigatie, zoeken
Schematische weergave van de processen die vallen binnen Identity & Access Management. Linksonder de afnemer die toegang wil tot dienst D, met een zwarte pijl naar de paarse cirkel Toegang verlenen. Rechts de dienst, met een zwarte pijl terug naar toegang verlenen, waarbij staat: Toegangseisen van dienst D zijn: 1 Zekerheid Z over de juistheid van ID, 2 ID moet bevoegd zijn, 3 eventuele andere eisen. Vervolgens lopen vier paarse pijlen uit de cirkel toegang verlenen, met tekst per pijl (v.l.n.r.): 1 Wie is dit? 2 Wat mag ID? 3 Hier checken we andere eisen. 4 Voldoet ID aan eisen, dan krijgt die toegang, anders niet. Pijl 1 (Wie is dit?) verwijst naar een lichtblauwe cirkel Identiteitenbeheer, via de tekst Authenticatiemiddel. In de blauwe cirkel staat: - Personen - Computers - Apps - Dingen (IOT). In de rand van de cirkel staat rechtsonder: Levert digitale identiteiten. Pijl 2, met de tekst "Wat mag ID?" leidt naar een oranje cirkel boven toegang verlenen met de tekst "Bevoegdhedenbeheer". Naar deze cirkel verwijst een blauwe pijl vanaf link met de tekst "Levert digitale identiteiten." Een zwarte pijl wijst vanaf Bevoegdhedenbeheer naar Toegang verlenen met de tekst 'ID is wel/niet bevoegd voor Dienst D." Binnen in de oranje cirkel Bevoegdhedenbeheer is een gele cirkel Machtigen. Een tweede paarse pijl leidt van Toegang verlenen naar de Dienst, met de tekst "Voldoet ID aan eisen, dan krijgt die toegang, anders niet." Pijl 3, (Hier checken we andere eisen) leidt naar een wolk. Pijl 4, (Voldoet ID aan eisen, dan krijgt die toegang, anders niet) leidt naar de dienst.

Wat is IAM?

Om binnen de overheid c.q. samenleving te komen tot meer eenduidige en gedeelde beelden inzake Identity & Access Management (IAM), geven we hier onze gezamenlijke visie daarop, met uitleg van de relevante aspecten en begrippen en een visualisatie en beschrijving van hun samenhang. Zo goed als mogelijk zijn ook kaders aangegeven: handvatten om IAM goed op te nemen in het ontwerp van onze dienstverlening. Aangezien het hier gaat om een wereldwijde onderkende discipline, sluiten we vanuit de NORANederlandse Overheid Referentie Architectuur zo veel mogelijk aan op de internationaal gebruikte termen en omschrijvingen via vertalingen in het Nederlands.

Waarom is IAM van belang?

IAM is van belang voor de digitale dienstverlening. Niet alleen omdat daardoor persoonlijke dienstverlening kan worden geregeld (gerelateerd aan een identiteit), maar ook om te borgen dat de dienst niet door verkeerde personen wordt gebruikt. En daarbij maakt het in principe niet uit of die dienst wordt geleverd door de overheid of door burgers of bedrijven.

IAM regelt drie belangrijke voorwaarden voor digitale dienstverlening:

  1. Identificatie zorgt er voor dat we weten wie je bent (of in elk geval wat een digitale identiteit van je is);
  2. Authenticatie zorgt er voor dat we met een bepaalde zekerheid weten dat je ook echt degene bent die je op het internet zegt te zijn;
  3. Autorisatie zorgt er voor dat we weten wat je dan mag (al dan niet door een ander gemachtigd), of juist niet mag.

Als iemand een digitale dienst wil afnemen, dan zal de elektronische identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen., authenticatie en autorisatieHet proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen goed geregeld moeten worden om de belangen van zowel de dienstaanbieder als de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. te borgen.


Direct aan de slag

Wat doe je als Business- of Solution-architect om IAM-functies te verwerken in het ontwerp van een (overheids)dienst?

→ Zie Hoe pas je Identity & Access Management toe?


Wat doe je als Enterprise Architect om IAM-functies te borgen binnen de architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. van jouw organisatie?

→ Zie Aanbevelingen voor IAM in de Enterprise Architectuur


Wat is op Nationaal niveau geregeld om IAM-functies door (overheids)organisaties optimaal te benutten?
Denk hierbij aan:
- Een overzicht van Begrippen IAM
- Een overzicht van IAM-functies (wordt momenteel opgezet, in samenwerking met Gemeenschappelijke Overheidsarchitectuur (GO))

Hoe sluiten we vanuit Nederland aan op Internationale afspraken en voorzieningen?
Denk aan de EIDAS verordening van Europa en de Impact eIDAS voor Nederland e.d.

Puzzelstuk.png
Samen leren & zoeken

In 2018 is een vorige versie van dit thema in openbare review geweest.

Resultaten review 2018


Het thema wordt nog steeds verder doorontwikkeld door de expertgroep.
Je kunt je daar eenvoudig bij aansluiten. Tijdens de maandelijkse bijeenkomsten bespreken we de ontwikkelingen en vaak presenteert iemand hoe IAM binnen zijn organisatie is opgepakt. Ook kan je hier een goed intercollegiaal advies krijgen over een vraagstuk dat bij jouw organisatie speelt.


Gereedschap.png
Meer informatie & Contact

Nuttige links:

→ Een position paper van de VNG over Digitale Identiteit
→ Een nieuw concept t.a.v. digitale identiteiten en gegevensuitwisseling: digital-me.nl
→ Het risico bestaat dat Identiteitsdiefstal optreedt. Het is daarom van belang dat bij het ontwerp van diensten met dat risico rekening wordt gehouden. Vanuit de thema's Privacy en Beveiliging worden daartoe Passende maatregelen, technisch en organisatorisch
→ Voor de medewerkers van een overheidsorganisatieNORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak. (en ook de externen die daarbij worden ingehuurd, service-personeel e.d.) is vanuit de Rijksoverheid een normenkader (PDF, 361 kB) opgesteld, dat tevens de basis is geweest voor de uitrol van de Rijkspas.

Dit thema wordt opgebouwd en beheerd door:

Expertgroep Digitale identificatie en authenticatie

Contactpersoon: Eric Brouwer, NORA Projectleider


Contact.png