Visie op IAM

Uit NORA Online
Ga naar: navigatie, zoeken
Schematische weergave van de processen die vallen binnen Identity & Access Management. Linksonder de afnemer die toegang wil tot dienst D, met een zwarte pijl naar de paarse cirkel Toegang verlenen. Rechts de dienst, met een zwarte pijl terug naar toegang verlenen, waarbij staat: Toegangseisen van dienst D zijn: 1 Zekerheid Z over de juistheid van ID, 2 ID moet bevoegd zijn, 3 eventuele andere eisen. Vervolgens lopen vier paarse pijlen uit de cirkel toegang verlenen, met tekst per pijl (v.l.n.r.): 1 Wie is dit? 2 Wat mag ID? 3 Hier checken we andere eisen. 4 Voldoet ID aan eisen, dan krijgt die toegang, anders niet. Pijl 1 (Wie is dit?) verwijst naar een lichtblauwe cirkel Identiteitenbeheer, via de tekst Authenticatiemiddel. In de blauwe cirkel staat: - Personen - Computers - Apps - Dingen (IOT). In de rand van de cirkel staat rechtsonder: Levert digitale identiteiten. Pijl 2, met de tekst "Wat mag ID?" leidt naar een oranje cirkel boven toegang verlenen met de tekst "Bevoegdhedenbeheer". Naar deze cirkel verwijst een blauwe pijl vanaf link met de tekst "Levert digitale identiteiten." Een zwarte pijl wijst vanaf Bevoegdhedenbeheer naar Toegang verlenen met de tekst 'ID is wel/niet bevoegd voor Dienst D." Binnen in de oranje cirkel Bevoegdhedenbeheer is een gele cirkel Machtigen. Een tweede paarse pijl leidt van Toegang verlenen naar de Dienst, met de tekst "Voldoet ID aan eisen, dan krijgt die toegang, anders niet." Pijl 3, (Hier checken we andere eisen) leidt naar een wolk. Pijl 4, (Voldoet ID aan eisen, dan krijgt die toegang, anders niet) leidt naar de dienst.

Deze pagina is onderdeel van het thema
Identity & Access Management (IAM)

De NORA geeft op basis van actuele inzichten diverse handvatten voor het toepassen van IAM in het ontwerp van een dienst en voor het inrichten van IAM in een (overheids)organisatie. Daarbij houden we rekening met ontwikkelingen die zich wereldwijd afspelen. Het internet houdt immers niet op bij de Nederlandse grens. We zien het volgende voor ons:

Er is een wereldwijd stelsel van afspraken waarbij Nationale paspoorten en andere formele reisdocumenten de wereldburgers in staat stellen zich vrij te bewegen over onze planeet. Willen we vertrouwen kunnen hebben in de digitale identiteiten, dan zullen we ook zo’n soort afsprakenstelsel moeten hebben voor de digitale reizen die we elke dag maken. Anders zullen ondernemers en landen niet op voorhand vertrouwen op die digitale identiteiten (je weet dan immers niet zeker met wie je te maken hebt) en gaan dan extra eigen digitale identiteiten uitgeven die ze zelf wel vertrouwen. Dat is echter omslachtig en zorgt voor het risico dat de burgers te veel digitale identiteiten krijgen, met alle risico’s en gevolgen van dien.

Stel je dan eens voor:

  • dat geregeld zou zijn dat iedere Nederlander tenminste één digitale identiteit heeft (het kunnen er dus ook meer zijn) die zodanig betrouwbaar is, dat die daarmee over de gehele wereld, en dus ook in Nederland, digitale diensten van overheden -en zo mogelijk ook van private partijen- kan afnemen;
  • dat geregeld zou zijn dat bij die elektronische identiteit ook 1 of meer authenticatie-middelen beschikbaar zijn waarmee door alle betrokken partijen kan worden geverifieerd of degene die zegt een bepaald iemand te zijn dat ook daadwerkelijk is;
  • dat geregeld zou zijn dat van elk van die middelen is vastgesteld welke mate van zekerheid dan bestaat dat die bewering juist is;
  • dat geregeld zou zijn dat er (inter)nationale autorisatie- en machtigingenvoorzieningen beschikbaar zijn die mogen worden gebruikt door zowel publieke als private organisaties;

Als dat allemaal zou zijn geregeld, dan kan elke dienstaanbieder die voor zijn elektronische dienst heeft bepaald met welke zekerheid de identiteit van de dienstafnemer bekend moet zijn, hergebruik (laten) maken van de beschreven IAM-voorzieningen.
En indien de afnemer van de dienst aan de gestelde eisen voldoet, kan de dienst worden geleverd c.q. afgenomen.
In de praktijk zijn we echter nog niet zo ver. Diverse obstakels zullen nog te overwinnen zijn voordat bovenstaande beeld werkelijkheid wordt. Zeker een stuk wet- en regelgeving, maar daarnaast ook een (wereldwijd) vertrouwensnetwerk, constructieve samenwerking van betrokken partijen en diverse technische voorzieningen.

En toch denken we al aan een stap verder ...
Wereldwijd zien we een ontwikkeling waarbij gegevens niet meer worden gekopieerd van de ene plek (lees: registratie of database) naar de andere plek, maar waar op basis van het stellen van vragen ("Is deze persoon ouder dan 18 jaar?") een antwoord wordt gegeven (ja, nee) waarmee een dienstveerlener kan besluiten om een dienst wel of juist niet te leveren. We zien daarbij een stelsel ontstaan van zogenaamde Attribute Service Providers, waar alle gegevens- en informatie-uitwisseling voor de dienstverlening mee kan worden geregeld.
Het lijkt mogelijk dat de attributen die relevant zijn voor IAM straks onderdeel worden van dat stelsel.

Attribute Service Providers.jpg

Een paar voorbeelden van initiatieven die gebaseerd zijn op deze visie zijn:

Noot: Het streefbeeld dat we hierboven hebben neergezet lijkt voor sommigen een koele analytische vaststelling, waarbij mogelijk te lichtzinnig over maatschappelijke en morele zaken wordt heengestapt. Zo zijn geen voorbeelden opgenomen van wat mis kan gaan e.d. Denk bijvoorbeeld aan identiteitsfraude, tweedeling in de samenleving door het wel of niet hebben van een formele registratie van een Nederlandse identiteit, of (politieke) misbruik van het systeem van de overheid.
Het is niet de intentie om een koele analytische vaststelling weer te geven, maar juist een pragmatisch beeld wat we als Nederlandse burgers zouden kunnen wensen. Ethiek en risico's zijn daarbij aspecten die altijd belichting nodig hebben.

Momenteel hebben we nog beperkt zicht op welke streefbeelden bestaan bij de overheidsorganisaties. Daarnaast is er vrijwel geen zicht op het groeipad dat die overheidsorganisatie willen volgen om hun streefbeeld te realiseren en ook niet welke kaders en voorzieningen zij daarbij hanteren.
Het verkrijgen van zicht op de benodigde eisen, normen, richtlijnen of producten is daarom onderdeel van deze ontwikkeling in de NORA. Gelukkig zien we al enige beweging op dit vlak. Vanuit de Gemeenschappelijke Overheidsarchitectuur (GO) is medio 2020 een aantal Pressure Coocker sessies gehouden, waarbij visies zijn opgesteld voor Generieke Functies als Interactie, Gegevensuitwisseling, Infrastructuur en (onderdelen van) IAM. De uitwerking van de Generieke Functies van GO zijn beschikbaar via deze visualisatie.