Identity & Access Management (IAM)

Identity & Access Management, ofwel IAM, gaat over het bepalen en beheren van wie wanneer toegang heeft tot welke informatie en welke applicaties van een organisatie. Door de cloud-revolutie krijgen steeds meer organisaties te maken met het belang van IAM. In de cloud wordt informatie opgeslagen, gedeeld en geraadpleegd. Daarnaast werken organisaties met tientallen of honderden applicaties, programma’s en systemen, al dan niet in de cloud. IAM gaat hoofdzakelijk over het beheren van de (online) toegangsrechten voor applicaties, programma’s en systemen.

Dit alles brengt verschillende uitdagingen met zich mee. Twee daarvan zijn extra belangrijk om aandacht aan te besteden. Ten eerste de uitdaging om als organisatie medewerkers zoveel mogelijk gemak en flexibiliteit te bieden, door het zo makkelijk mogelijk te maken om altijd en overal toegang te hebben tot bepaalde gegevens en systemen. Ten tweede is het een uitdaging om alles veilig te laten verlopen, met zo min mogelijk risico’s op bijvoorbeeld datalekken.

In een organisatie heeft u niet alleen te maken met medewerkers, maar ook met bijvoorbeeld leveranciers en organisaties. Zij hebben allemaal een andere reden om toegang tot bepaalde applicaties of informatie te krijgen. Een medewerker moet bijvoorbeeld bij bepaalde organisatie informatie kunnen, terwijl een klant moet kunnen inloggen om bestelgegevens in te zien.

Zij hebben dus verschillende rechtensets voor de systemen. IAM houdt zich bezig met het managen van deze rechten, en het op basis daarvan wel of niet verschaffen van toegang. IAM werkt dus op basis van de vragen wie, waarom en wat? Welke persoon heeft toegang nodig tot welk middel nodig en met welke reden? De toegangsverlening moet dan zoveel mogelijk op automatische wijze gebeuren door het systeem.

Het verschil tussen CIAM en IAM

Wellicht heeft u de de term CIAM ook weleens voorbij horen komen. CIAM staat voor Customer Identity & Access Management. Dit gaat dus specifiek over het bepalen en beheren van de toegang en toegangsrechten van organisaties. Beide systemen houden zich dus bezig met beheren en verlenen van toegang, maar ze hebben een verschillende focus. Waar IAM dus meer intern is, en gefocust op de organisatie zelf, is CIAM meer extern gefocust. IAM wordt ook vaak als verzamelterm gebruikt, waar dus ook CIAM mee wordt bedoeld.

Waarom is Identity & Access Management (IAM) van belang?

Eigenlijk komt een organisatie er niet onderuit om met IAM bezig te gaan. Zeker niet als u wilt meegaan in digitale veranderingen en mogelijkheden en de verschuiving naar de cloud. Applicaties, software en IT zijn tegenwoordig namelijk niet meer alleen nodig om efficiënt te kunnen werken. Ze worden inmiddels overal voor gebruikt. Zo wordt het voor organisaties steeds vaker mogelijk om via de telefoon of tablet bestellingen te doen, bijvoorbeeld via een handige app. Dit brengt echter verschillende uitdagingen en eisen met zich mee, waar IAM uitkomst voor biedt.

Snelheid en controle

Wil uw organisatie bijvoorbeeld op korte termijn een applicatie lanceren? Dan is een goed geregeld toegangsbeheer noodzakelijk. U wilt immers niet dat niet-bevoegden zomaar allerlei organisatie informatie te zien krijgen. Met een goede IAM-oplossing waarbij alle rechten, informatie en systemen op orde zijn, wordt het mogelijk om sneller apps te lanceren die meteen soepel werken.

Daarnaast vereisen spontane samenwerkingen ook een systeem waarmee dat mogelijk is. Tegenwoordig werken organisaties regelmatig samen met partners. Er wordt ook vaak eenmalig met een externe partij samengewerkt. Daarvoor kan een bepaalde informatie-uitwisseling nodig zijn, zodat de samenwerking soepel verloopt. Maar u wilt natuurlijk wel de controle houden over informatie en toegang. Ook daarvoor kan IAM dus uitkomst bieden.

Gebruikerservaring

Maar het is niet alleen een keuze van een organisatie zelf om serieus met IAM aan de slag te gaan, zodat bepaalde apps snel gelanceerd kunnen worden. Het wordt ook van organisaties verwacht door medewerkers, organisaties en andere externe partijen. Medewerkers willen gemakkelijk en snel bij informatie kunnen, zonder daarvoor op een bepaalde locatie te hoeven zijn, of een specifiek apparaat nodig te hebben. Een simpele, goed geregelde IAM oplossing heeft een positieve invloed op de productiviteit.

Veiligheid

Naast een bepaalde verwachting, speelt ook veiligheid een grote rol. Dat wordt niet alleen verwacht van medewerkers of klanten, maar is ook belangrijk voor uw organisatie. Toenemend digitaal verkeer zorgt namelijk ook voor een groter risico op datalekken. Dat kan niet alleen een negatief gevolg hebben voor uw reputatie, maar het kan ook veel geld kosten om het recht te zetten.

Als er sprake is geweest van nalatigheid wat betreft de databescherming van de organisatie, dan kan de Autoriteit Persoonsgegevens uw organisatie een boete opleggen. Die kan oplopen tot miljoenen euro’s. Al met al een uitdaging voor IT-teams dus. IAM kan een oplossing zijn voor dit risico. Zo kan ervoor gezorgd worden dat accounts van ex- of tijdelijke medewerkers automatisch gedeactiveerd worden.

Om deze uitdagingen het hoofd te bieden, moet IAM dus accounts kunnen aanmaken, bewerken en verwijderen, maar ook toegangsrechten kunnen onderscheiden en toewijzen. Dit moet voor gebruikers mogelijk zijn op verschillende locaties en met verschillende apparaten. Dat vereist dus een goed werkend systeem.

Hoe werkt Identity & Access Management (IAM)?

IAM werkt dus in systemen, tools en applicaties. Denk bijvoorbeeld aan een app om producten of diensten mee te bestellen, of een intern systeem om online te kunnen vergaderen en communiceren.

In die tools heeft IAM drie hoofdtaken, namelijk gebruikers beheren, authentiseren en autoriseren.


1. Gebruikersbeheer

Organisaties zijn vaak geen simpele organen meer. Ze bestaan vaak uit ingewikkelde structuren, waarbij ontzettend veel mensen betrokken zijn. Niet alleen medewerkers, maar bijvoorbeeld ook leveranciers, partners, eenmalige samenwerkingen en organisaties. Binnen al deze groepen hebben mensen ook weer verschillende toegangsrechten. Zo zijn er bijvoorbeeld verschillende teams van medewerkers, maar ook flexwerkers, tijdelijke medewerkers, adviseurs, teamleiders en managers. Sommige medewerkers vervullen daarnaast verschillen rollen, waarvoor ze ook verschillende toegangsrechten hebben.

IAM werkt veelal op basis van rechtensets. Dat houdt in dat bepaalde rechten gegroepeerd zijn, zodat de systematiek beheersbaar blijft. Gebruikers hebben dan dus bepaalde rechtensets waarmee ze toegang hebben tot de benodigde informatie.

IAM moet deze rechten kunnen toekennen aan gebruikers, maar ook weer kunnen aanpassen of accounts verwijderen. Dat kan bijvoorbeeld nodig zijn bij tijdelijke medewerkers of eenmalige samenwerkingen, maar ook bij het wisselen van functies.


2. Authenticatie

Authenticatie houdt in dat het systeem een gebruiker kan identificeren. Dat kan bijvoorbeeld door het invoeren van een gebruikersnaam en wachtwoord, een vingerafdruk of keycard. Andere manieren zijn een Multi-factor authentication of een Single Sign-On.

Multi-factor Authentication (MFA)

Een veelgebruikte manier om in te loggen is de Multi-factor authentication. Dat houdt in dat er sprake is van een extra beveiliging bij het inloggen. De gebruiker krijgt dan bij het inloggen bijvoorbeeld een code toegestuurd naar de telefoon, die ze moeten invoeren om daadwerkelijk te kunnen inloggen.

Single Sign-On (SSO)

Single Sign-On maakt het voor gebruikers mogelijk om sneller en makkelijker toegang te krijgen tot informatie en systemen, door maar één keer hoeven in te loggen voor verschillende systemen. Daardoor hoeven gebruikers geen verschillende wachtwoorden te onthouden.


3. Autorisatie

Na de authenticatie volgt er autorisatie. Dat houdt in dat er automatisch in het systeem wordt bekeken welke rechten(sets) deze gebruiker heeft. Daardoor kunt u als medewerker bijvoorbeeld bepaalde inhoud, zoals een werkrooster, wel zien, maar niet bewerken. Een manager heeft bijvoorbeeld dan wel de bevoegdheid om dat rooster te bewerken.

IAM rapporteert vervolgens ook alles wat er wordt beheerd, gebruikt, opgeslagen en verwijderd. Dat zorgt ervoor dat organisaties eventuele risico’s kunnen zien en op basis daarvan hun veiligheid kunnen optimaliseren.

Cloud IAM anno 2021

Met een IAM-oplossing in de cloud wordt het mogelijk om IAM-systemen veel sneller en overzichtelijker te implementeren. Dit maakt dat het niet alleen voor grote organisaties aantrekkelijk is om met IAM te werken, maar dat ook middelgrote organisaties (<250 medewerkers) er nu de vruchten van kunnen plukken.

FuseLogic is gekozen als de Certified Okta Partner Nothern Europe 2019-2020 en biedt met Okta Identity Cloud IAM aan als een dienst.

Identity as a Service

IAM kan ook als een service worden geleverd, door de Identity as a Service (IDaaS) oplossing. De software draait dan in een beveiligde omgeving, die geregeld wordt gecontroleerd door de leverancier. Vaak wordt er met IDaas ook gebruikt gemaakt van MFA en SSO.

Voorbeeld van IAM Cloud software: Okta Identity Cloud

Identity Access Management werkt door middel van software. Een voorbeeld van die software is Okta. De Okta Identity Cloud is een moderne benadering van IAM en is speciaal ontwikkeld voor snelle implementaties. Dat houdt in dat organisaties snel een app of tool kunnen lanceren, zonder maanden aan de toegankelijkheid te moeten besteden. Hierdoor wordt het risico kleiner dat organisaties alweer zijn veranderd. Om dit op een zo veilig mogelijke manier te kunnen doen, werkt Okta op basis van vier pilaren:


1. Digital Unification

Dit houdt in dat organisaties verschillende gebruikersprofielen kunnen verbinden, combineren, transformeren en beheren. Dat biedt gemak en snelheid.


2. Contextual Access Management

Hiermee kunnen organisaties centraal alle toegang beheren op basis van gebruikersprofielen, applicatie, apparaat en locatie.


3. Lifecycle Automation

Dit houdt in dat gebruikersprofielen en de bijbehorende toegangsrechten automatisch kunnen worden bijgewerkt vanuit bijvoorbeeld HR-systemen als AFAS, Workday en Successfactors


4. 360 graden inzicht

Een 360 graden inzicht houdt in dat rapportages volledig inzicht bieden in alle acties die er gedaan worden. Zo detecteert Okta verdachte personen of acties.

De voordelen van Identity & Access Management (IAM)

Het werken met Identity & Access Management heeft verschillende voordelen:


• IT-security

Door het toepassen van IAM verkleinen organisaties hun risico’s. Alle machtigingen liggen vast in het systeem, waardoor niet-gemachtigde gebruikers niet zomaar toegang kunnen krijgen. Er is ook daarin ook minder kans op menselijke fouten, doordat de gebruikersprofielen worden beheerd door een systeem. Daarnaast worden afwijkingen gerapporteerd, waardoor organisaties eerder zicht hebben op risico’s. Methoden waarbij een extra beveiliging aan de orde is bij het inloggen, zoals MFA, reduceren het risico op bijvoorbeeld een hack nog verder.


• Naleving van wet- en regelgeving

IAM zorgt er ook voor dat organisaties voldoen aan de geldende wet- en regelgeving met betrekking tot veiligheid en privacy. Ze kunnen namelijk makkelijk beheren wie welke informatie te zien krijgt. Informatie die een werknemer niet nodig heeft om zijn of haar werk uit te voeren, kan diegene ook niet inzien. In het geval van zorg waarborgt dat op die manier de privacy van patiënten. Door IAM wordt deze naleving van de regels makkelijker en duidelijker.


• Hogere productiviteit

Vooral door maatregelen als Single Sign On, wordt het voor medewerkers of andere betrokkenen gemakkelijker om bij bepaalde informatie te kunnen. Daarnaast wordt het mogelijk om bijvoorbeeld vanaf andere locaties te werken, of op andere tijden. Dit zorgt ervoor dat medewerkers te allen tijde in een veilige omgeving kunnen werken. Dit gemak en deze veiligheid vergroot zo de productiviteit van medewerkers.


• Lagere kosten

Vooral op het gebied van IT kunnen de kosten worden verlaagd door gebruikt te maken van IAM. Veel taken kunnen namelijk geautomatiseerd worden. Zo hoeven IT-medewerkers niet meer constant profielen aan te passen of toegang te verlenen. Ze kunnen hun tijd besteden aan andere taken die waarde toevoegen voor de organisatie.

FuseLogic en Identity & Access Management (IAM)

FuseLogic is betrokken bij het adviseren over en implementeren van oplossingen op het gebied van Identity & Access Management. Met meer dan vijftien jaar ervaring hebben we inmiddels een best practice aanpak ontwikkeld. Daarbij gaan we niet uit van een strikt theoretisch kader, maar van de organisatie. Iedere organisatie heeft haar eigen dynamische structuur, die vraagt om een gerichte aanpak, ook als het gaat om toegangsbeheer.

De dynamische organisatie

We zien dat de klassieke aanpak van IAM niet altijd meer werkt. De behoefte is veranderd, doordat organisaties op een andere manier zijn gaan werken: meer projectmatig, in een matrix organisatiestructuur. Deze dynamiek vraagt om flexibele toegangsrechten. Daarom kijken wij eerst naar de organisatie en diens organisatieprocessen. Een analyse hoe beschikbare data, afdelingen, functies, projecten samenhangen met toegangsrechten is een belangrijk startpunt. Met deze aanpak kan er in korte tijd resultaat worden geleverd. Daarnaast zorgt het voor draagvlak omdat de organisatie zich in de aanpak herkent.

De aanpak van FuseLogic: Identity Management in 10% van de tijd

Zo kan een Identity Management oplossing in zo’n 10% van de tijd worden gerealiseerd. Dat betekent dat toegangsrechten automatisch kunnen worden bijgewerkt vanuit bijvoorbeeld HR-systemen als AFAS, Workday en Successfactors. In veel gevallen werkt dit al na zo’n 10 tot 30 dagen. Op die manier is IAM niet alleen iets voor grote organisaties, maar wordt het ook veel aantrekkelijker en efficiënter voor middelgrote en dynamische organisaties.

Meer weten?

Wilt u weten hoe u IAM kunt inzetten voor uw organisatie? Of wilt u meer weten over onze werkwijze en visie of de Okta software? Neem gerust contact met ons op voor een vrijblijvende kennismaking.