Wat is Identity & Access Management (IAM)?

Identity & Access Management (IAM)

Identity & Access Management, ofwel IAM, gaat over het bepalen en beheren van wie wanneer toegang heeft tot welke informatie en welke applicaties van een organisatie. Door de cloudrevolutie krijgen steeds meer organisaties te maken met het belang van IAM. In de cloud wordt informatie opgeslagen, gedeeld en geraadpleegd. Daarnaast werken organisaties met tientallen of honderden applicaties, programma’s en systemen, al dan niet in de cloud. IAM gaat hoofdzakelijk over het beheren van de (online) toegangsrechten voor applicaties, programma’s en systemen.

Dit alles brengt verschillende uitdagingen met zich mee. Twee daarvan zijn extra belangrijk om aandacht aan te besteden. Ten eerste de uitdaging om als organisatie medewerkers zoveel mogelijk gemak en flexibiliteit te bieden, door het zo makkelijk mogelijk te maken om altijd en overal toegang te hebben tot bepaalde gegevens en systemen. Ten tweede is het een uitdaging om alles veilig te laten verlopen, met zo min mogelijk risico’s op bijvoorbeeld datalekken.

In een organisatie heeft u niet alleen te maken met medewerkers, maar ook met bijvoorbeeld leveranciers en organisaties. Zij hebben allemaal een andere reden om toegang tot bepaalde applicaties of informatie te krijgen. Een medewerker moet bijvoorbeeld bij bepaalde organisatie informatie kunnen, terwijl een klant moet kunnen inloggen om bestelgegevens in te zien.

Zij hebben dus verschillende rechtensets voor de systemen. IAM houdt zich bezig met het managen van deze rechten, en het op basis daarvan wel of niet verschaffen van toegang. IAM werkt dus op basis van de vragen: wie, waarom en wat? Welke persoon heeft toegang nodig tot welk middel nodig en met welke reden? De toegangsverlening moet dan zoveel mogelijk op automatische wijze worden verleend door het systeem.

Het verschil tussen CIAM en IAM

Wellicht heeft u de term CIAM ook weleens voorbij horen komen. CIAM staat voor Customer Identity & Access Management. Dit gaat dus specifiek over het bepalen en beheren van de toegang en toegangsrechten voor de klanten van organisaties. Beide systemen houden zich dus bezig met beheren en verlenen van toegang, maar ze hebben een verschillende focus. Waar IAM dus meer intern is, en gefocust op de medewerkers, is CIAM meer extern gefocust. IAM wordt ook vaak als verzamelterm gebruikt, waar dus ook CIAM mee wordt bedoeld.

Waarom is Identity & Access Management (IAM) van belang?

Eigenlijk komt een organisatie er niet onderuit om met IAM bezig te gaan. Zeker niet als u wilt meegaan in digitale veranderingen en mogelijkheden en de verschuiving naar de cloud. Applicaties, software en data zijn tegenwoordig namelijk niet meer alleen nodig om efficiënt te kunnen werken. Ze worden inmiddels overal voor gebruikt. Zo wordt het voor organisaties steeds vaker mogelijk om via de telefoon of tablet bestellingen te doen, bijvoorbeeld via een handige app. Dit brengt echter verschillende uitdagingen en eisen met zich mee, waar IAM uitkomst voor biedt.

Snelheid en controle

Wil uw organisatie bijvoorbeeld op korte termijn een applicatie lanceren? Dan is een goed geregeld toegangsbeheer noodzakelijk. U wilt immers niet dat niet-bevoegden zomaar allerlei - al dan niet gevoelige - informatie te zien krijgen. Met een goede IAM-oplossing waarbij alle rechten, informatie en systemen op orde zijn, wordt het mogelijk om sneller apps te lanceren die meteen soepel en veilig werken.

Daarnaast vereisen spontane samenwerkingen ook een systeem waarmee dat mogelijk is. Tegenwoordig werken organisaties regelmatig samen met partners en andere externe partijen. Daarvoor kan een bepaalde informatie-uitwisseling nodig zijn, zodat de samenwerking soepel verloopt. Maar u wilt natuurlijk wel de controle houden over informatie en toegang. Ook daarvoor kan IAM dus uitkomst bieden.

Gebruikerservaring

Maar het is niet alleen een keuze van een organisatie zelf om serieus met IAM aan de slag te gaan. Het wordt ook van organisaties verwacht door medewerkers, organisaties en andere externe partijen. Medewerkers willen gemakkelijk en snel bij informatie kunnen, zonder daarvoor op een bepaalde locatie te hoeven zijn, of een specifiek apparaat nodig te hebben. Een simpele, goed geregelde IAM-oplossing heeft een positieve invloed op de productiviteit.

Veiligheid

Naast een bepaalde verwachting van gebruikers en partners speelt ook veiligheid een grote rol voor uw organisatie. Toenemend digitaal verkeer zorgt namelijk ook voor een groter risico op datalekken. Dat kan niet alleen een negatief gevolg hebben voor uw reputatie, maar het kan ook veel geld kosten om de gevolgen op een goede manier af te handelen.

Als er sprake is geweest van nalatigheid wat betreft de databescherming van de organisatie, dan kan de Autoriteit Persoonsgegevens uw organisatie een boete opleggen. Die kan oplopen tot miljoenen euro’s. Al met al een uitdaging voor IT-teams dus. IAM kan helpen dit risico te verkleinen. Zo kan ervoor gezorgd worden dat accounts enkel voorzien zijn van de daadwerkelijk benodigde rechten, en dat ze automatisch gedeactiveerd worden na beëindiging van bijvoorbeeld het dienstverband.

Om deze uitdagingen het hoofd te bieden, moet IAM dus accounts kunnen aanmaken, bewerken en verwijderen, maar ook toegangsrechten kunnen onderscheiden en toewijzen. Dit moet voor gebruikers mogelijk zijn op verschillende locaties en met verschillende apparaten. Dat vereist dus een goed werkend systeem.

Hoe werkt Identity & Access Management (IAM)?

IAM werkt dus in systemen, tools en applicaties. Denk bijvoorbeeld aan een app om producten of diensten mee te bestellen, of een intern systeem om online te kunnen vergaderen en communiceren.

In die tools heeft IAM drie hoofdtaken, namelijk gebruikers beheren, authenticeren en autoriseren.

1. Gebruikersbeheer

Organisaties bestaan vaak uit ingewikkelde structuren, waarbij ontzettend veel mensen betrokken zijn. Niet alleen medewerkers, maar bijvoorbeeld ook leveranciers, partners, eenmalige samenwerkingen en organisaties. Binnen al deze groepen hebben mensen ook weer verschillende toegangsrechten. Zo zijn er bijvoorbeeld verschillende teams van medewerkers, maar ook flexwerkers, tijdelijke medewerkers, adviseurs, teamleiders en managers. Sommige medewerkers vervullen daarnaast verschillen rollen, waarvoor ze ook verschillende toegangsrechten hebben.

IAM werkt veelal op basis van rechtensets. Dat houdt in dat bepaalde rechten gegroepeerd zijn, zodat de systematiek beheersbaar blijft. Gebruikers hebben dan dus bepaalde rechtensets waarmee ze toegang hebben tot de benodigde informatie.

IAM moet deze rechten kunnen toekennen aan gebruikers, maar ook weer kunnen aanpassen of intrekken. Dat kan bijvoorbeeld nodig zijn bij tijdelijke medewerkers of eenmalige samenwerkingen, maar ook bij het wisselen van functies.

2. Authenticatie

Authenticatie houdt in dat het systeem een gebruiker kan identificeren. Dat kan bijvoorbeeld door het invoeren van een gebruikersnaam en wachtwoord, een vingerafdruk of keycard. Of bijvoorbeeld een Passkey.

Multi-factor Authentication (MFA)

Een veelgebruikte manier om in te loggen is Multi-factor authentication. Dat houdt in dat er sprake is van een extra beveiliging bij het inloggen. De gebruiker krijgt dan bij het inloggen bijvoorbeeld een code toegestuurd naar de telefoon, die ingevoerd moet worden om daadwerkelijk te kunnen inloggen.

Single Sign-On (SSO)

Single Sign-On maakt het voor gebruikers mogelijk om sneller en makkelijker toegang te krijgen tot informatie en systemen, door maar één keer hoeven in te loggen voor verschillende systemen. Daardoor hoeven gebruikers geen verschillende wachtwoorden te onthouden.

3. Autorisatie

Na de authenticatie volgt er autorisatie. Dat houdt in dat er automatisch in het systeem wordt bekeken welke rechten deze gebruiker heeft. Daardoor kunt u als medewerker bijvoorbeeld bepaalde inhoud, zoals een werkrooster, wel zien, maar niet bewerken. Een manager heeft bijvoorbeeld dan wel de bevoegdheid om dat rooster te bewerken.

Een IAM-systeem rapporteert vervolgens ook alles wat er wordt beheerd, gebruikt, opgeslagen en verwijderd. Dat zorgt ervoor dat organisaties eventuele risico’s kunnen zien en op basis daarvan hun veiligheid kunnen optimaliseren.

Lees ook: Wat is provisioning?

Cloud Identity & Access Management

Met een IAM-oplossing in de cloud wordt het mogelijk om Identity Management veel sneller en overzichtelijker te implementeren. Dit maakt dat het niet alleen voor grote organisaties noodzakelijk en aantrekkelijk is om met IAM te werken, maar dat ook middelgrote organisaties er nu de vruchten van kunnen plukken.

FuseLogic is gekozen als de Certified Okta Partner Nothern Europe en biedt met Okta Identity Cloud IAM aan als een dienst.

Identity as a Service

IAM kan ook als een service worden geleverd, door de Identity as a Service (IDaaS) oplossing. De software draait dan in een beveiligde omgeving, die geregeld wordt gecontroleerd door de leverancier. Vaak wordt er met IDaas ook gebruikt gemaakt van MFA en SSO.

Voorbeeld van IAM Cloud software: Okta Identity Cloud

Identity & Access Management werkt op basis van software. Een voorbeeld van dat soort software is die van Okta. De Okta Identity Cloud is een moderne benadering van IAM en is speciaal ontwikkeld voor snelle implementaties. Dat houdt in dat organisaties snel een app of tool kunnen lanceren, zonder maanden aan de toegangsrechten te moeten werken. Om dit op een zo veilig mogelijke manier te kunnen doen, werkt Okta op basis van vier pilaren:

1. Digital Unification

Dit houdt in dat organisaties verschillende gebruikersprofielen kunnen verbinden, combineren, transformeren en beheren. Dat biedt gemak en snelheid.

2. Contextual Access Management

Hiermee kunnen organisaties centraal alle toegang beheren op basis van gebruikersprofielen, applicatie, apparaat en locatie.

3. Lifecycle Automation

Dit houdt in dat gebruikersprofielen en de bijbehorende toegangsrechten automatisch kunnen worden bijgewerkt vanuit bijvoorbeeld HR-systemen zoals AFAS, Workday en SAP Successfactors

4. 360 graden inzicht

Een 360 graden inzicht houdt in dat rapportages volledig inzicht bieden in alle acties die er gedaan worden. Zo detecteert Okta onder andere verdachte personen of acties.

De voordelen van Identity & Access Management (IAM)

Het werken met Identity & Access Management heeft verschillende voordelen:

Verbeterde IT-security

Door het toepassen van IAM verkleinen organisaties hun securityrisico’s. Alle machtigingen liggen vast in het systeem, waardoor niet-gemachtigde gebruikers niet ongeoorloofd toegang kunnen krijgen. Er is ook minder kans op menselijke fouten, doordat de gebruikersprofielen worden beheerd door een systeem. Daarnaast worden afwijkingen gerapporteerd, waardoor organisaties eerder zicht hebben op risico’s. Methoden waarbij een extra beveiliging aan de orde is bij het inloggen, zoals MFA, reduceren het risico op bijvoorbeeld een hack nog verder.

Naleving van wet- en regelgeving

IAM zorgt er ook voor dat organisaties voldoen aan de geldende wet- en regelgeving met betrekking tot veiligheid en privacy. Ze kunnen namelijk makkelijker beheren wie welke informatie te zien krijgt. Informatie die een werknemer niet nodig heeft om zijn of haar werk uit te voeren, kan diegene ook niet inzien. In het geval van zorg waarborgt dat op die manier de privacy van patiënten. Door IAM wordt deze naleving van de regels makkelijker en duidelijker.

Hogere productiviteit

Vooral door maatregelen als Single Sign On, wordt het voor medewerkers of andere betrokkenen gemakkelijker om bij bepaalde informatie te kunnen. Daarnaast wordt het mogelijk om bijvoorbeeld vanaf andere locaties te werken, of op andere tijden. Dit zorgt ervoor dat medewerkers te allen tijde in een veilige omgeving kunnen werken. Dit gemak en deze veiligheid vergroot zo de productiviteit van medewerkers.

Lagere kosten

Vooral op het gebied van IT kunnen de kosten worden verlaagd door gebruikt te maken van IAM. Veel taken kunnen namelijk geautomatiseerd worden. Zo hoeven IT-medewerkers niet meer constant profielen aan te passen, toegang te verlenen of wachtwoorden te resetten. Ze kunnen hun tijd besteden aan andere taken die waarde toevoegen voor de organisatie.

De dynamische organisatie

We zien dat de klassieke aanpak van IAM niet altijd meer werkt. De behoefte is veranderd, doordat organisaties op een andere manier zijn gaan werken: meer projectmatig, in een matrix organisatiestructuur. Deze dynamiek vraagt om flexibele toegangsrechten. Daarom kijken wij eerst naar de organisatie en organisatieprocessen. Een analyse hoe beschikbare data, afdelingen, functies, projecten samenhangen met toegangsrechten is een belangrijk startpunt. Met deze aanpak kan er in korte tijd resultaat worden geleverd. Daarnaast zorgt het voor draagvlak omdat de organisatie zich in de aanpak herkent.

FuseLogic en Identity & Access Management (IAM)

Gebaseerd op meer dan 15 jaar ervaring hebben we best practices ontwikkeld om Identity Management projecten te versnellen. Wij leveren Identity Management-oplossingen. Maar dan sneller, gemakkelijker en goedkoper. Hierdoor bent u snel ‘in control’ en volgt Identity Management de snelheid van de business, in plaats van andersom.

De aanpak van FuseLogic: Identity Management at the speed of business

Gebaseerd op meer dan 15 jaar ervaring hebben we best practices ontwikkeld om Identity Management-projecten te versnellen. FuseLogic levert IAM-oplossingen die toegang en controle tot applicaties automatiseert, en waarmee u live kunt gaan binnen 30 dagen. Hierdoor bent u snel ‘in control’ en volgt Identity Management de snelheid van de business, in plaats van andersom.

Meer weten?

Wilt u weten hoe u IAM kunt inzetten voor uw organisatie? Of wilt u meer weten over onze werkwijze en visie of de Okta software? Neem gerust contact met ons op voor een vrijblijvende kennismaking.