Wat is Identity Governance & Administration (IGA)?

Wat is Identity Governance?

Identity Governance & Administration omvat de processen voor het verlenen en beheren van toegangsrechten. Identity Governance gaat over het begrip welke toegang ‘right’ is. Dat betekent uiteraard dat er ook iets ‘wrong’ kan zijn; toegangsrechten die afwijken van de gewenste situatie.

Identity Governance begint met het bepalen van de definitie van ‘right’ voor uw organisatie: wie moet – om welke redenen – toegang krijgen tot welke applicaties en data? Dit moet vervolgens worden ingebed en gemodelleerd in Identity Governance-processen, zodat die correcte situatie zoveel mogelijk wordt benaderd.

Deze processen kunnen worden ondersteund door tools die zich richten op de administratie en facilitatie van het geheel. Hierdoor kunt u bij audits of naar uw accountant aantonen dat u niet alleen voldoet aan het interne beleid, maar ook aan wet- en regelgeving op het gebied van informatiebeveiliging of privacy.

Met de juiste inrichting krijgt uw organisatie meer inzicht in, en controle over wie waarom rechten heeft op welke applicaties. Identity Governance helpt u hiermee ‘in control’ te blijven en bewijsbaar te voldoen aan compliance-eisen en standaarden.

Waarom is Identity Governance & Administration belangrijk?

Tegenwoordig is het essentieel dat u grip op – en inzicht in – heeft wie toegang heeft tot welke applicaties en data. U moet daarbij aantoonbaar ‘in control’ zijn. Dat wil zeggen dat u moet kunnen bewijzen dat alle toegangsrechten van alle medewerkers zijn gebaseerd op bewuste keuzes c.q. beleid, in plaats van op toeval. Er zijn verschillende redenen waarom dit steeds belangrijker wordt. We lichten de belangrijkste hieronder toe.

Security

Identity Management en Identity Governance zijn essentiële onderdelen van een moderne securitystrategie omdat ze kunnen helpen uw applicaties en data veilig te houden. Met Identity Governance kunt u ervoor zorgen dat elke medewerker op elk moment exact het juiste niveau rechten heeft. Dat betekent: toegang tot alle applicaties die nodig zijn om productief te kunnen werken, en niet meer dan dat.

Overautorisatie
Wat we bij onze klanten heel vaak zien is zogenaamde ‘overautorisatie’: medewerkers die meer rechten hebben dan op basis van bijvoorbeeld hun functie noodzakelijk is. Dit ontstaat meestal wanneer medewerkers van baan veranderen. Ze krijgen dan wel de extra rechten die bij hun nieuwe functie passen, maar er zijn geen triggers om overbodige rechten in te trekken. Dit kan ook gebeuren wanneer nieuwe medewerkers in dienst komen en dezelfde rechten krijgen als een collega met een min of meer vergelijkbare functies. Dit wordt veroorzaakt door het ontbreken van de juiste validatieprocessen en het feit dat de controle nu te veel leunt op IT-beheerders. Want wie controleert dan de controle?

Wat zijn de securityrisico’s?
Stel dat een medewerker overstapt naar uw concurrent, maar dat zijn of haar toegangsrechten niet worden ingetrokken. Dan heeft die ex-medewerker nog steeds toegang tot bedrijfsdata en ligt een datalek of bedrijfsspionage op de loer. Overautorisatie kan namelijk ook financiële risico’s met zich meebrengen. Stel dat een medewerker van de financiële administratie die facturen inboekt, gepromoveerd wordt naar een functie waarin zij of hij de betaling van facturen moet goed- of afkeuren. Wanneer de oude rechten niet worden ingetrokken dan ligt misbruik op de loer.

Kwetsbaarheid van IT-systemen
Een bijzonder gevoelige categorie rechten is die van IT-medewerkers omdat zij vaak ‘admin rechten’ op applicaties hebben. Met de huidige afhankelijkheid van IT die veel organisaties hebben, kan ongeoorloofde toegang tot IT-systemen directe impact op de continuïteit van de organisatie hebben. Het is immers niet voor niets dat hackers zich vooral richten op de IT-systemen van hun beoogde slachtoffers.

Compliancy

Identity Governance & Administration kan u ook helpen te voldoen aan wet- en regelgeving en interne policies. Steeds vaker moeten organisaties voldoen aan wetten en richtlijnen zoals de AVG, Cybersec, BIO2.0, NIS2, en BBN 1, 2 en 3. Een belangrijk aspect bij wetgeving is dat u als organisatie moet kunnen aantonen dat u ‘in control’ bent. Daarnaast moeten organisaties voldoen aan de interne policies op het gebied van informatiebeveiliging, bijvoorbeeld wanneer uw organisatie ISO 27001-gecertificeerd bent of wordt.

Een modern Identity Governance-systeem legt alle rechten en alle mutaties daarin vast. Certificering is het proces waarbij een eindverantwoordlijke vanuit die data de autorisaties van medewerkers op gezette tijden (bijvoorbeeld bij audits) kan evalueren en intrekken of bevestigen.

Wat is het verschil tussen Identity Management en Identity Governance?

Bij FuseLogic leveren we al sinds 2007 Identity Management-oplossingen. In de eerste jaren had eigenlijk niemand het over Identity Governance. Alles viel onder Identity & Access Management, inclusief zaken als Privileged Access Management en Identity Governance & Administration. In de loop der jaren is de markt verder geprofessionaliseerd en de terminologie en oplossingen zijn daarmee geëvolueerd.

Wat we nu in de markt zien is dat de technisch georiënteerde kant vaak Identity Management wordt genoemd. De focus en aansturing vanuit de business van de organisatie wordt Identity Governance & Administration genoemd. Overigens zijn dit geen sluitende dan wel algemeen geaccepteerde definities; hierover ontstaat nog wel eens verwarring.

Identity & Access Management

Met Identity Management worden tegenwoordig vooral de operationele processen rond de technische/infrastructurele behandeling van accounts bedoeld, inclusief zaken als provisioning en access management.

Provisioning gaat niet alleen over het creëren van accounts, maar ook over aanpassen of verwijderen ervan. Dit is nodig omdat er ontzettend veel gebruikers kunnen zijn, die niet allemaal dezelfde toegangsrechten hebben. En naast dat ze andere toegangsrechten hebben, veranderen die per gebruiker ook vaak. Zo kan een werknemer beginnen als stagiaire en eindigen als afdelingsleider. Deze veranderende toegangsrechten van een gebruiker noemen we de ‘identity lifecycle’ ofwel de levenscyclus van een gebruiker.

Access management checkt wie de gebruiker is, wat de context (historie, device, …) van deze gebruiker is en of deze gebruiker recht heeft op toegang tot een applicatie of data.

Identity Governance

Identity Governance richt zich op het bredere beleid en de naleving van regels en voorschriften. Het gaat erom dat u moet kunnen aantonen dat de betreffende medewerker ook recht heeft op die rechten, bijvoorbeeld vanuit de aard van de werkzaamheden die hij of zij vervult in de organisatie. Om dat te kunnen bewijzen aan toezichthouders moet u in feite een logboek bijhouden van alle verleende, aangepaste en ingetrokken rechten inclusief ‘timestamps’.

Certification – ook wel attestation of access review genoemd – is een belangrijk onderdeel van Identity Governance & Administration. Dit is het proces om managers en applicatie-eigenaren te vragen of de rechten nog steeds kloppen. Dit is een regelmatig terugkerend proces bij onder andere externe audits en accountantsverklaringen.

Identity Governance-doelstellingen en beleid

Voordat u van start gaat is het belangrijk om te  bepalen welke doelstellingen u met Identity Governance wilt behalen en hoe u dat gaat realiseren. Dat vereist visie en beleid, maar ook heel concreet een logische visie vertalen naar IAM-processen waar de organisatie mee kan werken. Een complicerende factor hierbij is de hybride IT-omgeving bij veel organisaties. Van de integratie met legacy-systemen zoals een AS/400 tot een ‘mix & match’ met cloud, apps en websites: Identity Governance omvat alle applicaties en data, waar die ook draaien.

Concrete doelstellingen voor Identity Governance

De doelstellingen voor Identity Governance zijn afhankelijk van zaken als het type organisatie, de risico’s in uw specifieke situatie en externe factoren zoals wet- en regelgeving. Een greep uit de vragen, uitdagingen en doelstellingen die wij bij onze klanten zijn tegengekomen:

• Het helpen bepalen wat de gewenste situatie is: ‘wanneer en hoe is de toegang tot applicaties en data onder controle?’.
• Het inrichten van governance-processen die snel resultaat en daarmee zichtbaarheid en draagvlak in de organisatie tonen.
• Het reduceren van toeval door het administreren van de gewenste situatie en het optimaliseren van processen om die situatie te benaderen en dat aan te tonen.
• Een zo efficiënt mogelijk proces van menselijk handelen om een situatie onder controle te brengen die zo dynamisch is dat statische Identity-modellen niet meer aansluiten.
• Het vormgeven van aanvraag- en goedkeuringsprocessen die snel door de eigen organisatie ingericht kunnen worden met maximale self service en workflows om aanvragen te beoordelen.

Van ’ist’ naar ‘soll’

Er zijn twee belangrijke uitdagingen bij het inrichten van Identity Governance. De eerste is het bepalen van de ‘soll’ en de tweede is van ‘ist’ naar ‘soll’ te komen. Uit ervaring weten wij dat het probleem niet zozeer ligt in het kiezen of maken van een platform om de ‘ist’ te bekijken. Maar hoe bepaalt u wat de gewenste situatie is? Wat is uw startpunt en hoe vertaalt u dat naar het systeem wat u gaat gebruiken? Dat begint bij het bepalen van de uitgangspunten voor uw organisatie.

Auditeerbaarheid

Wanneer u wilt kunnen aantonen dat u ‘in control’ bent, dan moet u Identity Governance inrichten op een manier waarop u het audit-waardig is. Governance in de zuiverste vorm betekent: processen waartegen beleid wordt gecontroleerd. Dat wil zeggen dat het verlenen en intrekken van toegang een vooraf bepaald proces moet volgen en toetsbaar moet zijn op beleid. U moet daarvoor besluiten nemen over welke toegang gewenst en ongewenst is maar ook over de werkwijze, de rollen die u onderkent en de verschillende stappen in het proces. De kern daarin zijn grant en revoke, oftewel de uitgangspunten wanneer en op welke gronden toegang wordt goedgekeurd of afgekeerd.

Eisen en wensen van auditors

Om nog wat verder door te gaan op auditeerbaarheid: een auditor is in principe alleen maar geïnteresseerd in bewijs dat de verleende toegang geen toeval of willekeur was. Voor een auditor hoeft u dus ‘alleen’ te kunnen aantonen dat het proces gevolgd is.

Strategische keuze vooraf: uw Identity Governance-aanpak

Hoe kunt u ervoor zorgen dat Identity Governance & Administration wordt ingericht op een manier die het beste aansluit bij uw organisatie? Dat begint bij het nemen van een aantal strategische keuzes qua aanpak. Er zijn namelijk verschillende manieren om de ‘wie, waarom en wat?’-vraag over toegangsrechten te beantwoorden. Dit is één van de belangrijkste keuzes, want elke optie heeft impact op onder andere de snelheid van implementatie – en daarmee ‘time to value’ –, flexibiliteit en beheersbaarheid.

Klassiek: role mining

Role Mining begint bij de ‘wat’. Hierbij wordt in kaart gebracht welke mensen op dit moment toegang hebben tot welke informatie. Deze methode lijkt in eerste instantie vaak wel snel resultaten te leveren, maar loopt daarna stroever en vaak vast. Een belangrijke oorzaak hiervan is dat alle uitzonderingen op de regels door de jaren heen de gebruikte systematiek en structuur hebben vervuild.

Deze methodiek leent zich slecht voor een pragmatische ‘nu beginnen, later uitbouwen’-aanpak zoals FuseLogic die hanteert. Role mining vergt data van de bestaande situatie die eigenlijk pas beschikbaar komt met het aansluiten van applicaties. Daarmee is role mining geen eenmalig project maar een proces dat steeds weer herhaald moet worden en daarmee steeds ingewikkelder wordt.

Deze aanpak past slecht bij moderne dynamische organisaties en is in onze beleving eigenlijk achterhaald.

Klassiek: role based access control (RBAC)

RBAC begint juist bij de ‘wie’-vraag met een inventarisatie en theoretische benadering van de mensen, de rollen die zij binnen de organisatie vervullen en de mogelijke groepering van rollen en rechtensets. Het maken van de rol is gebaseerd op een gemeenschappelijk kenmerk van de populatie mensen waarvoor de rol is bedoeld.

Hierbij ontstaan de volgende uitdagingen:

• bij een menselijke selectie van de toe te kennen rol moeten de toekenner en herbeoordeler van de rollen de juiste populatie (her)kennen, wat moeilijker is in organisaties die sterk ‘kennis’ en steeds minder ‘proces’ zijn georiënteerd;
• bij een automatische selectie van de toe te kennen rol zijn de toekenningsregels complex (combinaties van afdelingscodes, functiecodes, medewerkerstypen etc.) eb daarmee wordt deze automatisering extreem gevoelig voor wijzigingen in de organisatie. Onze visie: RBAC is geen automatiseringsmethode – hoewel dat vaak wel zo wordt gezien – en de winst in het toekenningsproces verlies je in de inspanning die nodig is om de rolmodellen te beheren. Onderaan de streep levert het feitelijk geen winst, maar het belet wel het proces van snel waarde leveren.

RBAC is ontwikkeld in een tijd van meer statische bedrijfsprocessen met een voorspelbare en langdurig gelijkblijvende relatie tussen bepaalde groepen medewerkers en de taken die zij uitvoeren, zoals fabrieksprocessen. Tegenwoordig zijn veel organisaties sterk op kennis georiënteerd en minder op het proces. Er wordt vaker in wisselende teams, projecten en matrix-organisaties samengewerkt. Die dynamiek gaat al snel leiden tot een grote inspanning om rollen en rechtensets continu aan te passen en te onderhouden, iets waarvan de impact vaak wordt onderschat. Een van de andere nadelen van de RBAC-benadering is dat organisaties snel verzanden in zeer theoretische modellen die mensen uit de business niet meer herkennen.

Innovatief: Reasons for Access

Deze unieke door FuseLogic ontwikkelde aanpak begint bij de redenen ‘waarom’ mensen toegang moeten hebben tot bepaalde bedrijfsmiddelen. Deze reden kan liggen in het type werkzaamheden (sales, HR, finance etc.) en/of de rol die een individueel persoon binnen de organisatie vervult (bijvoorbeeld wel of geen managementfunctie), aanmelding voor een studie, deelname aan een project of een bepaalde kostenplaats.

Essentieel is daarbij dat tegelijk wordt onderzocht of deze redenen ook daadwerkelijk afgeleid kunnen worden uit bronsystemen zoals bijvoorbeeld een HR-systeem, projectsysteem, CRM-systeem of een student-systeem. Maximale automatisering op basis van bestaande data zorgt voor een ongekende versnelling en voorspelbaarheid. Rechten worden zoveel mogelijk geautomatiseerd toegekend, maar ook direct aangepast of ingetrokken bij functiewijzigingen of uitdiensttreding.

Een belangrijk voordeel van deze werkwijze is de snelle waardecreatie: het is mogelijk om vanaf de eerste dag waarde te leveren aan de organisatie. Het vergt namelijk geen vooraf gedefinieerde complete visie op het applicatielandschap en op het bepalen van medewerkerspopulaties met gelijke applicatiebehoefte. Deze aanpak is zeer pragmatisch: starten met wat er nu beschikbaar is, en dat later verder uitbouwen. Door niet de medewerkerspopulatie als startpunt te nemen maar vanuit de data (attributen) te werken blijft het autorisatiemodel flexibel.

Op deze manier volgt Identity Government de dynamiek van de organisatie in plaats van andersom, en worden de termen en resultaten altijd door de organisatie herkend.

Identity Governance-oplossingen

Heeft u uw doelstellingen, beleid en de te volgen aanpak gedefinieerd? Dan is het tijd om te bepalen met welke oplossing u Identity Governance voor uw organisatie gaat inrichten. Kiest u voor de oplossing van Omada, Oracle, ForgeRock, Nexis 4, SailPoint, MicroFocus of Okta?

De oplossing is niet het vertrekpunt

Identity Governance draait in eerste instantie om het verkrijgen en houden van controle over ‘wie waarom toegang heeft’. De oplossing die u kiest moet dat mogelijk maken, maar is nooit het vertrekpunt. Onze meer dan 15 jaar ervaring in Identity Governance heeft ons geleerd dat het niet gaat om de hoeveelheid features en functies die de oplossing biedt. Meer features betekent meer keuzes over de inrichting en meer complexiteit bij de inrichting van de oplossing.

Snelheid van waardecreatie voor de organisatie

Waar het wat ons betreft wel om gaat is de snelheid waarmee waarde voor de organisatie wordt geleverd. Wanneer u snel resultaten boekt dan groeit het enthousiasme en draagvlak, wat essentieel is om door de tijd heen verder te verbeteren en optimaliseren. Automatisering van de identity lifecycle helpt om de interne processen te stroomlijnen, toegang tot applicaties te versnellen en de werkdruk voor het reviewen van aanvragen te minimaliseren.

Ondersteuning voor legacy- en cloud-applicaties

Een toekomstvaste Identity Governance-oplossing moet ‘out of the box’ zowel legacy- als cloudapplicaties ondersteunen. Identity Governance omvat immers alle applicaties en data, waar die ook draaien. Een 100% cloud identity-oplossing is perfect voor uw huidige en toekomstige hybride IT-landschap.

Verschillende tools of integrale oplossing

U kunt verschillende tools gebruiken voor Identity Management, Identity Governance en Customer Identity Management. Met elke extra oplossing die u introduceert vergroot u de complexiteit en werkdruk op de IT-afdeling en verhoogt u de total cost of ownership (TCO).

Een van de redenen dat FuseLogic heeft gekozen voor een partnership met Okta is dat Identity Governance eenvoudig kan worden aangezet als add-on op een bestaande Okta Identity Management-implementatie. Door deze integratie worden alle instellingen naadloos overgenomen en worden alle identiteiten binnen één centrale omgeving beheerd. De voordelen: maximale snelheid, verbeterde efficiency en controle en grip op de kosten.

De aanpak van FuseLogic: Identity Governance at the speed of business

Identity Governance-trajecten kunnen een veelkoppig monster worden. Met een lange doorlooptijd, vaak nog uitloop, en daarmee een grote impact op de organisatie en kosten. Gebaseerd op meer dan 17 jaar ervaring hebben we best practices ontwikkeld om Identity Management en Identity Governance-projecten te versnellen.

Snelle start…

Onze bewezen aanpak biedt een snelle start waarmee uw organisatie binnen 30 consulting een bepaalde mate van aantoonbare controle heeft, inclusief mogelijkheden voor verdere optimalisatie. Dat bereiken we door te beginnen met een concreet plan van aanpak, niet met een grote collectie features en functies. Hierdoor vereenvoudigen we Identity Governance voor onze klanten tot een begrijpelijk, behapbaar en realiseerbaar traject.

… Leidt tot snelle resultaten en meer draagvlak

We beginnen niet met theoretische modellen, maar gaan op zoek naar bruikbare attributen/kenmerken in uw data om snel de eerste applicaties te kunnen aansluiten. Snelheid leidt tot enthousiasme en meer draagvlak.

Visie, mindset en oplossing gecombineerd

Wij leveren Identity Management en Identity Governance-oplossingen met een cloud-mindset. We hebben de kennis en expertise om de juiste prioriteiten te kunnen stellen en zorgen - met een beperkte inzet vanuit uw organisatie - voor snelle levering van een concrete oplossing waar u zelf mee vooruit kunt. Op basis van 17 jaar ervaring hebben wij een bewezen gestandaardiseerde werkwijze en aanpak.

Automatisering van het joiner mover leaver-proces

Met intelligente automatisering kunnen de toegangsrechten tot applicaties en data zoveel mogelijk geautomatiseerd worden toegekend en ingetrokken. Voor joiners, movers & leavers maar ook bij projectmatige werkzaamheden: de toegang tot bedrijfsapplicaties en informatie wordt zoveel mogelijk automatisch en dynamisch toegekend of ontnomen.

Automatisering vereenvoudigt ook de auditeerbaarheid, omdat het gemakkelijker wordt om aan te tonen dat oorzaak X (het ‘waarom’) resulteert in gevolg Y (de toegang). Door deze automatisering wordt het ook eenvoudiger om toegangsrechten regelmatig te controleren. Applicatie-eigenaren en managers krijgen geen grote Excel-bestanden via de mail om rechten te controleren, maar krijgen toegang tot een portaal waarin ze alleen de uitzonderingen op het beleid hoeven te beoordelen.

Certificering en inzicht

Omdat certificering integraal onderdeel van de oplossing is, wordt het certificeringsproces vereenvoudigd. U heeft op elk gewenst moment volledig inzicht in de verstrekte rechten en kunt conflicterende rechten en ongewenste permissies voorkomen.

Op tijd en binnen budget

Dankzij onze unieke aanpak, kennis en ervaring kunt u binnen budget, en in de meeste gevallen binnen 10-30 consulting dagen met de eerste applicaties live gaan.

Meer weten?

FuseLogic levert oplossingen die toegang en controle tot applicaties maximaal automatiseren, en waarmee u live kunt gaan binnen 30 consulting dagen. Hierdoor bent u snel ‘in control’ en volgt Identity Governance de snelheid van de business, in plaats van andersom.

Maak kennis met onze unieke aanpak

Ontdek hoe wij ongekende versnelling realiseren in Identity Management- en Identity Governanceprocessen

Download ons gratis solution paper Identity Management at the speed of business.

Maak kennis met onze snelle, voorspelbare Okta-implementatie op basis van 15 jaar ervaring en meer dan 40 succesvolle en snelle implementaties.

Neem contact op

Wilt u weten hoe we Identity Governance ook voor uw organisatie flexibeler en minder complex kunnen maken, zonder in te leveren op veiligheid en gebruiksgemak? Neem dan vandaag nog contact met ons op voor een vrijblijvende kennismaking.