Wat is Identity and Access Management (IAM)?

Identity & Access Management (IAM) verwijst naar de processen, beste practices en technologieën rondom het beheren van identiteitsinformatie, waaronder authenticatie, autorisatie en accounting. IAM zorgt ervoor dat de toegangsrechten van individuen worden toegepast zoals nodig, op basis van hun zakelijke rollen of relaties binnen een organisatie.

Hoewel het misschien niet als een essentieel onderdeel van dagelijkse taken lijkt, is IAM een belangrijk element van elke veilige IT-omgeving, vooral in een steeds verder gedigitaliseerde en mobielvriendelijke wereld. Elke organisatie moet ervoor zorgen dat IAM onderdeel is van hun risicobeheer cyberbeveiliging.

Waarom is Identity & Access Management belangrijk?

IAM is een centraal onderdeel van de beveiliging en naleving van regelgeving binnen een organisatie. Je zou kunnen zeggen dat zonder IAM een organisatie geen beveiliging heeft en een nutteloze audittrail. IAM draait om weten wie iemand is, zodat je weet of je diegene moet toelaten tot de bank, het loket of de kluis. Ondertussen zou je audittrail en rapportage laten zien dat er veel is gebeurd, maar niet wie het heeft gedaan, waardoor je niet kunt aantonen dat je voldoet aan privacy- en gegevensbeschermingsregels of incidenten effectief kunt onderzoeken.

IAM is onderdeel van het identity & access management-domein, bestaande uit diverse subdomeinen:

Wat zijn de basiscomponenten van identity & access management (IAM)?

IAM-systemen voeren hoofdzakelijk drie basistaken uit: identificeren, authenticeren en autoriseren. Dit betekent dat alleen de bedoelde personen toegang krijgen tot specifieke hardware, software, applicaties en IT-middelen—en ook tot specifieke data en content—om taken uit te voeren. Een IAM-framework bevat componenten zoals:

• Gebruiker: Een identiteit met bijbehorende inloggegevens en permissies
• Groep: Een verzameling gebruikers waarvoor permissies voor meerdere gebruikers worden gespecificeerd, zodat beheerders schaalvoordelen behalen
• Beleid: Permissies en controles voor toegang tot een systeem, bron, data of content binnen een zakelijke context
• Rol: Een set van beleidsregels, doorgaans overeenkomend met het minimale aantal privileges dat nodig is voor een specifieke zakelijke functie, zoals boekhouding of marketing, die toegepast kan worden op gebruikers of groepen

Voordelen van Identity & Access Management

Er zijn diverse voordelen op het gebied van cyberbeveiliging verbonden aan IAM, waaronder:

Informatie delen

Door een gemeenschappelijk platform te bieden voor toegang en identiteitsbeheer, maakt IAM het mogelijk om dezelfde beveiligingsprincipes toe te passen op alle systemen, applicaties, data en content die binnen een organisatie worden gebruikt. IAM-frameworks stellen organisaties in staat om gebruikersauthenticatie, privileges en validatiebeleid te implementeren en te handhaven.

Verbeterde beveiliging

IAM-systemen helpen beveiligingsrisico’s te identificeren en beperken door overtredingen van ingestelde regels te signaleren. IAM-systemen vergemakkelijken ook het oplossen van ongeautoriseerde toegangsrechten zonder dat je meerdere systemen hoeft te doorzoeken.

Vereenvoudigde toegang

IAM vereenvoudigt inlog-, aanmeld- en gebruikersbeheerprocessen voor alle gebruikers en gebruikersgroepen in een systeem. Het maakt het eenvoudig om systeemtoegangsrechten toe te wijzen en te beheren, wat de tevredenheid van gebruikers verhoogt.

Hogere productiviteit

Omdat IAM de identity & access management-processen automatiseert en centraliseert, helpt het bij het creëren van geautomatiseerde workflows waarmee personeel hun productiviteit kan verhogen door handmatige taken, zoals het onboarden van nieuw personeel of bij functiewijzigingen, te verminderen. Het helpt ook fouten te verminderen die tijdens handmatige processen kunnen ontstaan.

Naleving van regelgeving

Vrijwel alle regelgeving vereist autorisatie of toegangscontroles voor het handhaven van beleid, evenals een audittrail en rapportage om naleving tijdens audits aan te tonen. Om correcte handhaving van toegangscontrole en toewijzing van verantwoordelijkheid te bewijzen, moeten de activiteiten die in de audittrail worden gevolgd altijd gekoppeld zijn aan geauthenticeerde gebruikers.

Implementatie van zero trust

Organisaties hebben gereageerd op de exponentiële toename van advanced persistent threat-aanvallen met een nieuw model voor beveiligingsarchitectuur, genaamd zero trust. IAM speelt hierin een centrale rol, omdat de kernprincipes van zero trust onder andere bestaan uit granulaire autorisatie voor alle resources—zoals assets, diensten, workflows, enzovoort—en authenticatie van gebruikers en systemen voordat toegang tot elke resource wordt verleend.

Wat zijn enkele gangbare IAM-standaarden?

Een goed IAM-systeem moet solide standaarden hebben die nauwkeurigheid waarborgen bij het voldoen aan compliance vereiste. Enkele veelgebruikte protocollen en standaarden in IAM-systemen zijn:

OAuth 2.0

Het OAuth 2.0-autorisatieprotocol maakt third-party risk management (TPRM) mogelijk—oftewel, hoe organisaties leveranciers en andere derde partijen in hun toeleveringsketen toegang geven tot beschermde systemen en gevoelige content via toegangstokens. Het is ook essentieel voor medewerkers die mobiele apparaten en externe systemen buiten de fysieke muren van het bedrijf gebruiken, en voor single sign-on (SSO).

User-Managed Access (UMA)

UMA is een op OAuth gebaseerd toegangsbeheerprotocol dat helpt bij het reguleren van toegang tot beschermde systemen door derde partijen.

Security Assertion Markup Language 2.0 (SAML 2.0)

SAML is een open standaard waarmee identity providers (IdP) gebruikers kunnen authenticeren en hun autorisatieverklaringen kunnen doorgeven aan serviceproviders. Met SAML kunnen gebruikers één set inloggegevens gebruiken om toegang te krijgen tot diverse webapplicaties. Het wordt vaak gebruikt voor het implementeren van single sign-on (SSO).

Next Generation Access Control (NGAC)

NGAC maakt systematische en beleidsconsistente benaderingen van toegangscontrole mogelijk, waarmee gebruikers al dan niet administratieve mogelijkheden krijgen.

Hoe functioneren IAM-systemen?

Taak	Functie
Gebruikers authenticeren	IAM-systemen authenticeren gebruikers door te bevestigen dat ze zijn wie ze zeggen dat ze zijn. Traditioneel gebeurt dit met inloggegevens, gebruikers-ID’s en wachtwoorden, maar tegenwoordig worden meerdere factoren ondersteund, zoals gezichts- of vingerafdrukbiometrie, het versturen van een eenmalig wachtwoord (OTP) via sms naar een geverifieerd apparaat, of een code uit een beheerde authenticator-app.
Gebruikers autoriseren	Toegangsbeheer zorgt ervoor dat een gebruiker precies het juiste niveau en type toegang krijgt tot een tool die hij of zij hoort te hebben.
Single sign-on	Identity & access management-oplossingen met single sign-on (SSO) stellen gebruikers in staat hun identiteit via één portaal te authenticeren in plaats van bij diverse resources. Na authenticatie wordt het IAM-systeem de bron van identiteitswaarheid voor de andere beschikbare resources. De gebruiker hoeft daardoor niet meerdere wachtwoorden te onthouden.
Gebruikersidentiteiten beheren	IAM-systemen kunnen worden gebruikt als enige directory voor het aanmaken, wijzigen en verwijderen van gebruikers. Ze kunnen worden geïntegreerd met één of meer andere directories en daarmee worden gesynchroniseerd. Identity & access management kan ook nieuwe identiteiten creëren voor gebruikers die gespecialiseerde toegang tot tools van de organisatie nodig hebben. Veel organisaties centraliseren ook het toewijzen van gebruikersrollen in IAM-attributen om het toewijzen van beleid in meerdere applicaties binnen de organisatie te stroomlijnen.
Provisioning en de-provisioning van gebruikers	Provisioning van een gebruiker houdt in dat wordt gespecificeerd tot welke tools en toegangsrechten (editor, viewer, administrator) iemand toegang krijgt. IAM-tools stellen IT-afdelingen in staat gebruikers te voorzien op basis van rol, afdeling of andere groepsindelingen. Identity management-systemen maken provisioning mogelijk via beleid gebaseerd op rolgebaseerde toegangscontrole (RBAC).
Rapportage	IAM-tools genereren rapporten na acties op een systeem (zoals inlogtijd, welke resources zijn benaderd en het type verleende authenticatie). Dit helpt om naleving te waarborgen en eventuele beveiligingsrisico’s te beoordelen.

Beste practices voor het implementeren van Identity & Access Management

Het doel van identity & access management (IAM) is ervoor te zorgen dat alleen geautoriseerde personen toegang hebben tot bedrijfsapplicaties en informatie-assets. IAM-systemen bieden single sign-on (SSO)-mogelijkheden, wat betekent dat gebruikers slechts één set inloggegevens nodig hebben om toegang te krijgen tot al hun applicaties. Deze beste practices zorgen ervoor dat de web- en lokale applicaties van je organisatie veilig blijven naarmate je IAM-tools en -technologieën verder adopteert.

Bepalen welke informatie-assets bescherming nodig hebben en wie toegang moet krijgen

Als het gaat om IAM, zijn er beste practices die organisaties moeten volgen om de veiligheid van hun data te waarborgen. Een van de belangrijkste stappen is bepalen welke informatie-assets bescherming nodig hebben en wie er toegang toe moet krijgen.

Waar data, informatie en content als informatie-assets worden behandeld in de ware zakelijke en boekhoudkundige zin, is het belangrijk om verschillende niveaus van toegang, authenticatie en autorisatie op elk asset toe te passen. Dit lijkt een eenvoudige taak, maar wordt vaak over het hoofd gezien of krijgt niet genoeg aandacht. Organisaties moeten hun informatie-assets inventariseren en bepalen welke gevoelige content bevatten die beschermd moet worden. Ze moeten ook vaststellen wie toegang tot deze data nodig heeft en met welk doel.

Bepalen van methoden voor identiteitsverificatie

Er zijn veel beste practices voor het implementeren van IAM, maar een van de belangrijkste aspecten is het bepalen van methoden voor identiteitsverificatie. Om de data van een organisatie goed te beveiligen, is het essentieel om eerst te verifiëren dat gebruikers zijn wie ze zeggen dat ze zijn.
Er zijn diverse manieren om dit te doen, van eenvoudige gebruikersnaam- en wachtwoordcombinaties tot complexere multi-factor authentication-schema’s. Het belangrijkste is om een methode (of combinatie van methoden) te kiezen die identiteiten effectief verifieert zonder te belastend te zijn voor gebruikers.

Ontwikkelen van beleid en procedures voor gebruikersbeheer

Als het gaat om identity & access management, draait het bij beste practices altijd om het ontwikkelen van beleid en procedures voor het beheren van gebruikersaccounts. Gebruikersaccountbeheer vormt namelijk de basis van een effectieve beveiligingsstrategie. Duidelijk beleid en procedures zorgen ervoor dat alleen geautoriseerde gebruikers toegang hebben tot je systemen en data.
Daarnaast kunnen regelmatige accountcontroles helpen potentiële problemen te identificeren—zoals toegang die niet langer nodig is door een wijziging in de status van een partner—voordat ze ernstige problemen worden.

Processen zoveel mogelijk automatiseren

In identity & access management is het een beste practice om processen waar mogelijk te automatiseren. Dit helpt ervoor te zorgen dat gebruikers de juiste rechten hebben en dat privédata goed wordt beschermd.

Automatisering helpt ook fouten te verminderen en de efficiëntie te verbeteren. Er zijn verschillende manieren om processen te automatiseren, bijvoorbeeld door gebruik te maken van scripts of tools met ingebouwde functionaliteit. Automatische opschorting van ongebruikte accounts na een standaardperiode vermindert risico’s en is vereist door veel beveiligings- en privacyregelingen. Bij het kiezen van een oplossing is het belangrijk om te letten op gebruiksgemak en compatibiliteit met bestaande systemen.

Gebruikersactiviteit monitoren om verdacht gedrag te detecteren

Een van de beste practices voor identity & access management is het monitoren van gebruikersactiviteit op verdacht gedrag.

Dit kan door inlogtijden, mislukte inlogpogingen en ongebruikelijke inlogpatronen te volgen. Zo kun je snel potentiële bedreigingen identificeren en stappen ondernemen om deze te beperken. Een “fail2ban”-beleid automatiseert het blokkeren van inlogpogingen vanaf een bepaald IP-adres na een reeks mislukte logins, uitgaande van een bot die probeert binnen te dringen via brute force (trial-and-error met veelgebruikte inloggegevens).

IAM-configuraties regelmatig beoordelen en bijwerken

Organisaties moeten hun configuraties regelmatig beoordelen en bijwerken. Dit helpt ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben tot gevoelige data en systemen, waardoor de organisatie wordt beschermd tegen mogelijke datalekken.

Regelmatige beoordelingen van IAM-configuraties helpen ook om potentiële zwakke plekken in de beveiligingsstatus van een organisatie te identificeren, zodat deze kunnen worden aangepakt voordat ze worden misbruikt. Door een proactieve aanpak van IAM houden organisaties hun data en assets veilig tegen ongeautoriseerde toegang.

De juiste IAM vinden voor het beheren van communicatie met gevoelige content

Het gebruik van een IAM-oplossing is een vereiste voor het beheren van inlogtoegang tot tools voor communicatie met gevoelige content. Welke IAM-oplossing je ook gebruikt, het resultaat moet een consistente SSO-inlogervaring zijn op alle apparaten, de desktopclient en eventuele plug-ins. Belangrijke mogelijkheden waar je op moet letten in een IAM-oplossing zijn onder andere:

• Er wordt nooit een wachtwoord verzonden tenzij het is versleuteld
• Slechts één login per sessie is nodig, waarbij inloggegevens bij het inloggen worden doorgegeven tussen resources zonder dat extra logins nodig zijn
• Wederzijdse authenticatie waarbij een client zijn identiteit aan een server bewijst en een server zijn identiteit aan de client
• Invoering van beste practices voor wachtwoordbeheer, zoals minimale wachtwoordlengte en tekencombinaties, wachtwoordverval, het beperken van hergebruik van eerdere wachtwoorden, enzovoort

Het Kiteworks Private Content Network integreert naadloos met de IAM-componenten in vrijwel elke security stack van een organisatie, zoals Okta, Azure Active Directory, LDAP, SMS en Ping Identity, en ondersteunt SAML 2.0, OAuth, Radius en diverse authenticator-apps. Hierdoor kan Kiteworks toegang beheren tot de diverse communicatiekanalen voor gevoelige content op het Kiteworks-platform—voor zowel interne als externe gebruikers.

Kiteworks past IAM toe op de resources die uiteindelijk beveiligd en gevolgd moeten worden—de gevoelige content van de organisatie—in plaats van alleen de systemen, applicaties en functies die de content in rust bevatten. Content beweegt immers tussen applicaties, en tussen een organisatie en haar klanten, medewerkers en, het meest problematisch, derde partijen: toeleveringspartners, toezichthouders, uitbesteders, advocaten, accountants en vele andere typen. Kiteworks helpt beveiliging en naleving te waarborgen door identiteit, authenticatie en autorisatie te gebruiken om dynamisch het juiste beleid toe te passen op de juiste gebruiker met de juiste content in de juiste context, en de acties van de gebruiker met die content te volgen voor compliance en verantwoordelijkheid, zelfs als deze tussen organisaties beweegt. Dit is essentieel voor organisaties die hun beveiligingsrisico willen beheren en willen voldoen aan privacy- en beveiligingsregels.

Organisaties kunnen het Kiteworks Private Content Network in actie zien door vandaag nog een demo op maat in te plannen.

Terug naar Risk & Compliance Woordenlijst