Door verschillende ontwikkelingen op het gebied van wet- en regelgeving, maar ook door bewustwording bij bedrijven en organisaties, wordt er steeds vaker gebruik gemaakt van IAM-oplossingen (identity en access management), om zo een veilige toegang tot applicaties te bieden. Met een goed ingericht identiteitenbeheer krijgen werknemers alleen toegang tot de applicaties waar zij recht op hebben. Dit verbetert beveiliging (kans op misbruik wordt kleiner) en verhoogt de veiligheid (kans op datalekken wordt kleiner).
Ontwikkelingen op het gebied van IAM-oplossingen worden niet alleen aangejaagd door nieuwe wetten, ook maatschappelijk en technologische veranderingen zorgen ervoor dat IAM-oplossingen altijd in beweging blijven. De volgende 10 spannende ontwikkelingen maken duidelijk dat toegang tot de juiste informatie een steeds belangrijkere rol gaat spelen.
1 Wet- en regelgeving
De Algemene Verordening Gegevensbescherming (AVG) vraagt een hoge mate van aantoonbaarheid van organisaties. Aangetoond moet kunnen worden wie waarom welke toegang tot informatie heeft of heeft gehad.
Dat betekent dat het ‘waarom’ binnen IAM-oplossingen, het vastleggen waarom heeft die persoon dat recht heeft, essentieel en zelf wettelijk verplicht is. Deze vastlegging en de mogelijkheid dit op overtuigende wijze te kunnen tonen aan toezichthouders zal voor steeds meer organisaties een belangrijke strategische rol gaan spelen.
2 Customer Identity Management
Mede door de komst van de AVG wordt CIM van een groter belang. Het is niet langer voldoende om de klanten toegang tot hun gegevens te geven. Klanten hebben ook rechten over wat er met hun gegevens gebeurt (consent management).
Een belangrijke ontwikkeling voor IAM-oplossingen hierin is het ontstaan van ‘persoonlijke datakluizen’ waarin de klanten zelfstandig kunnen inzien en aanpassen wie bij hun informatie kan.
3 Consumer Authentication
Voor consumenten komen er steeds meer ‘generieke’ authenticatiemiddelen die als valide en betrouwbare methode kunnen gelden. De klanten zullen meer en meer zelf bepalen welke authenticatiemethoden zij vertrouwen en willen gebruiken voor toegang tot gevoelige gegevens. Informatieleveranciers zullen van hun kant bepalen welke methode van authenticatie zij vertrouwen en tot in welke mate.
Afhankelijk van deze inschatting zal de consument meer of minder informatie beschikbaar krijgen uit IAM-oplossingen.
4 Smart Authentication
Op dit moment gebruiken IAM-oplossingen in de meeste organisaties, voor de eigen medewerkers, nog twee authenticatiemethoden: gebruikersnaam en wachtwoord voor werkplekken binnen de organisatie en een toevoeging van een token voor andere werkplekken of risicovolle applicaties.
Mobiliteit en risico gebaseerde informatieveiligheid vragen erom dat IAM-oplossingen voorzien in een meer flexibele authenticatie waarbij de situatie, het risico en de context bepaald welk middel of middelen dienen te worden ingezet voor authenticatie (Context Bases Authenticatie of Risk Based Authenticatie).
5 Informatie Based Autorization
Informatie is de basis voor rechten. Hoe, met welk middel of met welke app, de informatie wordt benaderd wordt minder relevant. Dit betekent dat de toegangscontrole uitgaat van informatie en op basis daarvan bepaalt gebruik van een middel (device en app) wel of niet toestaat.
Voor IAM-oplossingen betekent dit dat de toegang verschuift van applicatie-autorisatie naar autorisatie op basis van informatieclassificatie. Het is niet meer van belang dat een persoon (klant, medewerker of partner) een bepaald recht heeft in applicatie X, maar dat de persoon de informatie met classificatie C mag lezen of verwerken.
6 Dynamic Authorization
Dynamic Authorization ligt in lijn met het vorige punt. In dit geval wordt niet de manier van authenticatie bepaald door de vooraf vastgestelde attributen, maar de informatie die op dat moment over de situatie beschikbaar is. Zo kan op een interne werkplek tijdens kantooruren meer worden ingezien dan op een thuiswerkplek gedurende het weekeinde. Dynamic Authorization binnen IAM-oplossingen bepaalt de rechten van een medewerker niet op basis van statische rollen, maar op basis van de actuele situatie.
7 Access Intelligence
Access Intelligence analyseert het aanmeldgedrag van een identiteit en acteert op het moment dat het gedrag afwijkt van de standaard patronen. Zo kan bij het aanmelden op een ongebruikelijk moment of vanaf een onbekende locatie om een extra authenticatie worden gevraagd. Ook kan bij aantoonbaar oneigenlijk gebruik rechten direct worden ingetrokken. Voorbeeld hiervan is het blokkeren van een identiteit die vanuit Nieuw Zeeland aanmeldt terwijl een uur eerder dat account nog in Groningen actief was.
Voor IAM betekent dit de inzet van snelle en geavanceerde IAM-oplossingen om binnen acceptabele tijden de situatie te analyseren en rechten in te zetten op basis van context gegevens.
8 Unstructured data
Een groot deel van de datalekken en veiligheidsincidenten ontstaat vanuit zogenaamde ‘unstructured data’: informatie die in e-mails staat, op fileshares of in cloud-opslagplaatsen als OneDrive en Dropbox. De inzet van data-analytics kan deze vergaarbak aan informatie in kaart brengen. Ten eerste door alle overtollige data (DOT: Duplicate, Obslote of Trivial) te vinden en op te schonen, wat tot een besparing in opslagruimte van 70% kan leiden.
De volgende stap is het automatisch categoriseren van de data-analytics op basis van kenmerken. De koppeling met IAM-oplossingen in een identity management systeem zorgt ervoor dat er sprake is van information based autorization.
9 Privileged Account Management
PAM-systemen bewaken het gebruik van accounts met hoge rechten. Privileged users, die gebruik maken van deze accounts kunnen deze accounts uitsluitend gebruiken voor de taken waarvoor ze de extra rechten nodig hebben en gedurende de periode die gepland staat voor die taak. Het PAM-systeem legt alle handelingen die de privileged user met het privileged account uitvoert vast. Achteraf is altijd te traceren wie welke handelingen heeft uitgevoerd.
10 IAMAI
AI (Artificiële Intelligentie) gaat een steeds grotere rol spelen binnen IAM-oplossingen. Waar deze nu nog veel regelen op basis van menselijke beslissingen, of door mensen vastgelegde beleidsregels, vertrouwen zij steeds meer vertrouwd op AI-gebaseerde systemen.
Identity & Access Management Artificiële Intelligentie (IAMAI) kan bijvoorbeeld het vaststellen, bewaken en onderhouden van het rollenmodel grotendeels automatiseren. Data-analytics kan de huidige werkelijkheid in kaart brengen, terwijl machine learning ‘leert’ van de manier waarop rechten worden uitgegeven. Op deze manier ontstaan IAM-algoritmes die ervoor zorgen dat IAM-oplossingen personen op de juiste momenten de juiste digitale identiteiten beschi