Grip op identiteiten en toegang, van instroom tot uitstroom
IAM voor de overheid: soeverein en aantoonbaar in control
Identity and Access Management (IAM) is de voordeur van je digitale organisatie. Het regelt identiteitsbeheer en toegangsbeheer: wie een account heeft, hoe die persoon inlogt en welke rechten daarbij horen. Voor een overheidsorganisatie komen daar twee eisen bij. Je moet kunnen aantonen wie wanneer toegang had, en waarom. En je moet zelf bepalen wie de sleutels beheert.
KeyHub brengt identiteitsbeheer en toegangsbeheer samen in één platform, van de HR-bron tot het audit moment.
TABLE OF CONTENTS
IAM en digitale soevereiniteit: wie beheert je voordeur?
Digitale soevereiniteit betekent grip op je eigen data, systemen en leveranciers, onafhankelijk van buitenlandse wetgeving en grote techbedrijven. IAM is daarbij je voordeur: elke login en elk recht loopt erdoor.
Als identiteitsbeheer en toegangsbeheer buiten jouw invloedssfeer liggen, loop je drie risico’s:
- Toegang kan van buitenaf stoppen. Geopolitieke druk, sancties of een besluit van de leverancier kunnen ertoe leiden dat een dienst wordt beperkt of stopgezet.
- Jurisdictie. Buitenlandse wetgeving kan gelden voor de leverancier die jouw identiteiten en inloggegevens beheert.
- Afhankelijkheid. Hangen al je applicaties aan één externe identiteitsdienst, dan is overstappen lastig. Een exitplan begint bij de identiteitslaag.
Waarom toegang moet meebewegen met je medewerkers
Maandagochtend start een nieuwe collega. Haar rechten zijn nog niet geregeld, dus ze wacht dagen op toegang tot de systemen die ze voor haar werk nodig heeft. Een andere collega vertrok drie maanden geleden, maar zijn account werkt nog. Een derde wisselde twee keer van afdeling en heeft nu de rechten van alle drie zijn functies.
Deze drie situaties zijn precies de drie momenten van Joiner-Mover-Leaver:
- Joiner (instroom): een nieuwe medewerker heeft op dag één de juiste toegang nodig.
- Mover (doorstroom): bij een functiewissel horen nieuwe rechten, en vervallen de oude.
- Leaver (uitstroom): bij vertrek moet alle toegang direct worden ingetrokken.
Automatisch de juiste toegang, van de eerste tot de laatste werkdag
Handmatig toegangsbeheer draait op mailtjes, formulieren en geheugen. Identity Governance & Administration (IGA) neemt dat werk over. Het hart daarvan is Identity Lifecycle Management (ILM): HR wordt de bron, en zodra iemand begint, van functie wisselt of vertrekt, past de toegang zich automatisch aan op basis van vastgesteld beleid. IGA voegt daar de controle aan toe: goedkeuring, periodieke toetsing en een audit trail.
Het resultaat: rechten bewegen automatisch mee met wat er in HR verandert, en voor elk recht kun je laten zien waarom het er is, wie het goedkeurde en wanneer het voor het laatst is gecontroleerd.
Wat IGA voor je automatiseert:
- Accounts aanmaken en intrekken bij instroom en uitstroom, zonder ticket of formulier.
- Rechten toekennen op basis van functie: beleid vertaalt functie en afdeling naar de juiste toegang.
-
Oude rechten opruimen bij een functiewissel, zodat rechten zich niet opstapelen.
- Aanvragen en goedkeuren van extra toegang via een vast proces met een beoordelaar.
- Periodieke controle: verantwoordelijken bevestigen of toegang nog nodig is.
- Vastleggen: elke wijziging komt in het auditlog.
Zo houd je toegang veilig en aantoonbaar, van inlog tot audit
- Joiner-Mover-Leaver met IGA
- Aanvragen, goedkeuren en functiescheiding
- Single sign-on, MFA en tijdelijke beheerrechten
- Hercertificering en auditlog
Joiner-Mover-Leaver beschrijft de drie momenten waarop toegang moet veranderen: instroom, doorstroom en uitstroom. De HR-bron is het vertrekpunt, want daar staat wie wanneer begint, van functie wisselt of vertrekt. Beleid vertaalt functie en afdeling naar de juiste toegang, en de uitvoering gebeurt automatisch. Zo krijgen mensen op dag één wat ze nodig hebben, en verdwijnt wat ze niet meer nodig hebben op tijd. KeyHub koppelt kant-en-klaar met AFAS en automatiseert instroom, doorstroom en uitstroom vanuit die bron.
Niet alle toegang volgt uit een functie. Voor extra toegang hoort een vastgelegd proces: wie vraagt aan, wie beoordeelt en waarom is het goedgekeurd. Functiescheiding voorkomt daarbij dat één persoon een combinatie van rechten krijgt waarmee fouten of misbruik onopgemerkt blijven, zoals een betaling zowel aanmaken als goedkeuren. In KeyHub beoordelen groepsmanagers aanvragen voor extra toegang, en vooraf ingestelde conflicterende groepen worden geblokkeerd.
Met single sign-on (SSO) log je één keer in en heb je toegang tot al je gekoppelde systemen. Dat is prettiger en veiliger, omdat er minder wachtwoorden zijn om te vergeten, te delen of te lekken. Multifactorauthenticatie (MFA) voegt een tweede controle toe en hoort minimaal bij kritieke systemen en externe toegang. Beheerdersrechten verdienen extra aandacht: geef ze alleen wanneer iemand ze nodig heeft en ruim ze daarna weer op. KeyHub biedt SSO via SAML en OIDC, en 2FA kan in KeyHub zelf of via de externe IdP
Rechten die ooit terecht waren, blijven dat niet vanzelf. Hercertificering laat verantwoordelijken periodiek bevestigen of toegang nog nodig is, met een hogere frequentie bij een hoger risico. Het auditspoor legt vast wat er is aangevraagd, goedgekeurd en ingetrokken, zodat je achteraf kunt herleiden hoe een situatie is ontstaan. In KeyHub hercertificeren groepsmanagers met een frequentie per risicoklasse, en het onveranderbare auditspoor legt aanvragen, goedkeuringen en intrekkingen vast.
IAM en compliancenormen
BIO 2.0
Voor identiteitsbeheer en toegangsbeheer vraagt dat onder meer een toegangsbeleid, een aantoonbare levenscyclus van rechten, MFA, functiescheiding, periodieke review en een auditspoor.
ISO 27001
ISO 27001 stelt eisen aan toegangsbeheer en aan het beheer van bevoorrechte toegang. Tijdelijke, taakgebonden rechten en een herleidbaar auditspoor sluiten daar inhoudelijk op aan.
NIS2 en Cyberbeveiligingswet
In Nederland is NIS2 omgezet in de Cyberbeveiligingswet. Die brengt registratie, zorgplicht, meldplicht en verantwoordelijkheid van het bestuur met zich mee. Aantoonbaar beheerde toegang maakt die verantwoordelijkheid invulbaar.
ENSIA
Gemeenten leggen via ENSIA verantwoording af over informatiebeveiliging, en daarbij telt bewijs meer dan beloften. KeyHub ondersteunt ENSIA-verantwoording.
Veelgestelde vragen
Overheidsorganisaties verschillen in omvang en taken, maar delen dezelfde opgave: veel medewerkers, gevoelige gegevens en strenge verantwoording. Deze aanpak past bij:
- Gemeenten
- Provincies
- Waterschappen
- Ministeries en rijksdiensten
- Uitvoeringsorganisaties en zelfstandige bestuursorganen
- Veiligheidsregio’s en samenwerkingsverbanden van gemeenten
IAM staat voor Identity and Access Management: het beheer van identiteiten, inloggen en rechten. Overheidsorganisaties werken met gevoelige gegevens, wisselende medewerkers en strenge verantwoording. IAM zorgt dat de juiste mensen bij de juiste systemen kunnen, en dat je dat kunt aantonen.
IAM regelt de toegang: accounts, inloggen en rechten. IGA borgt dat die toegang klopt, met Joiner-Mover-Leaver vanuit HR, beleid, goedkeuring, hercertificering en een auditspoor. IGA is daarmee het onderdeel van IAM dat de governance regelt.
Joiner-Mover-Leaver beschrijft instroom, doorstroom en uitstroom van medewerkers, en wat dat betekent voor hun toegang. De HR-bron is het vertrekpunt. Geautomatiseerd krijgen mensen op dag één de juiste rechten, vervallen oude rechten bij een functiewissel en wordt toegang ingetrokken bij vertrek.
BIO2 vraagt onder meer een formeel toegangsbeleid op basis van least privilege, een aantoonbare levenscyclus van rechten, gescheiden beheer van beheerdersrechten, MFA en periodieke review. Ook vraagt de norm om functiescheiding en een auditspoor waarmee je herleidt wie wanneer toegang had.
Cases
Organisaties zetten Topicus KeyHub in om grip te krijgen op digitaal toegangsbeheer, vooral in gevoelige en bedrijfskritische omgevingen. Het platform biedt helder inzicht, strakke controle en sluitende compliance.
Lees hoe organisaties complexe Identity & Access Management (IAM) succesvol aanpakken.
