Case study

Transparante systeemtoegang voor 17.000 UWV-medewerkers

Het moet de nachtmerrie zijn van elke informatiebeveiliger: de toegang regelen van 17.000 medewerkers tot de systemen van een organisatie waarin ruim 22 miljard euro per jaar omgaat. Uitkeringsinstantie UWV klaarde de klus in ruim twee jaar met RBAC: role based access control.

"Security is een nutsvoorziening. Daar moeten wij als ICT'ers de business mensen niet mee lastig vallen. Wij zijn typisch het soort organisatie waar de output heel belangrijk wordt gevonden. Wat er in de zwarte doos gebeurt, daar is niet zoveel belangstelling voor. En dat geldt al helemaal voor de controle van de toegang tot onze systemen." Toch speelt juist die toegangscontrole een hoofdrol in de ICT van Uitvoeringsinstituut Werknemersverzekeringen (UWV), zegt Bart van Staveren, security officer op het CIO Office van UWV.

Van Staveren: "UWV is nu zes jaar oud en is ontstaan uit de samenvoeging van een aantal uitkeringsinstanties. Bij de vorming van UWV waren er zes stelsels in gebruik plus nog wat extra's. Alle gebruikers waren gewend te werken in hun eigen omgeving met elk een eigen aanpak van de toegangscontrole bij het inloggen. Bij de samenvoeging tot één organisatie ontstonden er nieuwe rollen, nieuwe functies en nieuwe bevoegdheden. Al met al was er sprake van veel onduidelijkheid en ontstond er nogal wat vervuiling in de bevoegdheden van medewerkers. Dat leidde op den duur zelfs tot op- en aanmerkingen van de toezichthouder."

Twee fasen

De grote verscheidenheid aan systemen die UWV aan de fusie heeft overgehouden, het aantal medewerkers dat bij de operatie is betrokken en de ongeveer 1800 rollen die in de loop van het proces zijn geïdentificeerd, zorgen voor een veranderingstraject van ongekende omvang. "We zijn er meer dan twee jaar intensief mee bezig geweest: we begonnen in 2004 en in 2007 is de implementatie afgerond. Het zwaartepunt van de werkzaamheden van het projectteam lag in 2005 en 2006: het opschonen van de toegangsrechten tot het netwerk, de applicaties en de kantoorautomatisering en de opbouw van de rollenbibliotheek in het personeelsinformatiesysteem," aldus Van Staveren.

Van Staveren is trots dat UWV nu de beschikking heeft gekregen over een modern identity management systeem in een federatieve omgeving, dat single sign-on combineert met functiegerelateerd inloggen. Aan de rollen zijn rechten en plichten toegekend en vervolgens zijn er ICT-voorzieningen aan gehecht. UWV beschikt nu over een heel flexibele oplossing: bij een functieverandering van een van de 17.000 medewerkers gaan de rechten en plichten automatisch mee.

Eén mutatie volstaat