Staat identity management op de tocht?

03-01-2010 09:06 | Door Tjeerd Seinen | Lees meer artikelen over: IT-auditing, Compliance, Identity Management | Er zijn nog geen reacties op dit artikel | Permalink

Computable Expert

ing. Tjeerd Seinen MBA

Sales Manager

Expert van Computable voor de topics: Infrastructuur en Beheer

Meer

Een goed uitgedacht identity management-beleid is al jaren een ondergeschoven kindje binnen organisaties. De meeste organisaties gaan pas met identity management aan de slag wanneer zij hier omwille van regelgeving of externe audits niet meer omheen kunnen. Dat is dan ook de reden dat andere landen hierop voorlopen ten opzichte van Nederland.

Het naleven van compliance en audits is natuurlijk een hele goede aanleiding voor een strategisch identity management-beleid, maar door hier de focus op te leggen doet een ander gevaar zich voor. Er zijn verschillende mogelijkheden voor het technisch inrichten van een identity management-omgeving. Veel organisaties maken mijn inziens een minder logische keuze.

Blind staren

Omdat zij zich blind staren op audits en regelgeving, implementeren zij vaak een bi-systeem of datawarehouse-achtige oplossing waarin toegangsrechten van medewerkers worden opgeslagen. Iedere maand haalt deze oplossing dan een CSV-bestand met mutaties op bij de verschillende netwerksystemen (bijvoorbeeld HR-systeem, Active Directory). Vervolgens wordt uit deze database een rapport uitgedraaid en aan de hand daarvan worden inconsistenties ten aanzien van regelgeving opgeheven.

Vervuiling bronsystemen

Op het eerste gezicht klinkt dit heel logisch. Maar als we kijken naar andere mogelijkheden voor het technisch inrichten van een identity management-omgeving, dan zullen organisaties zich realiseren dat deze werkwijze water naar de zee dragen is. Want als het netwerksysteem vervuild is, en dat is bij veel organisaties het geval, dan laat ieder CSV-bestand ook ieder keer een vervuiling zien. Daarnaast is de ervaring dat organisaties al snel één à twee fte nodig hebben voor het managen van de maandelijkse rapportages. Tot slot betekent een maandelijkse (en niet realtime) update van toegangsrechten dat ontslagen of tijdelijke werknemer nog steeds toegang hebben tot het bedrijfsnetwerk. Door deze aanpak komt het beheren van user accounts dus op de tocht staan.

Ik denk dat organisaties hun auditing-proces anders kunnen inrichten, waarmee ook het beheren van user accounts wordt ondersteund. Ik adviseer organisaties om als eerste stap in hun identity management-beleid user accounts (automatisch) te provisionen. De logs en rapportages kunnen worden gebruik voor auditing en compliance. Twee vliegen in één klap dus! En zelfs meerdere vliegen, want ook workflow management en RBAC kunnen hier eenvoudig aan toegevoegd worden. En dat betekent een completere indentity management-omgeving.

	Aantal reacties met 3+ sterren		Gemiddelde waardering
1	PaVaKe	154	6.4
2	Reza Sarshar	120	6.7
3	Henri Koppen	109	6.4
4	edekkinga	79	6.6
5	Jaap-G	53	6.1
6	Guido Groeneweg	49	6.3
7	Ruud Mulder	47	6.5
8	mauwerd	43	6.1
9	Frank Brechts	43	6.0
10	Rob Koelmans	40	6.3

Opinie / Security

Staat identity management op de tocht?

Blind staren

Vervuiling bronsystemen

10-02 Het einde van het begin van cloud en virtualisatie

10-02 De windwakken van de cloud-sector

09-02 Citoto

09-02 Lang leve de hackers!

09-02 Modder gooien in ICT-land

08-02 Reseller verliest slag om het groene huishouden

08-02 Hadoop lijkt een alleskunner

07-02 Hou zicht op de informatie bij HNW

07-02 Eigen werknemer kan ook een vijand zijn

06-02 Krachtenbundeling NGI en TestNet is goede zaak

10-02 SecureLink migreert Microsoft-diensten Atradius

09-02 Vodafone: Wij spelen klantinformatie niet door

09-02 Lang leve de hackers!

09-02 'Ook met cookiewet is gebruiker niet anoniem'

09-02 'KPN koppelt ID aan internetverkeer'

08-02 'Nieuwe cookiewet is eenvoudig te omzeilen'

07-02 Eigen werknemer kan ook een vijand zijn

03-02 'Overheid vreest voor veiligheid in de cloud'

01-02 F5 beschermt openbare websites

31-01 Publieksvoorlichting is belangrijke taak voor NCSC

Best Practices om laptop-data te beschermen