In de meeste IT-omgevingen wordt nog steeds gebruik gemaakt van het klassieke rolgebaseerde account managementsysteem. Dit heeft in het verleden al geleid tot ernstige inbreuk op de beveiliging van het informatiesysteem, de zogenaamde ‘security breach’. In deze blog ga ik wat dieper in op de gevaren van identity management.
Over deze blogger
Dave Vijzelman heeft een ruime ervaring in het ontwerpen en implementeren van Identity en Access Management (IAM)-oplossingen. Zijn focus ligt vooral op toegang en data governance-strategieën. Daarnaast heeft hij ook een brede kennis van de technische aanpak van Identity en Access management (IAM). In zijn huidige functie als Senior Solution Architect voor Dell Software is Dave verantwoordelijk voor de architectonische benadering van Access en Data Governance-oplossingen. Dave heeft een brede ervaring in een aantal zakelijke en industriële sectoren.
Want wat is het geval. Bij elk klassiek identity managementsysteem zijn er een of meer ‘super user’ – accounts die niet aan een individuele gebruiker maar aan het systeem zelf zijn gekoppeld. Deze accounts hebben de volledige rechten; voorbeelden van privileged accounts zijn de Unix root en Windows Active Directory account. Omdat deze gebruikers aan het systeem zijn gekoppeld en niet op individuele basis fungeren, worden de accounts meestal door alle systeembeheerders gedeeld. Wanneer er dan iets fout gaat is het niet eenvoudig om de exacte bron, lees beheerder, te traceren. Zo kunnen in een grote IT-omgeving ten tijde van een incident wel tientallen super users ingelogd zijn. Een kwaadwillige beheerder kan de sporen van zijn activiteiten wissen door bijvoorbeeld de systeemlogbestanden aan te passen of deze geheel te wissen. In het algemeen speelt er een aantal problemen met het privileged account-systeem: ze hebben te veel macht, system accounts moeten door meerdere gebruikers worden gedeeld, super users kunnen anoniem blijven en er is een gebrek aan auditing-faciliteiten. Dezelfde beveiligingsaspecten gelden trouwens ook voor de ‘normale’ gebruikers maar deze hebben bij een security breach meestal minder impact.
Het inefficiënte identity managementsysteem
Voor een grote onderneming met tientallen systeembeheerders en duizenden gebruikers is het bijna onmogelijk om de bevoegdheden van elke individuele gebruiker bij te houden. Gebruikers hebben vaak een of meer accounts met verschillende bevoegdheden. Sommige gebruikers, part time of ZZP-ers, hebben slechts tijdelijk toegang. Na beëindiging van de werkzaamheden worden de accounts soms niet, of te laat, verwijderd. Doordat accounts op verschillende niveaus of afdelingen worden gecreëerd, bestaat er vaak geen algemeen overzicht van alle actieve en niet meer actieve gebruikers en hun bevoegdheden. In het algemeen werkt een managementsysteem op basis van identiteit inefficiënt en brengt allerlei ongewenste beveiligingsproblemen met zich mee.
Samengaan van identity en priviliged systemen
De vraag is of er niet een beter systeem beschikbaar is die de genoemde risico’s kan verkleinen. Het antwoord is ‘ja’, want daarvoor zijn er inmiddels al verschillende zogenoemde privileged user managementsystemen op de markt verschenen. Het landschap van identity managementsystemen is voortdurend aan het veranderen. Een nieuw fenomeen is de samensmelting van identity en access management (IAM) met access governance (inclusief authorisatie, scheiden van bevoegdheden, compliance auditing en monitoring) en acces control-systemen (risico-, attribuut en rol-gebaseerd).
Privileged user managementsysteem
In een privileged user management systeem vindt de delegatie van bevoegdheden niet langer plaats vanuit het gezichtspunt van IT-beheer maar vanuit de business. Door unieke accounts voor elke gebruiker toe te kennen, in plaats van generieke accounts, is de toegang zowel controleer- als traceerbaar. Een systeem met gecontroleerde toegang biedt de mogelijkheid om een governance policy te definiëren waarin de vijf ‘Ws’ staan beschreven: Wie, Wat, Waar, Waarom en Wanneer.
In het access governance-systeem is de aanvraag van accounts volledig geautomatiseerd. Van alle regels en policies bestaat uit een model. De macht is niet langer in handen van IT-beheer maar van de line of business (LOB).
