Organisaties die een Service Oriented Architecture (soa) implementeren, moeten in een vroeg stadium nadenken over de beveiliging daarvan en het toegangsbeheer goed regelen. Dat zegt Floris van den Dool, Security Lead EALA bij Accenture.
Floris van den Dool, Security Lead EALA bij Accenture: "Eén van de grote voordelen van SOA is de flexibiliteit en de efficiency bij ontwikkeling van nieuwe services. Maar zonder I&AM moet iedere service zelf voor de beveiliging gaan zorgen. Dat leidt tot een complexe beheerssituatie omdat iedere service zijn eigen security administratie vereist. Ook de benodigde tijd voor software ontwikkeling, test en deployment zal hierdoor toenemen."
Doe mee met het onderzoek
Heeft Floris van Dool gelijk? Geef je mening over de security-stellingen die Computable in samenwerking met MarketCap aan je voorlegt. De eindconclusies en opmerkingen die we via dit online onderzoek verzamelen publiceren we later in een security-dossier. Ook kun je een samenvatting per mail ontvangen, die nuttig kan zijn voor de besluitvorming binnen je eigen organisatie.
Bezoek ons security-seminar op 22 mei
Beveiliging is en blijft een hot topic. Veel ict'ers denken hun zaakjes op orde te hebben, maar vaak schort er nog wel wat aan de beveiliging. Computable kan je, met het security-seminar op 22 mei, helpen antwoorden te vinden voor uw situatie. Schrijf je nu in (gratis voor eindgebruikers).
Naar mijn mening heeft Floris het bij het rechte eind, beveiliging en toegangsbeheer wordt snel vergeten, immers de focus ligt op het implementeren van Service Oriented Architecture (soa).
Echter een SOA service maakt gebruik van identiteiten voor:
1e: om toegang te krijgen tot de webservices welke geregistreerd staan in een UDDI registry van de service providing partij.
2e: om toegang te verkrijgen tot de betreffende applicatie/ systeem waarvoor de webservice aangeboden wordt.
SOA services worden veelal vanaf een centraal punt aangeboden.
Het centrale Web Access Management (WAM) gedeelte in een Identity Access Management (IAM) systeem controleert en verleent de web-service benodigde toegang. Hierbij dient het Web Access Management (WAM) gedeelte gebruik te maken van een Identity Management (IdM) beheerd authenticatie systeem.
Wie toegang zal krijgen, op basis van een identiteit, tot de UDDI registry van de service providing partij wordt identhiek, als bij persoons identiteiten, beheerd in het Enterprise Entitlement Management (EEM) gedeelte in een IAM systeem. Ofwel ook het UDDI register wordt beheerd door de IAM oplossing.
Een Enterprise Entitlement Management (EEM) oplossing stelt de business in staat om op basis van rollen de toekenning van entitlements te laten plaatsvinden. De daadwerkelijk toekenning van rechten zal door Identity Management (IdM) uitgevoerd worden in de aangesloten applicaties/ systemen. Een Entitlement is het recht op een autorisatie binnen een applicatie/ systeem. Hierbij kan een autorisatie inhouden dat authenticatie op basis van een PKI certificaat moet plaats vinden.
Een modulaire IAM oplossing bestaat dus uit: Identity Mamagement (IdM), Web Access Management (WAM), en Enterprise Entitlement Management (EEM). Om nu een IAM oplossing compleet te maken zal gebruik moeten worden gemaakt van een Security Information