Hackers komen steeds met nieuwe tactieken om iedere kwetsbaarheid in zakelijke systemen te misbruiken, en ze hebben succes: regelmatig krijgen cybercriminelen toegang tot software, gegevens en andere gevoelige informatie. De bedreigingen op het gebied van cyberbeveiliging zijn zo geavanceerd, hardnekkig en kostbaar, dat de risico's allang geen gewone zakelijke kostenpost meer zijn. Een ransomware-aanval is bijvoorbeeld lang niet altijd afgekocht met één betaling voor de sleutel, en hackers kunnen complete bedrijven platleggen.

Veel organisaties werken overal: in de cloud, met data op het eigen netwerk, met gebruikers op kantoor, thuis of onderweg, met apparaten van de zaak of van medewerkers... en ieder toegangspunt brengt zijn eigen kwetsbaarheden met zich mee. De enorme hoeveelheid aan bedreigingen vraag om een holistische benadering. Identity en Access Management (IAM) is een kader van beleidsregels en technologieën, dat ervoor zorgt dat alleen de juiste mensen toegang krijgen tot de juiste materialen, op het juiste moment en om de juiste redenen. IAM omvat alle processen en tools die helpen om de identiteit en de toegangsrechten van deze gebruikers te bevestigen, en om de controle te houden over de onmisbare systemen waar een organisatie op draait.

Wat is Identity en Access Management (IAM)?  

Het idee van een speciale identificatie om toegang te krijgen, bestond al lang voordat professionals in de cyberbeveiliging hier een officieel beveiligingsconcept mee opbouwden. Denk maar aan een bibliotheekpas om boeken uit te lenen, of een pincode om geld op te nemen bij een automaat. Wachtwoorden en pincodes spelen ook nu nog een centrale rol voor het identiteitsbeheer en toegangsbeheer. Maar Identity en Access Management, kortweg IAM, gaat voorbij aan de beveiliging van individuele toepassingen. Het omvat complete systemen, die onmisbaar zijn om gevoelige gegevens te beschermen. IAM zorgt ervoor dat alleen de juiste mensen bepaalde gegevens kunnen ophalen of bepaalde taken kunnen uitvoeren.

Het samenspel tussen IAM en Zero Trust   

Net als IAM is Zero Trust ook een beveiligingsmodel voor digitale omgevingen. Het principe: “nooit vertrouwen, altijd controleren”. In tegenstelling tot traditionele modellen, waarbij alles op het netwerk als veilig wordt beschouwd, vereist Zero Trust steeds weer een verificatie van alle gebruikers en apparaten die proberen om toegang te krijgen tot bepaalde gegevens, software of netwerken. Daarbij maakt het niet uit of de aanvraag van binnen of buiten het netwerk komt. IAM levert de mechanismen en processen die nodig zijn om het principe van Zero Trust op een gebruiksvriendelijke manier te implementeren.

Waarom is IAM zo belangrijk?  

IAM speelt een cruciale rol in het terugdringen van zakelijke risico's. Het levert namelijk een gestructureerde benadering om digitale identiteiten en toegangsrechten te beheren, en dat helpt om hackers buiten uw systemen te houden.

De rol van IAM voor de gegevensbeveiliging   

Goede IAM-systemen hebben verschillende voordelen voor organisaties:

• Sterkere beveiliging: De strategieën voor Identity & Access Management zijn één van de beste manieren om het risico op gegevenslekken te verminderen, omdat ze ervoor zorgen dat alleen geautoriseerde gebruikers toegang krijgen tot gevoelige gegevens.   
• Hogere efficiency: Met IAM kunnen beveiligingsmanagers de processen voor het toegangsbeheer stroomlijnen, en dat bespaart de IT-afdeling een hoop werk.  
• Eenvoudigere compliance: Goed identiteitsbeheer verbetert ook de traceerbaarheid voor compliance-vereist, omdat een organisatie makkelijk kan nagaan wie er wanneer bepaalde systemen heeft gebruikt.  
• Voorbereiding op wachtwoordloze toegang: Het afschaffen van wachtwoorden staat centraal in nieuwe beveiligingsstrategieën tegen nieuwe bedreigingen. IAM-tools helpen met gespecialiseerde technologie voor identiteitsbeheer om cyberbeveiliging up-to-date te houden en het gebruik van wachtwoorden te verminderen – wat ook het risico van menselijke fouten verlaagt.   

De voordelen van IAM-software   

Bedrijven die Identity- en Access Management implementeren, verlagen niet alleen hun risico op beveiligingsincidenten. IAM helpt ook op andere vlakken:

• Sterkere bescherming en beveiliging van gegevens: IAM-software zorgt voor een significant betere gegevensbeveiliging, omdat het identiteitsbeheer garandeert dat alleen gebruikers met de juiste toegangsrechten bij gevoelige informatie kunnen. Met strenge verificatievereisten en toegangscontroles kunnen organisaties ongeoorloofde toegang tegengaan. En ze kunnen voorkomen dat mensen met toegang tot één deel van het netwerk direct overal kunnen “rondkijken”.  
• Gestroomlijnd toegangsbeheer: IAM-software maakt het een stuk makkelijker om de toegangsrechten en machtigingen van gebruikers te beheren. Geautomatiseerde processen voor het inrichten en intrekken van accounts besparen de IT-afdeling een hoop werk, en centraal toegangsbeheer zorgt ervoor dat toegang en machtigingen altijd up-to-date zijn en organisatiebreed worden toegepast.  
• Verbeterde operationele efficiëntie: IAM neemt veel taken over rondom het beheer van gebruikersidentiteiten en toegangsrechten, en zorgt zo dat de IT-afdeling efficiënter kan werken. En omdat handmatig routinewerk wegvalt, blijft er tijd over voor strategische initiatieven.  

De impact van Identity en Access Management op de compliance  

IAM-tools ondersteunen ook de naleving van verschillende wet- en regelgeving, zoals de AVG, HIPAA en SOX. Wetten voor gegevensbescherming vereisen namelijk vaak strenge controle over toegang tot gevoelige gegevens, en een gedetailleerde audit van gebruikersactiviteiten. Deze vereisten vragen om goed identiteits- en toegangsbeheer met uitgebreide functies:

• Compliance garanderen: Zorgen dat de toegangscontroles voldoen aan de wettelijke standaard.  
• Audit-trails: Gedetailleerde logs leveren van gebruikersactiviteiten voor verschillende audits.  
• Gegevensbescherming: Gevoelige gegevens beschermen met sterke controlemechanismen, die altijd een verificatie afdwingen.  

De belangrijkste componenten van een goed systeem voor Identity en Access Management  

 De 4 pijlers van IAM  

Het doel van IAM is om ongeoorloofde toegang tegen te gaan, zonder drempels op te werpen voor geoorloofde toegang. De 4 basiselementen zijn de strategieën die uw IT-omgeving en technologie beschermen. Ze organiseren de praktijken en protocollen die IAM gebruikt om uw complete infrastructuur veilig te houden, inclusief gebruikers, apparaten, cloudtoepassingen, netwerk en meer.

• Identity Governance and Administration (IGA): IGA draait om het beheer van lijsten met goedgekeurde gebruikers, die toegang moeten krijgen tot software, apps, apparatuur en tools. IGA bepaalt welke acties gebruikers wel en niet mogen uitvoeren en legt de protocollen voor toegang en verificatie vast.   
• Access Management (AM): De “AM” van IAM staat voor het toegangsbeheer. Hierbij gaat het om de mechanismen om tijdelijk (en gedocumenteerd) toegang te verlenen, bijvoorbeeld tot accounts, systemen of apparaten. Goed Access Management voert een controle van de identiteit en toegangsrechten uit, zonder dat dit de gebruikerservaring stoort. Voorbeelden van Access Management-mechanismen zijn tweeledige en meervoudige verificatie (2FA en MFA) en RBAC (“role-based access control”, toegangscontrole op basis van de rol).  
• Privileged Access Management (PAM): Bij deze bijzondere vorm van toegangsbeheer gaat het om gespecialiseerde controlemechanismen voor gebruikers met meer privileges, zoals beheerders en bijzondere gebruikers die bijvoorbeeld andere gebruikers kunnen toevoegen, bewerken of verwijderen, of software kunnen installeren of verwijderen.   
• Network Access Control (NAC): NAC bewaakt de netwerktoegang en houdt apparaatgegevens bij, zoals de netwerkprivileges, en het bewaakt alle wijzigingen aan het netwerk.

De kerncomponenten van Identity & Access Management 

Naast de vier pijlers van IAM zijn er ook kerncomponenten die de praktijk vormen. Deze componenten zijn de acties, processen en protocollen van identiteitsbeheer en toegangsbeheer.

Verificatie   

Verificatie (ook vaak authenticatie) controleert de identiteit van een gebruiker die toegang aanvraagt tot een systeem. Iedere gebruiker kent dit, want de gangbare verificatiemethoden zijn overal:

• Wachtwoorden: Een wachtwoord is de meest basale verificatiemethode.  
• Biometrische gegevens: Deze verificatie maakt gebruik van fysieke eigenschappen, zoals een vingerafdruk of gezichtsscan.  
• Tokens: Hardware- of softwaretokens die een eenmalige toegangscode genereren.  

Als aanvulling op de verificatie zijn er protocollen als OAuth en SAML, die een veilige verificatie en goedkeuring voor verschillende systemen mogelijk maken.  
 
Met de juiste aanmeldingsgegevens krijgen gebruikers toegang tot de tools en middelen die aan hen zijn toegewezen. De toegang kan hierbij ook beperkt of tijdelijk zijn, zodat ook een gebruiker met de juiste aanmeldingsgegevens alleen bepaalde activiteiten uit kan voeren of alleen toegang heeft voor een bepaalde tijd.   

Autorisatie  

De autorisatie bepaalt welke machtigingen en toegangsrechten een gebruiker heeft. De verificatie bevestigt wie een gebruiker is, maar de autorisatie bepaalt wat deze gebruiker kan doen (en niet kan doen). Het autorisatiekader maakt onderscheid tussen de toegangsniveaus van verschillende gebruikers en stuurt de rolgebaseerde toegang in het IAM-systeem aan.

Er zijn verschillende mechanismen voor de toegangscontrole:

• Role-Based Access Control (RBAC): Hierbij worden machtigingen toegewezen op basis van de rol van de gebruiker binnen de organisatie.  
• Attribute-Based Access Control (ABAC): Hierbij wordt toegang verleend op basis van bepaalde attributen (kenmerken) van de gebruiker, zoals de afdeling of functietitel. Leden van het marketingteam hebben bijvoorbeeld meestal geen toegang nodig tot boekhoudsoftware of tot dashboards voor de IT-beheerder.   
• Least Privilege: Het principe van “zo min mogelijk privileges” zorgt dat gebruikers alleen die toegangsrechten krijgen die ze ook daadwerkelijk nodig hebben voor hun functie. Dit is een kernprincipe binnen Zero Trust en helpt om zijsprongen binnen het netwerk te voorkomen – want op die manier slaan ransomware-aanvallers vaak hun slag.  

Beheer  

De beheercomponent in een IAM-systeem beheert gebruikersaccounts, groepen, machtigingen en het wachtwoordbeleid. Dit gedeelte bewaakt het aanmaken en bewerken van gebruikersaccounts en dwingt het gebruik van sterke verificatiemethoden af. Het beheerkader vormt de basis voor autorisatie en verificatie en ondersteunt toegangsbeheer en identiteitsbeheer in groepen.

Het inrichten van gebruikersaccounts met toegang tot de benodigde middelen is provisioning, en als een medewerker vertrekt wordt die toegang weer ingetrokken met deprovisioning. Een efficiënt mechanisme voor provisioning en deprovisioning is essentieel om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben tot gevoelige gegevens.   

Auditing en Reporting (A&R)  

De component voor auditing en reporting draait om controle en verslaglegging: wat doen gebruikers met de verleende toegang? Hoe gebruiken ze documenten, accounts, tools of gegevens? Met audits kunnen organisaties verdachte of ongeoorloofde activiteiten in hun systemen opsporen en rapporteren.

De controle omvat een registratie, beoordeling en rapportage van de toegangslogboeken en veiligheidsrelevante handelingen in het systeem. Zo blijft het systeem veilig en kan compliance worden aangetoond, bijvoorbeeld voor CPRA, HIPAA, PCI DSS en AVG.

Technologieën en tools voor IAM  

Om deze pijlers en componenten goed te laten draaien, heeft IAM bepaalde technologieën en tools nodig.

Software voor single sign-on (SSO)  

Single sign-on is een technologie die met één set aanmeldingsgegevens toegang geeft tot verschillende toepassingen en accounts. Dit vereenvoudigt de gebruikerservaring en het zorgt ervoor dat mensen minder wachtwoorden hoeven te onthouden. Hierdoor kunnen er sterkere wachtwoorden worden gebruikt, voor een sterkere beveiliging met meer gebruiksgemak.   

Meervoudige verificatie (MFA)  

Bij meervoudige verificatie moeten gebruikers twee of meer zogeheten “factoren” opgeven voordat ze toegang krijgen tot een systeem. Dit betekent dat als een hacker een wachtwoord heeft, dit niet voldoende is om in te breken. Dit zijn veel gebruikte verificatiefactoren:  

• Een kennisfactor: een wachtwoord of pincode.
• Een fysiek voorwerp: een beveiligingstoken of een gekoppelde smartphone.
• Een eigenschap: bijvoorbeeld een vingerafdruk of gezichtsherkenning.

MFA voegt een extra beveiligingslaag toe, omdat het met MFA veel moeilijker wordt voor hackers en cybercriminelen om toegang te krijgen.

Verificatie op certificaatbasis is een beveiligingsmechanisme dat gebruik maakt van digitale certificaten om de identiteit van een apparaat of gebruiker te bevestigen, zodat alleen geautoriseerde entiteiten toegang krijgen tot een netwerk of service. Veel gebruikte “Certificate Authorities” (CA's) die SSL/TLS-certificaten uitgeven om communicatie via het internet te beveiligen, zijn DigiCert, Synamtec, GlobalSign, GoDaddy en Entrust.  

Privileged Access Management (PAM)  

Privileged Access Management is gericht op het beheren en bewaken van toegang tot kritieke systemen en gegevens door gebruikers met extra privileges, zoals beheerders. Gespecialiseerde PAM-software helpt om misbruik van dit soort gebruikersaccounts te voorkomen en zorgt dat gevoelige gegevens alleen toegankelijk zijn voor mensen die hiervoor gemachtigd zijn.

Wachtwoordbeheer en IAM: optimale synergy 

Goede wachtwoordbeheerders, zoals LastPass, spelen een belangrijke rol als u een systeem voor Identity & Access Management implementeert. Wachtwoorden zijn nog steeds één van de meest gangbare manieren om toegang tot systemen en toepassingen te verifiëren. En wachtwoordbeheerders helpen om veilige wachtwoorden te gebruiken en de best practices voor goede wachtwoordgewoontes te volgen. Als u een wachtwoordbeheerder integreert in uw IAM, heeft dit diverse voordelen: 

• Eenvoudiger wachtwoordbeheer: Gebruikers maken automatisch sterke en unieke wachtwoorden aan voor ieder account. U kunt organisatiebreed afdwingen hoe sterk wachtwoorden minimaal moeten zijn.  
• Minder wachtwoordfrustraties: Twee derde (66%) van de mensen gebruikt hetzelfde wachtwoord voor verschillende accounts. Dat betekent dat een hacker na één geslaagde diefstal overal binnenkomt. Met een wachtwoordbeheerder hoeven mensen hun wachtwoorden niet meer zelf te onthouden, en daardoor kunnen ze overal verschillende wachtwoorden gebruiken. 
• Betere beveiliging: Met een veilige, versleutelde kans is de kans op gegevenslekken door wachtwoorden een stuk kleiner. 

Identity & Access Management implementeren in grote organisaties  

Best practices voor de uitrol van IAM  

Identity en Access Management is voor iedere organisatie anders, maar er zijn wel een paar best practices:  

• Voer een risicobeoordeling uit: Ga na voor welke systemen de risico's het grootste zijn, en begin de uitrol met de belangrijkste systemen.   
• Ontwerp een duidelijk beleid: Stel goede regels en procedures op voor het identiteits- en toegangsbeheer. Welke mechanismen voor toegangscontrole wilt u toepassen, en waarom?  
• Implementeer sterke verificatie: Verificatie is één van de eerste stappen in het toegangsbeheer. Gebruik MFA en andere sterke verificatiemethoden. Het IAM-kader ondersteunt een gelaagde aanpak voor de beveiliging van identiteit en toegang, dus u kunt verschillende tactieken voor de verificatie inzetten.  
• Controleer regelmatig de bestaande toegangsrechten: Beveiliging is een doorlopend proces. Beoordeel regelmatig wie er bij welke gegevens kan en trek waar nodig toegang in.  
• Overwegingen voor schaalbaarheid en flexibiliteit op de lange termijn: IAM-tools moeten integreren in bestaande systemen en toepassingen, en tools voor identiteitsbeheer en/of toegangsbeheer moeten flexibel zijn, zodat ze relevant blijven als de beveiligingsvereisten of de processen in het bedrijf veranderen. 

Uitdagingen en mogelijke oplossingen  

Cyberbeveiliging is geen eenvoudig vakgebied, en ook bij de uitrol van Identity & Access Management zijn er diverse uitdagingen:

• Complexiteit: Het kan lastig zijn om identiteiten en toegang consequent te beheren op verschillende systemen.  
• Oplossing: Kies voor gecentraliseerde IAM-tools en automatiseer de processen zoveel mogelijk.  

• Weerstand van gebruikers: Medewerkers kunnen zich verzetten tegen wijzigingen in het toegangsbeheer.   
• Oplossing: Een goede beveiligingscultuur begint van bovenaf. Bied trainingen aan en communiceer de voordelen van IAM duidelijk met gebruikers.  

• Integratieproblemen: Niet alle IAM-software integreert goed met bestaande systemen.   
• Oplossing: Kies IAM-tools met bewezen integratiemogelijkheden en goede ondersteuning. LastPass biedt veel gebruiksklare integraties met serviceproviders en leveranciers.   

IAM-risico's 

Mogelijke kwetsbaarheden in IAM-systemen 

IAM is een sterk beveiligingskader, maar bij de implementatie van de benodigde procedures, beleidsregels en tools moet u rekening houden met enkele zwakke plekken.   

• Onveilige wachtwoorden: Wachtwoorden zijn een integraal onderdeel van Identity en Access Management. Als gebruikers zwakke wachtwoorden aanmaken, verzwakt dit dus ook de beveiliging.  
• Oplossing: Gebruik een wachtwoordbeheerder en dwing het gebruik van sterke wachtwoorden af. Verplicht het gebruik van MFA als extra beveiligingslaag.   

• Kwaadwillende insiders: Medewerkers met een goedgekeurde toegang kunnen hier misbruik van maken. 
• Oplossing: Implementeer Privileged Access Management met regelmatige herbeoordelingen van toegangsrechten. En voer grondige screenings uit met gedegen achtergrondonderzoek, voordat u mensen toegang geeft tot gevoelige gegevens.  

• Wees-accounts: Accounts die niet goed worden afgesloten als een medewerker vertrekt, kunnen eenvoudig worden misbruikt.  
• Oplossing: Zorg voor een goede documentatie van de deprovisioning om alle accounts in te trekken die niet meer nodig zijn. Werk samen met HR en personeelsmanagement om regelmatig gebruikerslijsten op te schonen.

• Onversleutelde overdracht van gevoelige gegevens: Als gevoelige IAM-gegevens op een onveilige manier worden overgedragen, kunnen ze worden onderschept.  
• Oplossing: Implementeer sterke encryptie om gevoelige communicatie te beschermen.  

Veilige IAM-infrastructuur garanderen 

Het vraagt aandacht om de infrastructuur voor het identiteits- en toegangsbeheer veilig te houden op de lange termijn:  

• Regelmatige systeemupdates: Houd IAM-systemen en software up-to-date met de meest recente patches. Zorg dat u regelmatig de nieuwste releases installeert. Updates bieden namelijk niet alleen nieuwere functies, maar ook patches tegen bekende kwetsbaarheden in de beveiliging.   

• Audits van de beveiliging: Het invoeren van IAM-maatregelen is de eerste stap op weg naar een betere beveiliging. Zorg echter dat u uw IAM-systemen regelmatig controleert om zwakke plekken op te sporen en af te dichten.  

Een investering in Identity en Access Management is geen formaliteit rondom gegevensbeveiliging. IAM ondersteunt uw beveiliging op de lange termijn en versterkt op die manier uw hele bedrijf. Een goede strategie voor cyberbeveiliging kan simpelweg niet zonder identiteitsbeheer en toegangsbeheer. Dat klinkt als veel werk, maar goede IAM-systemen leveren ook besparingen op, bijvoorbeeld door gestroomlijndere aanmeldingsprocessen, IT-automatisering en eenvoudigere compliance. LastPass biedt krachtige IAM-tools waarmee organisaties hun gegevens beveiligen, IT-beheer vereenvoudigen en hackers buiten de deur houden. Start hier een proefperiode van LastPass.