Identity and Access Management (IAM/IDM)

HIPAA, Basel II, SOx, NEN 7510, HKZ etcetera. Er zijn diverse normen, wet- en regelgevingen op basis waarvan organisaties worden getoetst. We spreken in dat geval van een audit en waarschijnlijk krijgt uw organisatie hier vroeg of laat mee te maken.

Ten tijde van zo’n audit moet u als IT-manager kunnen aantonen dat u uw IT volledig onder controle heeft. Dat betekent onder meer dat u:

1. direct en altijd moet kunnen aantonen welke persoon wat in het netwerk mag en heeft gedaan (autorisaties en rapportage). Bijvoorbeeld welke medewerker(s) mag facturen goedkeuren en uitbetalen en wie heeft wanneer het wachtwoord van medewerker X gereset.
2. een sterk wachtwoordbeleid moet invoeren.

De Identity & Access Management (IAM) oplossingen van Tools4ever bieden extra ondersteuning bij het naleven van wet- en regelgeving, te weten:

1.    Wie mag wat?
Role Based Access Control (RBAC) is een methode om het autorisatiebeheer binnen een organisatie in te richten en duidelijk te krijgen ‘wie wat in het netwerk mag’ en vooral ook ‘wie wat niet mag’. Volgens de RBAC-methode worden autorisaties niet op individuele basis toegekend, maar op basis van RBAC-rollen en die rollen zijn weer opgebouwd uit afdeling, functie, locatie en kostenplaats van een medewerker in een organisatie. De kans op fouten wordt verkleind doordat met RBAC acties en wijzigingen in het netwerk alleen gedaan mogen worden door mensen die hiervoor op basis van hun rol/functie geautoriseerd zijn.

Veel organisaties zijn bezig met RBAC in meer of mindere vorm: verkenning, project, implementatie, vulling of beheer. Tools4ever steunt tientallen organisaties bij het opstellen van een RBAC autorisatiematrix. Dit is een enorm arbeidsintensief, complex en kostbaar proces. Met behulp van slimme software van Tools4ever is het mogelijk om de vulling van de RBAC autorisatiematrix grotendeels geautomatiseerd te vullen.

Middels UMRA worden de zogenaamde organisatierollen (hoe staat een medewerker in het HR-systeem, met name functie, afdeling en kostenplaats) gematched met de technische rollen (applicaties en mappen) die momenteel binnen de organisatie bestaan. Tools4ever kan bij organisaties het HRM-systeem en netwerk naast elkaar leggen en analyseren welke gemiddelde autorisaties er per organisatierol in de huidige situatie zijn. De organisatie kan zelf bepalen welke HR-attributen worden gebruikt voor de organisatierol.

Het resultaat van een dergelijk matching kan zijn dat 90% van een bepaalde organisatierol (bv verpleger op de afdeling Cardiologie) bepaalde autorisaties heeft. Op basis van dat gegeven is het logisch om alle (nieuwe) medewerkers in deze rol automatisch deze autorisaties te geven. Door de dekkingsgraad leidend te maken voor het toekennen van autorisaties kan eenvoudig een eerste stap worden gemaakt met het vullen van de RBAC-matrix. Middels deze aanpak kunt u veel tijd en geld besparen.

Wilt u een eerste stap maken met RBAC? Heeft u hulp nodig bij het vullen van uw autorisatiematrix? Neem dan contact met ons op.

2.    Sterk wachtwoordbeleid
Het invoeren van een sterk wachtwoordbeleid (strong authorization) wordt door veel wet- en regelgevingen afgedwongen. Om een complexer wachtwoordbeleid te implementeren is het mogelijk om de complexiteitsregels binnen Windows Active Directory aan te zetten. Maar u moet zich afvragen of dit de complexiteit is die u daadwerkelijk wenst. En u moet zich realiseren dat dit grote consequenties heeft voor eindgebruikers.

De standaard Windows Active Directory password complexiteitregels zijn vaak niet afdoende. Systeembeheerders willen een flexibelere oplossing waarbij het bijvoorbeeld mogelijk is om zelf te bepalen wanneer welke regels worden toegepast. Voor deze organisaties biedt Tools4ever Password Complexity Manager (PCM). PCM biedt de mogelijkheid om meerdere beveiligingsniveaus voor verschillende type eindgebruikers te hanteren, gebaseerd op de functies en rollen binnen de organisatie.

Zoals gezegd heeft het invoeren van een strikter wachtwoordbeleid grote consequenties voor eindgebruikers en de organisatie zelf. Eindgebruikers dienen moeilijkere wachtwoorden te onthouden. Daar hebben zij moeite mee en dat leidt tot meer wachtwoord reset calls bij de helpdesk.

Om het aantal wachtwoord reset calls naar de helpdesk terug te dringen, biedt Tools4ever SSRPM (Self Service Reset Password Management) waarmee eindgebruikers zelf hun eigen wachtwoord kunnen resetten op basis van een aantal simpele, vooraf gedefinieerde vragen.

Een strikter wachtwoordbeleid heeft ook consequenties voor de productiviteit van medewerkers. Zij dienen immers veel meer complexe wachtwoorden voor al hun applicaties te onthouden en zijn daar niet content mee. Veel organisaties zetten daarom een SSO-oplossing in om de eindgebruiker tegemoet te komen.

Onze SSO-oplossing E-SSOM (Enterprise Single Sign On Manager) stelt eindgebruikers in staat om eenmalig in te loggen, waarna automatisch toegang wordt verschaft tot alle applicaties en resources in het netwerk zonder nogmaals in te hoeven loggen. E-SSOM werkt als een extra softwarelaag wat alle loginprocessen afvangt en de gegevens automatisch invult (automatic login). E-SSOM zorgt er tevens voor dat naast de Active Directory ook in alle achterliggende applicaties automatisch een sterk wachtwoord wordt gehanteerd. 

Wanneer SSO niet wordt toegepast maar organisaties er toch voor willen zorgen dat eindgebruikers minder hinder ondervinden van een strikter wachtwoordbeleid, is Password Synchronization Manager (PSM) een geschikte oplossing. Password Synchronization Manager (PSM) zorgt ervoor dat eindgebruikers voor ieder systeem of applicatie hetzelfde wachtwoord hebben (Single Password) en houden. Wanneer het Active Directory wachtwoord van een eindgebruiker wordt gereset, zorgt PSM ervoor dat alle gekoppelde systemen en applicaties dit nieuwe wachtwoord ook ontvangen en instellen als nieuw wachtwoord.

Two-factor authenticatie
Wanneer het invoeren van enkel een sterk wachtwoordbeleid niet afdoende is (bijvoorbeeld omdat eindgebruikers wachtwoorden op papier zetten) dan is het mogelijk om sterkte (two-factor) authenticatie toe te passen. In plaats van de username/wachtwoord logt een gebruiker dan in door een pasje tegen een lezer te houden en een pincode in te voeren. Dit garandeert een sterk authenticatiemiddel. De ‘two factor authenticatie’ is immers gebaseerd op iets van de gebruiker heeft (de pas) en wat hij/zij weet (de pincode). De ID van het pasje wordt hierbij gekoppeld aan de credentials (username/wachtwoord) van de gebruiker in de Active Directory.

Het is ook mogelijk om sterke authenticatie uit te voeren zonder dat er extra hardware aangeschaft hoeft te worden. Het gebruik van smartphones wordt hierbij belangrijk. De smartphone biedt namelijk meerdere mogelijkheden voor authenticatie. Denk bijvoorbeeld aan gezichtsherkenning (via camera), stemherkenning (via geluidsopname) en plaatsbepaling (via GPS). Dit noemen wij Low Cost Authentication en is een volgende stap in ‘authenticatiewereld’.

Wilt u een sterk wachtwoordbeleid invoeren en uw medewerkers tegemoet komen door het bieden van Single Sign On of Self Service Reset Password? Neem dan contact met ons op.

3.    Automatische logging
De oplossingen van Tools4ever zorgen ervoor dat alle processen een audit trail achterlaten. Van iedere handeling wordt automatisch gelogd wie welke beheeractiviteit op welk moment heeft uitgevoerd. Dat betekent op ieder moment inzicht over de gelopen processen en de mogelijkheid om dit achteraf te beoordelen en te controleren. Goede registratie is een absolute voorwaarde voor een audit.

Veel organisaties en medewerkers zien inmiddels de voordelen van Single Sign On (SSO). Medewerkers profiteren van SSO omdat zij nog maar één (complex) wachtwoord moeten onthouden in plaats van tientallen (complexe) wachtwoorden. De IT-afdeling ziet daardoor minder wachtwoord reset call binnenkomen en de organisatie kan voldoen aan eisen die audits aan hen stellen.

Nadat het aantal wachtwoorden teruggedrongen is tot één (complex) wachtwoord, hebben organisaties vaak de wens om ook dit laatste wachtwoord te vervangen. SSO biedt de mogelijkheid om dit te doen. In dit geval wordt de laatste username/wachtwoord combinatie vervangen door een toegangspas met pincode. Het is mogelijk met ieder willekeurige gebruikerspas, bijvoorbeeld een bankpas of bibliotheekkaart, te koppelen. Door het pasje tegen/op een reader te plaatsen, logt de gebruiker automatisch in. Het unieke ID van de pas wordt gekoppeld aan de username en wachtwoord van de gebruiker. Wij noemen dit self-service enrollment.

Dit is een zeer gebruiksvriendelijke dienst voor medewerkers maar wij zien dat veel organisaties de wens hebben dat niet iedere willekeurige pas gebruikt kan worden. Daarentegen willen zij dat alleen passen worden gebruikt die uitgegeven worden door de organisatie zelf. Tools4ever is de enige leverancier die de mogelijkheid biedt om alleen passen met een bepaalde nummerreeks te accepteren. Daarmee kunnen dus bepaalde passen worden uitgesloten voor self-service enrollment en is het mogelijk om alleen de fysieke toegangspassen van de organisatie zelf toe te staan.

De Single Sign On oplossing van Tools4ever, E-SSOM, biedt tevens de mogelijkheid om alleen actieve passen toe te staan. Op het moment dat een pas wordt uitgegeven (bijvoorbeeld bij een nieuwe medewerker) wordt de pas geactiveerd. Door een koppeling te maken met het keycard systeem kunnen alleen die passen worden geaccepteerd die actief worden gebruikt binnen de organisatie. Het grote voordeel hiervan is dat het bestaande en volwassen facility management proces leidend wordt voor zowel fysieke toegang als logische toegang. Wanneer een medewerker uit dienst gaat, betekent dat dus ook dat een toegangspas wordt ingetrokken en/of gedisabled, waarna de pas ook in E-SSOM wordt gedisabled.

Een stap verder is om bijvoorbeeld alleen die passen te accepteren van medewerkers die  daadwerkelijk fysiek in het pand aanwezig zijn. Of om de toegangskaart te koppelen aan het HR-systeem. Wanneer in het HR-systeem wordt aangegeven dat een medewerker uit dienst is, wordt de gebruikerspas gedisabled en kan niet meer worden gebruikt voor fysieke en logische toegang.

Single Sign On in combinatie met een gebruikerspas biedt diverse mogelijkheden voor integratie met andere systemen. Vertel ons uw wensen en wij zorgen voor een oplossing.

Bekijk ook onze video's waarin de werking van E-SSOM wordt uitgelegd. 

• Automated user provisioning & Role Based Access Control: Door het HR-systeem als bron te nemen voor het aanmaken, wijzigingen en verwijderen van user accounts en autorisaties hebben medewerkers tijdig toegang tot het netwerk en die applicaties die zij nodig hebben. Met het oog op licenties, zorgt dit er tevens voor rechten van ex-medewerkers tijdig worden ontnomen en dus niet onnodig toegang hebben tot applicaties en licenties gebruiken. In combinatie met Role Based Access Control (RBAC) - waarmee autorisaties toegekend worden op basis van een rol/functie van een medewerker in een organisatie - worden autorisaties alleen toegekend als er een conventie is bereikt over wat medewerkers echt voor hun dagelijks werk nodig hebben.

• Real Use Dashboard: Tools4ever biedt IT managers, systeem- en applicatiebeheerder een dashboard met daarop een overzicht van het aantal keer dat een applicatie door een medewerker is opgestart, het aantal minuten dat een applicaties is gebruikt en het aantal Idle minuten. Wanneer een applicatie lange tijd niet wordt gebruikt, kan de applicatie voor deze gebruiker stopgezet worden of kan de medewerker een waarschuwing krijgen. Door middel van een interface met een Facility Management systeem of IT Service Management Systeem kan de totale licentiekosten en de status van de gebruikte applicatie(s) in kaart worden gebracht.

• Passive auditing: UMRA biedt de optie om periodiek managers een overzicht te sturen met de rechten en applicaties waartoe de medewerkers van die manager toegang toe hebben. Dit kan bijvoorbeeld 1 x per 3 maanden of 1 x per jaar (voor het audit moment).  De manager kan dan eenvoudig zien of deze informatie klopt en haar/zijn akkoord hiervoor geven. Het is dan ook mogelijk dat de manager wijzigingen maakt die dan meteen worden doorgevoerd.

Steeds meer organisaties willen complexe wachtwoorden invoeren. Maar de introductie van sterke wachtwoorden die regelmatig dienen te veranderen is niet gemakkelijk en kan tot veel weerstand leiden van de eindgebruikers. Of het resulteert in onnodige telefoontjes naar de helpdesk. Hier zijn drie eenvoudige oplossingen waarmee u eenvoudig complexe wachtwoorden in uw organisatie kunt introduceren:

1. Password Self-Service: Om het aantal helpdesk calls gerelateerd aan wachtwoorden te verminderen, is het mogelijk om gebruikers zelf verantwoordelijk te maken voor het beheer en resetten van hun wachtwoorden. Resultaten: minder wachtwoord gerelateerde calls, 24x7 service, verbeterde beveiliging (helpdesk identificatie).
   
   SSRPM (Self Service Reset Password Management) van Tools4ever is een goede oplossing waarmee wachtwoorden gereset kunnen worden door een aantal vragen te beantwoorden of via sms-authenticatie.
   
   
2. Reductie van het aantal wachtwoorden: Het is logisch dat gebruikers die veel wachtwoorden moeten onthouden, meer weerstand hebben tegen een complex wachtwoordbeleid. Dit kan opgelost worden door een oplossing te introduceren dat het aantal wachtwoorden verminderd. Want een daling van het aantal wachtwoorden betekent meer comfort voor de eindgebruiker.
   
   Met een Single Sign-On oplossing, zoals Tools4ever's E-SSOM (Single Sign-On Manager), is het mogelijk om het aantal logins en wachtwoord/username combinaties te beperken tot slechts één. En dat scheelt gemiddeld 3 tot 5 logins met diverse wachtwoorden per dag.
   
   
3. Help gebruikers bij het maken van sterke wachtwoorden: met een password creation wizard. Gebruikers kunnen de nodige hulp gebruiken bij het maken van nieuwe, sterke wachtwoorden. Een simpele geïntegreerde Windows tool kan gebruikers assisteren bij het maken van hun wachtwoord, waarin de complexiteitregels worden getoond en worden gemarkeerd als aan de betreffende eis wordt voldaan. Gebruikers kunnen hiermee direct sterke wachtwoorden maken zonder dat zij onduidelijke Windows foutmeldingen krijgen.
   
   Een oplossing dat gebruikers helpt bij het maken van sterke wachtwoorden op basis van de complexiteitsregels van de organisatie is PCM (Password Complexity Manager). Deze oplossing is zeer gebruiksvriendelijk en integreert naadloos in de gebruikersomgeving.
   

Als u meer vragen heeft over de introductie van complexe wachtwoorden, aarzel dan niet om contact met ons op te nemen.