Identity and Access Management (IAM/IDM)

Oplossingen voor wachtwoordsynchronisatie zijn van groot nut voor het vergroten van de efficiëntie en het reduceren van kosten. Oplossingen zoals Password Sychronisation Manager (PSM) van Tools4ever zorgen ervoor dat eindgebruikers - na het wijzigen van hun wachtwoord - direct aan kunnen melden op alle benodigde systemen en toepassingen op basis van hetzelfde wachtwoord. PSM zorgt er immers voor dat wachtwoorden in meerdere systemen synchroon zijn. Hierdoor wordt de productiviteit van eindgebruikers vergroot en blijft het aantal wachtwoordgerelateerde telefoontjes naar de helpdesk tot een minimum beperkt. Maar is het eigenlijk mogelijk om de efficiëntie en productiviteit van het personeel nog verder te verbeteren?

Als oplossingen voor wachtwoordsynchronisatie op standalone basis worden ingezet, moeten eindgebruikers zich echter nog altijd handmatig aanmelden op elke applicatie en elk systeem. Dit kan uitzonderlijk veel tijd beslag nemen. Volgens een recente enquête is 85,3% van de gebruikers van mening dat zij veel efficiënter zouden kunnen werken als ze minder tijd kwijt zouden zijn aan allerlei aanmeldingsprocedures.
Single Sign On (SSO)-producten zoals E-SSOM van Tools4ever bieden effectieve oplossingen voor dit soort problemen. Nadat een gebruiker zich heeft aangemeld op het netwerk en de door hem of haar benodigde applicaties en systemen, onthoudt E-SSOM automatisch welke aanmeldingsgegevens er nodig zijn. Daarop zal de gebruiker, elke keer wanneer een toepassing of systeem start, automatisch worden aangemeld.

Een interessante uitbreiding op Single Sign On is Authentication Management. Hiermee wordt de enig overgebleven username/wachtwoord combinatie vervangen door een pasje met een pincode. Een gebruiker kan snel en eenvoudig inloggen op de Active Directory en dus de SSO omgeving door een pas tegen de lezer aan te houden en een pincode in te voeren.

Wat gebeurt er echter als het Active Directory wachtwoord wijzigt? De koppeling tussen de pas en de username/password is hiermee niet langer geldig meer. Door PSM echter met E-SSOM te combineren is het mogelijk om deze koppeling geldig te houden om ook de wachtwoordwijziging door te voeren binnen E-SSOM.

Met een combinatie van deze twee oplossingen behoren tijdrovende aanmeldingsprocedures tot het verleden. Eindgebruikers profiteren van optimaal gebruiksgemak, terwijl de productiviteit van het personeel stijgt.

Zou je me geloven als ik zou beweren dat tegenwoordig minder dan 1% van alle wachtwoorden die in gebruik zijn werkelijk willekeurige wachtwoorden zijn? Dit is helaas waar. Een recent onderzoek laat zien dat minder dan 1% van wachtwoorden die op dit moment in gebruik zijn willekeurig of aselect zijn. In feite laat dit onderzoek zien hoe mensen hun wachtwoorden samenstellen. Resultaten uit het onderzoek zijn:
• 14% van alle wachtwoorden zijn afgeleid van een naam (JanSmit)
• 8% van alle wachtwoorden zijn een afgeleide van een plaatsnaam – vaak een naam van een stad of een dorp waar de persoon in kwestie woont of geboren is (Utrecht)
• 14% van wachtwoorden zijn zuiver numeriek van aard en soms zijn het opeenvolgende nummers (12345)
• 25% van wachtwoorden zijn willekeurige wachtwoorden uit het woordenboek (computer)
• Nog eens 8% zijn samengesteld uit toetsenbordpatronen, korte uitdrukkingen, woorden in het e-mail adres en herhalende woorden (asdf, zwartekat, @apple, roodrood – respectievelijk)
• De resterende 31% van wachtwoorden kon tijdens dit onderzoek niet in kaart worden gebracht

Deze informatie is alarmerend voor alle netwerk- en securitybeheerders in alle branches. Hoewel wachtwoordcomplexiteitsregels steeds vaker worden toegepast, geldt dit zeker nog niet voor alle organisaties. En zelf met wachtwoordcomplexiteit, zullen er werknemers zijn die wachtwoorden gebruiken die makkelijk te raden zijn. Dus om inbreuken op het netwerk te voorkomen, zullen organisaties moeten overwegen om password management serieuzer te nemen om het netwerk beter te beschermen. Er zijn diverse software oplossingen die organisaties kunnen implementeren om de risico’s op hun netwerkbeveiliging te reduceren.

Een mogelijkheid waar ik me graag op wil focussen is de implementatie van een oplossing met zogenaamde ‘two-factor authenticatie’. Deze oplossing omvat het veiligstellen van de primaire login door middel van een gebruikerspas of biometrie. In plaats van het invoeren van een gebruikersnaam of wachtwoord, kunnen gebruikers inloggen door gebruik te maken van een gebruikerspas/biometrie in combinatie met een lezer en het invoeren van hun pincode. Het combineren van een gebruikerspas/biometrie en een pincode zorgt voor een sterke authenticatie. Dit is een sterke combinatie omdat two-factor authenticatie gebaseerd is op iets wat de gebruikers bezitten (gebruikerspas/biometrie) en iets wat ze weten (pincode).

Enterprise Single Sign On Manager (E-SSOM) van Tools4ever biedt volledige integratie met alle gangbare two-factor authenticatie kaartreader, zoals HID, Mifare, Biometrie, Gridtoken, Proximity-based devices en RFID readers. E-SSOM biedt een ingebouwde integratie met de driver software van de (kaart) reader en koppelt de pass-card ID met de credentials van de gebruiker(gebruikersnaam/wachtwoord) in de Active Directory. Er is geen extra software nodig om deze koppeling te maken. Deze functie garandeert een gebruikersvriendelijke en veilige login voor alle gebruikers.



* Bron: The science of password selection door Troy Hunt

Eind 2010 gaf Gartner het rapport ‘Magic Quadrant for User Provisioning’ uit. Hierin geeft Gartner haar visie op Identity & Access Management (IAM) voor de komende jaren en de bijbehorende trends. Het Magic Quadrant maakt een splitsing tussen marktleiders, uitdagers, visionairs en kleine spelers. In het betreffende kwadrant staan de markleiders geclusterd op eenzame hoogte. In deze groep bevinden zich onder andere Oracle, IBM, Novell en CA. De overige leveranciers staan allen dicht bij elkaar in de overige kwadranten. Je zou kunnen concluderen dat er een elite bestaat van IAM leveranciers die klaarblijkelijk alles op orde hebben. Is dat dan ook een reden om voor deze partijen te kiezen?

Uit mijn ervaring met IAM-projecten zie ik regelmatig dat projecten worden gestart met leveranciers die tot de elite behoren. Deze leveranciers zetten een zwaar product als middelpunt in, om vervolgens een IAM oplossing om dit product heen te bouwen. Vaak wordt geprobeerd een utopie te creëren die vereist dat de IAM oplossing intensief aangepast moet worden. Er wordt gestart met het automatiseren van processen in de organisatie (workflow management en RBAC) en vervolgens worden IT procedures voor het beheren van user accounts in het netwerk geautomatiseerd. Het probleem hierbij is dat het lastig is om organisatieprocessen te automatiseren en dat het nog lastiger is om RBAC informatie te vullen met gewenste autorisatie-informatie. Tijdens de lange doorlooptijd treden wijzigingen in de organisatie op ten gevolge van re-organisaties, fusies en/of splitsingen. Deze projecten stranden vaak na een grote investering of worden maar deels in productie genomen.

Ik kan dus concluderen dat de keuze voor een leverancier die tot de elite behoord niet automatisch resulteert in een geslaagd IAM-project. Dit wordt ook door Gartner beaamd in het rapport. Elite leveranciers hanteren vaak zware projectstructuren en een groot aantal voorwaarden. Gartner maakt de opmerking dat te complexe benaderingen ervoor zorgen dat IAM-projecten vaak spaak lopen.

Gartner schetst nog een groot aantal punten, scenario’s en voorwaarden waaraan een IAM leverancier zou moeten voldoen. Opmerkelijk genoeg voldoet Tools4ever als Nederlandse niche speler aan al deze voorwaarden met een stabiele eigenwijze benadering die door veel klanten als prettig wordt ervaren. Vaak wordt er in aanbestedingstrajecten gekozen voor oplossingen van Tools4ever vanwege korte doorlooptijden, de vele succesvolle implementaties en een mix van een bottom-up en topdown benadering. Het succes van Tools4ever zit hem vooral in de volgende onderdelen die ook Gartner noemt als succesfactoren:

• Het niet splitsen van de implementatieverantwoordelijkheid tussen productleverancier en implementatiepartner. Tools4ever heeft reeds jaren geleden onderkend dat het succes van een IdM implementatie zit in de kennis en kunde van de IdM consultants en de complexe implementaties niet eenvoudig over te laten valt aan een implementatiepartner.

• Fasering: door IAM in allerlei kleinere deelprojecten op te splitsen over een lineaire tijdlijn wordt een logge scoop voorkomen. IAM-trajecten zijn vaak eenvoudig te splitsen in deeltrajecten waarbij ieder deeltraject al zichtbaar resultaat oplevert.

• Modulair: De technische oplossingen worden modulair opgebouwd waardoor er eenvoudig doorgebouwd kan worden. Hierdoor bereik je deelresultaten in plaats van eindpunten.

• Flexibel: Het stroomlijnen van de huidige situatie is meestal de start van een IAM traject. Door optimalisatie van huidige processen komt er tijd en ruimte vrij komt om aan vervolgstappen te kunnen werken.

• Een volledig portfolio: Tools4ever kan een volledig portfolio aan oplossingen bieden die zijn bewezen in productie bij klanten. Daarnaast kan Tools4ever een prima rol vervullen als deel supplier.

Het resultaat van de benadering van Tools4ever is dat vrijwel alle projecten slagen. De meeste klanten zitten in een fase waarbij er gemakkelijk kan worden doorgebouwd naar de volgende trends binnen IAM of een volgende fase van de huidige trends.

David won toch ook van Goliath!

Afgelopen week las ik het volgende nieuws op De Utrechtse Internet Courant :
In zijn ijver de bevolking van Utrecht te informeren over de politiehelikopter die gisteravond over de Utrechtse binnenstad vloog, heeft woordvoerder Thomas Aling vanmiddag per ongeluk een login en wachtwoord van de politiecomputer online gezet.

Aling twitterde een foto van een computerscherm, waarop een foto van de helikopter te zien was. Wat de woordvoerder even over het hoofd zag, was dat op het beeldscherm ook een briefje geplakt was met daarop de inlog en het wachtwoord van één van zijn collega’s.
Bron: http://www.duic.nl/nieuws/1775/politiewoordvoerder-zet-per-ongeluk-inlog-en-wachtwoord-online/

Aan het beeldscherm geplakte briefjes en post-its met inloggegevens en wachtwoorden zijn bijna niet meer weg te denken uit het bedrijfsleven. Kennelijk bezitten mensen zoveel – moeilijk te onthouden – wachtwoorden dat het opschrijven ervan noodzakelijk is. Een noodzakelijk kwaad, zo blijkt maar weer. Want het ondermijnt de informatiebeveiliging van de organisatie.

Er is een simpele oplossing om dit beveiligingsrisico te omzeilen. Met een Single Sign On oplossing hoeven eindgebruikers nog maar één wachtwoord en username te onthouden om in te loggen op hun computer zodat vervolgens alle benodigde applicaties automatisch geopend worden. De Single Sign On software neemt alle loginprocedures over en vult automatisch de benodigde logingegevens in. Indien nodig kan dit zelf gecombineerd worden met toegangspasjes. Dan er is er geen bestaansrecht meer voor de plakkers. Weg met de post-its.

Veel scholen hebben de afgelopen jaren gretig gebruik gemaakt van de gratis e-maildiensten van bijvoorbeeld Google en Microsoft. Gmail en MS Live@Edu bieden een aantal tastbare voordelen voor scholen en universiteiten (bijvoorbeeld afgestuurde studenten houden een account), maar het creëren en beheren van de user accounts in deze e-mailtoepassingen kan een behoorlijke uitdaging zijn. Daarnaast worden Active Directory wachtwoorden niet automatisch gesynchroniseerd met deze gratis diensten en dat kan een extra belasting vormen voor de helpdesk omdat wachtwoorden voor e-mail vaker gereset moeten worden.

Tools4ever biedt oplossingen voor beide problemen. Onze oplossing User Management Resource Administrator (UMRA) kan informatie ophalen uit het schoolinformatiesysteem en deze data gebruiken om automatisch een e-mailadres aan te maken in de gehoste e-mailoplossing. Wanneer studenten afstuderen kunnen hun AD accounts automatisch worden verplaatst naar een Alumni OU en worden de juiste aanpassingen gedaan in Gmail of MS Live.

Onze oplossingen PSM (Password Synchronization Manager) en SSRPM (Self Service Reset Password Management) kunnen eveneens koppelen met deze hosted e-maildiensten. Als een gebruiker een AD wachtwoord vergeet of wachtwoord van de gratis e-maildienst dan kunnen zij een webpagina bezoeken, een aantal vragen beantwoorden en vervolgens beide wachtwoorden resetten. Hoewel het niet zo vaak voorkomt bij studenten, docenten en personeel hebben wachtwoorden een vervaldatum en moeten ze regelmatig vernieuwd worden. PSM onderschept het nieuw ingestelde AD wachtwoord en kan het wachtwoord versturen naar de hosted e-maildienst zodat wachtwoorden in alle toepassingen hetzelfde zijn en blijven.

Wilt u voorkomen dat uw gratis e-mail systeem een fortuin kost in onderhoud en helpdeskkosten? Bezoek dan onze website

Medio april ontving ik een nieuwsbrief van één van de toonaangevende IT-vakbladen in Nederland met daarin een artikel dat luidde: “Vraag naar systeembeheerders groeit”. Uit de Banometer (toont het aantal nieuw verschenen ict-personeelsadvertenties per week op dertien recruitment websites) bleek dat in bijna alle functiegroepen er minder vraag was naar nieuwe mensen. Alleen de systeembeheerders deden het opvallend goed. Met 190 nieuwe online vacatures was er 19 procent meer vraag in deze functiegroep.

Het blijkt dus dat er ofwel nieuwe organisaties zijn die op zoek zijn naar systeembeheerders of dat bestaande organisaties op zoek zijn naar (meer) systeembeheerders. Gezien de huidige economische situatie lijkt het laatste mij meer waarschijnlijk. Uit ervaring weet ik dat de vraag naar systeembeheerders in veel gevallen onnodig is en dat taken die systeembeheerders uitvoeren vaak ook uitgevoerd kunnen worden door minder-skilled helpdesk medewerkers. Want een hoog percentage van de werkzaamheden van senior systeembeheerders omvatten eenvoudige, repeterende handelingen, zoals het aanmaken van een user account in diverse systemen en applicaties. Echter, het delegeren van dit soort eenvoudige taken naar de IT-helpdesk ligt vaak gevoelig omdat men denkt dat deze minder-skilled medewerkers hiervoor direct toegang moeten hebben tot het netwerk en teveel vrijheid hebben om wijzigingen door te kunnen voeren. Wegens security risico’s en non-conformiteit van beheerprocedures zijn systeembeheerders huiverig om taken te delegeren.

Er bestaat echter software waarmee het eenvoudig en veilig is om veel voorkomende handelingen te delegeren naar de IT-helpdesk zonder dat zij toegang hebben tot het netwerk. Met de Helpdesk Delegatie (HD) Module van User Management Resource Administrator (UMRA) kunnen de helpdesk medewerkers middels een set van formulieren onder meer de user accounts beheren en worden daarmee automatisch de opgestelde procedures gevolgd zonder een risico op non-conformiteit. Na inventarisatie van de bestaande beheertaken wordt UMRA ingericht. Hierbij worden alle handmatige en op scripts gebaseerde handelingen in UMRA scenario’s vastgelegd. Aan de scenario’s worden elektronische formulieren gekoppeld die gedelegeerd kunnen worden naar helpdesk medewerkers. Een helpdesk medewerker voert wijzigingen in het netwerk dus door middels de standaard formulieren. UMRA voert de wijziging vervolgens daadwerkelijk door in het netwerk. Het is dus mogelijk dat non-skilled ICT-medewerkers veilig (zonder domain admin rechten) allerlei beheerstaken, zoals accounts aanmaken, bewerken, verwijderen en wachtwoorden resetten, kunnen uitvoeren zonder over expliciete ICT kennis te beschikken en zonder direct toegang te hebben tot het netwerk.

De Self Service Password Management oplossing van Tools4ever heeft altijd al een web interface gehad, zodat gebruikers zelfstandig hun Active Directory wachtwoorden kunnen resetten via het intranet of via het web. Aan de hand van een aantal eenvoudige, vooraf gedefinieerde vragen kunnen eindgebruiker hun wachtwoord resetten. Hoewel deze methode algemeen aanvaard is bij veel organisaties, zoeken andere organisaties naar een extra vorm van authenticatie.

In februari hebben wij een nieuwe SSRPM Security Module module vrijgegeven, inclusief two-factor authenticatie via e-mail. Two-factor authentication (TFA of 2FA) betekent dat twee onafhankelijk middelen worden ingezet om de identiteit van iemand te bevestigen.

Wanneer een gebruiker inlogt op het Active Directory-domein na de implementatie van Self Service Reset Pasword Management en de geconfigureerde vragen beantwoord, worden zij ook gevraagd een prive e-mailadres op te geven. Als een eindgebruiker vervolgens een wachtwoord vergeet, kunnen zij de vragen beantwoorden. Echter, voordat zij de laatste fase bereiken en daadwerkelijk een nieuw wachtwoord kunnen instellen, moeten zij eerst de PIN-code invoeren die per e-mail naar hun prive-adres is gestuurd. Dit scenario illustreert de twee basis onderdelen van two-factor authenticatie, te weten "iets wat je hebt" (in dit geval een prive e-mailadres) en "iets wat je weet" (antwoord op persoonlijke vragen).

Two-factor authentication biedt een extra aanvulling qua beveiliging op de webinterface. Wij zijn van plan dit in de nabije toekomst verder uit te breiden door het sturen van PIN-codes via SMS. Houdt deze blog in de gaten voor meer informatie.

Op onze website kunt u meer lezen over deze software Tools4ever's Self Service Password Reset.