Een IT-beheerder maakt een nieuw gebruikersaccount aan, geeft het adminrechten en keurt daarna de access review voor datzelfde account goed. Elke stap is op zich legitiem. Samen betekenen ze dat één persoon de hele keten controleert, zonder dat iemand anders er ooit naar kijkt. Dat kan niet de bedoeling.
Daarom is Separation of Duties (SoD) zo belangrijk. Het is een belangrijk principe wanneer je beslist welke aanpak voor Identity Governance and Administration (IGA) bij je organisatie past. SoD zorgt ervoor dat niemand in zijn eentje voldoende toegang heeft om een risicovolle actie uit te voeren zonder dat iemand anders die controleert. Dat beperkt niet enkel menselijke fouten, maar verkleint ook de kans op beveiligingsincidenten.
SoD is belangrijk voor elke moderne organisatie. Maar een eerste stap bestaat er vaak in goed te bekijken en bepalen welk niveau je nodig hebt. En dat hangt af van je security- en compliancebehoeften.
Welk SoD-niveau past bij je behoeften?
Bij IGA-oplossingen bestaat er geen one-size-fits-all. Het is belangrijk om van in het begin de juiste keuze te maken, want identiteit vormt het hart van je securitystrategie. Daarom is het nuttig om te bekijken welke functionaliteiten mogelijke platformopties hebben. Maar nog van veel groter belang is het niveau van controle dat je organisatie nodig heeft.
Op het vlak van Separation of Duties (SoD) vallen de meeste IGA-oplossingen in een van twee categorieën.
1. Full-featured IGA: diepgang voor complexe omgevingen
Met full-featured IGA-oplossingen definieer je gedetailleerde policies over veel rollen, applicaties en systemen heen. Dit soort platformen zijn geschikt voor organisaties met complexe workflows, meerdere business units of strenge regelgeving.
Hun meerwaarde zit in:
- Granulaire controles die tot op het niveau van specifieke rechten gaan, niet enkel rollen
- Geautomatiseerde handhaving, zodat maatregelen in je hele organisatie worden afgedwongen
- Realtime detectie van overtredingen, zodat problemen gesignaleerd worden terwijl ze zich voordoen, en niet pas bij de volgende audit
- Schaalbaarheid, zodat je SoD-policies meegroeien met je organisatie
2. Light IGA: de essentie, eenvoudig aangepakt
Light IGA-oplossingen richten zich vooral op basisbeheer van de identiteitslevenscyclus: onboarding, offboarding en toegangsaanvragen. Ze zijn doorgaans eenvoudiger en daardoor ook goedkoper in gebruik.
De keerzijde is minder diepgang in controle. Light IGA mist vaak de gedetailleerde SoD-handhaving die organisaties met strengere regelgevende of compliance-eisen nodig hebben. Voor veel omgevingen is dat echter geen probleem.
Als je governancebehoeften eenvoudig zijn en je SoD kunt beheren via manuele processen of basiscontroles, is een light oplossing misschien alles wat je echt nodig hebt.
Hoe bepaal je welk SoD-niveau je organisatie nodig heeft??
Er is geen universeel antwoord. Een middelgroot bedrijf met een handvol kernapplicaties heeft andere behoeften dan een financiële instelling die onder DORA of NIS2. Stel jezelf deze vragen:
- Hoeveel kritieke applicaties en systemen verwerken gevoelige data of financiële transacties?
- Weet je welke combinaties van toegangsrechten in jouw omgeving een conflict zouden veroorzaken?
- Hoe worden SoD-overtredingen vandaag gedetecteerd: automatisch, tijdens periodieke reviews of helemaal niet?
- Verplichten regelgeving of auditors je om aan te tonen dat je SoD-controles effectief zijn?
- Verwacht je dat je organisatie binnen twee à drie jaar sterk verandert, bijvoorbeeld door groei, overnames of nieuwe applicaties?
Wijzen de meeste antwoorden op complexiteit, regelgeving of groei? Dan wordt manueel toegangsbeheer vroeg of laat een bottleneck. Is je omgeving klein en stabiel, dan volstaat een lichtere aanpak misschien voorlopig. Zorg er wel voor dat je de afwegingen kent voor je beslist.
Veel organisaties starten met spreadsheets, goedkeuringen geval per geval en jaarlijkse access reviews. Dat kan een tijdje werken. Maar naarmate rollen veranderen, mensen van team wisselen en applicaties zich opstapelen, bereikt manuele SoD zijn grenzen.
Conflicten blijven onopgemerkt en reviews worden een afvinkoefening. De controles waarvan je dacht dat je ze had, weerspiegelen de realiteit niet langer. Op dat punt bespaart automatisering niet alleen tijd. Ze maakt van SoD geen periodieke check meer, maar een controle die voortdurend actief is. Een belangrijk strategisch fundament in je beveiligingsstrategie,
Zet SoD op de agenda van je RFP
Evalueer je IGA-leveranciers? Geef SoD dan de aandacht die het verdient. Vraag elke leverancier hoe hun oplossing ermee omgaat. Niet alleen op papier, maar ook in de praktijk:
- Hoe worden SoD-policies gedefinieerd en hoe granulair kunnen ze worden?
- Worden overtredingen automatisch gedetecteerd en voorkomen, of enkel gerapporteerd?
- Hoe ondersteunt role-based access control SoD over verschillende systemen heen?
- Welke compliancerapportering is er beschikbaar voor auditors?
Uit hun antwoorden blijkt snel of een oplossing je vereisten aankan, of dat je ze in een mum van tijd ontgroeit.
Kies op maat van je organisatie, niet op features
De beste IGA-oplossing is niet die met de langste lijst functionaliteiten. Het is de oplossing die past bij je bedrijfsvereisten en je risicoprofiel. En daarbovenop een oplossing die in lijn ligt met je toekomstplannen.
ACEN heeft weliswaar partnerschappen, maar onze aanpak is leveranciersonafhankelijk. Ons advies begint dus bij het bekijken en analyseren van je organisatie. Onze experts helpen je om je vereisten te bepalen, je risico’s in kaart te brengen en in te schatten welke IGA-strategie het best past.
