Identity & Access Management (3/4): 'Out-of-the-box' oplossing of een oplossing 'Outside-of-the-box'? | i-to-i, expert informatiebeveiliging
In het vorige deel in het vierluik Identity- en Acces Management (IAM), zijn we ingegaan op het belang bij IAM van een goede business en IT (security) alignment. In dit deel ga ik in op de IAM tooling en specifiek op de 'Out-of-the-box' of 'Outside-of-the-box' oplossingen. Daarbij wordt weergegeven dat voor beide type oplossingen specifieke randvoorwaarden te (h)erkennen zijn. Deze randvoorwaarden dragen bij aan het succes van IAM bij de selectie, aanschaf, implementatie en toepassing binnen de organisatie.
IAM oplossing Out-of-the-box
De IAM Out-of-the-box oplossingen kenmerken zich in de productdefinitie en presentatie als 'all in one, easy buy, deploy and use'. Anders gezegd deze oplossing biedt veel IAM functionaliteiten, is relatief beheersbaar en is met een voorspelbare investering te implementeren. Voorbeelden zijn het RSA IMG platform, Sailpoint, NetIQ IDM en de OIM suite van Oracle.
Met het selecteren en implementeren van IAM Out-of-the-box oplossingen bestaat een logische verwachting dat hiermee de volledige IAM dynamiek binnen de eigen organisatie effectief aangepakt wordt. Zo wordt in het selectieproces bijvoorbeeld hoge ogen geworpen op de veelzijdigheid van IAM functionaliteiten en de brede toepasbaarheid die deze Out-of-the-box oplossing biedt.
Het risico is dat bij toepassing van Out-of-the-box functionaliteiten de werkelijkheid weerbarstig blijkt te zijn. In de praktijk ervaren wij dat organisaties vaak specifieke IAM wensen en eisen hebben die niet volledig kunnen worden ingevuld met de op standaarden gebaseerde Out-of-the-box functionaliteiten.
Dit ligt niet zozeer aan de capaciteiten van de IAM Out-of-the-box oplossing. Door tijdig te onderzoeken of en welke specifieke IAM behoefte met standaarden (niet) kan worden ingevuld worden nare verrassingen bij het implementeren voorkomen. Het gevolg is anders een complex, langzaam en kostbaar IAM traject welke de acceptatiegraad van 'het nieuwe IAM' binnen de organisatie negatief beïnvloedt.
De juiste uitgangspunten voor en het behalen van succes met deze oplossingen rusten sterk op standaardisatie. Deze moet zijn geborgd en geaccepteerd in de gehele organisatie. Het is dan ook belangrijk een goed beeld te hebben bij het selecteren van een IAM oplossing of dit zo is en om welke standaarden het gaat. Om een Out-of-the-box IAM oplossing naar waarde in te kunnen zetten is dit een zeer belangrijke randvoorwaarde.
IAM Outside-of-the-box
De praktijk heeft ons geleerd dat in loop der tijd een diversiteit van 'standaarden' en specifieke procesgang is ontstaan binnen het IAM domein.
Het ontsluiten van Out-of-the-box IAM oplossingen op deze door de organisatie gebruikte 'standaarden' en specifieke procesgang kan tot vervelende verassingen leiden als dit niet tijdig is (h)erkent. Bijvoorbeeld indien een specifieke IAM functionele of technische behoefte met Out-of-the-box oplossingen (nog) niet kan worden ingevuld. Deze situatie vraagt om maatwerk, om een Outside-of-the-box benadering. Dit maatwerk kan naast extra kosten en ontwikkeltijd ook een extra risico zijn op het gebied van stabiliteit en continuïteit. Dit risico kan worden gereduceerd door dit maatwerk onder regie van de leverancier uit te laten voeren en op te nemen in een officiële patch update van de IAM oplossing.
Vanuit beheerperspectief kan de mate van diversiteit als een onzekerheid in beschikbaarheid worden beschouwd en als zeer complex worden gezien. Diversiteit van en het volume in maatwerk vraagt ook meestal een additionele belasting op de beheerorganisatie. Denk hierbij aan beschikbaarheid van specifieke expertise, structurele ontwikkelingskosten of een ROI die hierdoor lastig te bepalen is.
De kosten en inspanningen die gemoeid zijn met het ontwikkelen en implementeren van maatwerk kunnen hoog uitvallen. Door vooraf per wens of eis goed te bepalen of IAM maatwerk de juiste aanpak is, kan een desinvestering in maatwerk worden voorkomen. Bijvoorbeeld als blijkt dat een specifieke wens of eis bij de Outside-of-the-box IAM functionaliteit weinig wordt gebruikt. Of als aansluiting op standaard IAM functionaliteiten door een aanpassing in de organisatie eenvoudiger, sneller en mogelijk goedkoper is te realiseren. Door een veelvoud van maatwerk of "specials" te accepteren kan het IAM platform uiteindelijk een onoverzichtelijk en onbeheersbaar platform worden met alle risico's als gevolg.
De uitdaging voor een organisatie is het tijdig transparant maken en inzichtelijk krijgen of en waar diversificatie het beste is toe te passen. Zo kunnen voorwaarden worden gecreëerd om aan specifieke procesgang, compliancy of regulering te kunnen voldoen. Een goed vertrekpunt is om standaarden en mogelijke afwijkingen daarvan per functionele IAM component vast te stellen. Voorbeelden van componenten zijn Identity & Credential Management, Request & Approval, (de)provisioning, Review en Entitlement audit.
Out-of-the-box IAM oplossingen bieden veel waarde vanwege de ' all-in one' en de op standaarden gebaseerde functionaliteiten. Om een op de eigen organisatie ingericht IAM platform succesvol neer te zetten zullen de meeste organisaties echter niet ontkomen om naast een IAM Out-of-the-box oplossing ook het specifieke IAM Outside-of-the-box denken en doen in te richten.
i-to-i heeft de afgelopen jaren diverse organisaties succesvol geholpen met het invullen van IAM gerelateerde vraagstukken als: "Welk IAM maatwerk is nodig en wenselijk, of welke alternatieven zijn te bedenken op basis van de Out-of-the-box standaarden?"
Klik hier voor het tweede IAM artikel over 'Alignment'.
Volgende maand publiceren wij het artikel over 'Interoperabiliteit'
← Cybersecurity voor de bestuurderIdentity & Access Management (4/4): Interoperabiliteit is een absolute voorwaarde voor succes →