Visibility First

Dit rapport (in het Engels) introduceert zeven visibility-first principes. Het benadrukt veelvoorkomende blinde vlekken in identity en access omgevingen en biedt begeleiding in hoe deze aan te pakken. Het onderzoekt vervolgens hoe een dergelijke aanpak traditionele IAM en IGA initiatieven kan aanvullen. Als laatste schetst het onze Identity Strategy Approach: een praktische manier om deze zeven Visbility First principes toe te passen, verborgen risico’s in kaart te krijgen, en een routekaart te bouwen die identity security in een gecontroleerde en duurzame manier versterkt.

Als maker van het rapport bekijkt Timo Copp de fundamenten van identity visibility en legt uit waarom een identity-first security aanpak in toenemende mate belangrijk is. Hij onderzoekt ook hoe Identity Visibility and Intelligence Platforms (IVIPs) anders zijn dan traditionele IAM en IGA oplossingen. Terwijl IAM en IGA essentieel zijn voor provisioning van gebruikers, lifecycle management en het handhaven van toegang, pakt IVIP een ander probleem aan: zien en begrijpen wat daadwerkelijk bestaat in een IAM landschap, hoe alles met elkaar verbonden is en waar risico’s zich opstapelen.

Je kunt niet beschermen wat je niet kan zien. De taak zit dus in zorgen dat alles zichtbaar wordt! Zichtbaarheid maakt vervolgens keuzes meer geïnformeerd, acties meer gericht en onderbouwd, en controle meer gebaseerd op begrip dan op aannames.

IAM als fundament voor digitale weerbaarheid en strategische versnelling

Identity & Access Management (IAM) blijft zich bewijzen als het besturingssysteem van digitale weerbaarheid én strategische versnelling. Het vormt de motor onder digitalisering en stelt steeds dezelfde kernvraag: wie (of wat) heeft toegang tot wat, en waarom? En misschien nog belangrijker: kunnen we die vraag met vertrouwen beantwoorden?

Richting 2026 bewegen namen we de tijd om terug te kijken op 2025. Om belangrijke momenten, ontwikkelingen en bewegingen uit het afgelopen jaar te duiden en vooruit te kijken naar wat eraan komt. Welke IAM-trends zien we voor 2026 en verder? Wat broeit er onder de oppervlakte en hoe ontwikkelt ons vakgebied zich verder?

Er gebeurde van alles in 2025. Stilzitten was er niet bij! We zagen marktverschuivingen en consolidatie, gesprekken over digitale weerbaarheid en afhankelijkheden die hoger op de (bestuurlijke) agenda kwamen te staan, nieuwe labels zoals IVIP en een bredere discussie over IAM & AI, AI-agents en non-human identities. Tussen al dit rumour zagen we nog iets anders: ondanks alle bewegingen blijven veel IAM-teams doen wat het meest telt; het op orde houden van de IAM basis en van toegangs­fundamenten, zodat mensen en systemen hun werk veilig en betrouwbaar kunnen blijven doen.

We vroegen een aantal van onze experts (alle SonicBee bijdragers vind je aan het einde van dit rapport) wat hen in 2025 is opgevallen en wat zij verwachten voor 2026. De accenten verschillen, maar in de kernboodschap zit een rode draad: IAM heeft zichtbaarheid, controle en betrouwbare, hoogwaardige data nodig om governance, automatisering of AI van waarde te laten zijn. Deze basis is essentieel om IAM écht in dienst van de organisatie te laten werken.

In dit rapport lees je wat onze experts verder signaleren, wat dat betekent in de praktijk en welke stappen het overwegen waard zijn richting 2026.

Veel leesplezier! En natuurlijk een goed en veilig nieuwjaar.

SonicBee bestaat 5 jaar! Voor de gelegenheid gingen we met vijf vragen in gesprek met André Koot, co-founder en principal IAM consultant.

Vijf jaar SonicBee! Hoe is dat? Waar ben je trots op?

Om te beginnen dat we überhaupt al vijf jaar bestaan! Wat een mijlpaal. Heel trots dat we door de jaren heen zoveel fijne mensen aan boord hebben gekregen, we steeds beter in de markt staan met steeds betere diensten en dat we steeds meer organisaties steeds beter kunnen helpen. Sommige van hen zelfs al jaren!

Vijf jaar geleden stonden we nog midden in de lockdown, verbonden met nieuwe collega’s en klanten uitsluitend via schermen. Dat was een groot avontuur. Gaan we het halen? Vinden we ons plekje in de markt? Dat was echt wel spannend toen.

Maar ik ben blij dat we dat avontuur zijn aangegaan. Vandaag de dag zie ik een bruisend kantoor in Utrecht en een hecht team van professionals op uiteenlopende vakgebieden, een aantal zelfs met expertises die uniek zijn in de markt, en een groeiende community rondom SonicBee. Ook echt leuk om te merken dat steeds meer partijen in de markt ons spontaan weten te vinden, interactie hebben met onze LinkedIn-berichten, ons vragen stellen en SonicBee actief benaderen.

Dat komt denk ik deels doordat we inmiddels een betrouwbare reputatie hebben opgebouwd binnen een business-IAM-niche in de Security/IT markt die ons heel goed past, met waardevolle en inhoudelijke samenwerkingen met onze klanten.

Veranderingen binnen Identity & Access Management? Waar staan we nu vs 5 jaar geleden?

Er zijn nu heel veel (meer) mogelijkheden, dingen die we vijf jaar geleden nog niet hadden. Denk aan de Digital Identity Wallet(s); destijds waren de ideeën er en nu zijn de ontwikkelingen zo ver dat we richting gebruik gaan. Deze oplossingen live zien komen in specifieke sectoren wordt steeds concreter en dat zijn interessante ontwikkelingen. Mooi als we organisaties straks met onze expertise kunnen helpen bij implementatie en de bedrijfstransitie die ze daarvoor nodig hebben.

Een andere belangrijke ontwikkeling is hoe we omgaan met AI in IAM. Besef maar, vijf jaar geleden bestond ChatGPT nog niet! En inmiddels is het niet meer weg te denken. Dat op zich is nog niet zo spannend. Waar we wel goed over moeten nadenken zijn AI Agents; non-human identities die in/voor organisaties mensentaken uitvoeren en daarvoor dus identiteiten en toegang nodig hebben.

Dat komt met een nieuwe IAM dimensie, nieuwe risico’s, kansen en vragen voor IAM vanuit bedrijfsperspectief. We volgen de ontwikkelingen en gesprekken aandachtig! We leveren bijdragen aan de ontwikkeling van hoe we denken over consequenties, succesfactoren, randvoorwaarden en onderzoeken van de businesscase voor bedrijven en organisaties. Er is nog maar weinig ECHT bekend en we zullen vast nog een hoop unknown unknowns tegenkomen.

IAM lessen en inzichten uit de praktijk waar je vandaag harder (of net zo hard) in gelooft dan 5 jaar geleden?

IAM vanuit bedrijfsperspectief en als gedeelde business-en-IT-verantwoordelijkheid

Voor veel organisaties en bedrijven is security, IT, en met name IAM, nog altijd een technisch en ‘onder-de-motorkap’-ding. En onder een motorkap kun je als bestuurder niet zitten; vanuit daar stuur je je organisatie immers niet. Er zit dus wat afstand tussen degene die rijdt (bestuurder) en dat wat zorgt dat er gereden kan worden (motor). Terwijl zonder elkaar bestaan beide niet. De sleutel zit in deze twee kernen van bedrijfsvoering slim verbinden zodat ze elkaar versterken. Hoe ziet de motor eruit, wat moet het doen en kunnen, voor een zo goed mogelijke rijervaring?

Sinds het begin doen we dat door onze IAM-dienstverlening specifiek vanuit bedrijfsperspectief te benaderen. Daarmee kan de motor zo draaien dat de bestuurder veilig, snel en strategisch vooruit kan. Dat betekent bijvoorbeeld: hoe gaan we zo effectief mogelijk van vandaag naar morgen? Welke uitdagingen rond toegang moeten netjes en goed zijn geregeld, zodat er een goede basis ligt om op te groeien naar de toekomst toe? Stap voor stap, met een goede businesscase en duidelijke richting, begeleiden en ondersteunen. Daar zit denk ik onze meerwaarde.

Role Based Access Control krijgt steeds meer momentum

RBAC, en daarmee het optimaliseren van rollen en rechten in een organisatie, heeft een aangename en verrassende opleving gekregen! Waar ik 15 jaar geleden nog weleens wilde geloven dat Role Based Access Control (RBAC) misschien z’n beste tijd had gehad, lijkt nu niets minder waar! RBAC is springlevend.

Organisaties vragen ons steeds vaker om te helpen bij de inrichting, herziening of implementatie van RBAC. Dat is interessant, zeker omdat ik als IAM strateeg al zo lang bezig ben met modernere vormen en technieken van autorisatiebeheer. In theorie zijn er veel geavanceerde alternatieven beschikbaar, terwijl in de praktijk sluiten die lang niet altijd aan op de dagelijkse realiteit van organisaties en de daadwerkelijke behoefte.

Voor veel organisaties is hun huidige informatievoorziening al complex genoeg. Overzicht ontbreekt, data is versnipperd en eigenaarschap is niet altijd scherp belegd. En juist in die context is RBAC een pragmatische en begrijpelijke manier om grip te krijgen op autorisaties, zonder dat je er zelf diepe security- of IAM-kennis voor nodig hebt.

Daarom werkt RBAC denk ik nu zo goed: het sluit aan bij wat organisaties nú aankunnen en nodig hebben. Onze aanpak is daarop ingericht en helpt om praktisch en stapsgewijs te bewegen naar Role Based Access Control. Niet als eindstation per se, maar juist als solide en noodzakelijke volgende stap op weg naar volwaardige IAM volwassenheid.

Wat doet SonicBee nu beter dan in jaar 1? Wat draagt daaraan bij?

Onze dienstverlening is vele malen professioneler geworden. We leveren onze diensten tegenwoordig via een veel meer gestructureerde methode en we staan vergeleken met de eerste jaren steeds sterker in de markt. Ook onze aanpak ten aanzien van talentontwikkeling is enorm verbeterd; dit is één van de belangrijkste processen in onze organisatie. Zo zijn we stap voor stap uit de onstuimige opstartfase naar steeds stabieler vaarwater gegroeid.

Welke nieuwe dingen gaat SonicBee in de nabije toekomst doen?

We blijven investeren in de mensen, partners en klanten rondom SonicBee met elkaar en met relevante inzichten en informatie te verbinden, bijvoorbeeld via onze kennisevents. Sowieso delen we onze kennis graag! Masterclasses tot gastcolleges, specifieke opleidingen tot paneltalks, professionele platforms, artikelen en rapporten tot vakbeurzen. Dat draagt bij aan groei van ons vak, het netwerk rond ons bedrijf, verbindt mensen met elkaar en is ontzettend leuk om aan te bouwen.

En natuurlijk de ontwikkeling van talenten en skills binnen SonicBee; ik merk dat we steeds beter in staat zijn om goede mensen aan te trekken. Op alle niveaus, zowel stagiairs als principal consultants, die via klantwerk, bedrijfsuitjes en een actief Talent Development programma weer aan elkaar gelinkt zijn, zich verder ontwikkelen en elkaar helpen groeien.

Verder hebben we recent onze inzichten, ervaringen en creativiteit gebundeld voor de ontwikkeling van een eigen IAM-volwassenheidsmodel. Dit model, inmiddels ook al een paar keer uitgevoerd, geeft snel, laagdrempelig en praktisch inzicht in welke stappen nodig zijn om tot een hoger niveau van volwassenheid en toegangsbeheersing te komen. Het wordt een steeds mooier model en werkt steeds beter, en we zien bijvoorbeeld ook dat het op deze manier tastbaar maken van IAM-organisaties helpt om draagvlak voor specifieke IAM-projecten te creëren. Daar ben ik wel trots op en ik kijk er enorm naar uit het nog toegankelijker te maken voor meer bedrijven en organisaties.

Als we het hebben over de toekomst mag daar het perspectief van onze CEO, Arjen Slim, natuurlijk niet ontbreken. Dus, na mooie reflectie op de afgelopen vijf jaar en een kleine doorkijk naar de toekomst, ook aan hem de vraag: hoe zien de komende vijf SonicBee jaren eruit?

De strategische richting van SonicBee zal gaan naar een drietal aandachtsgebieden:

Verstevigen van ons partnernetwerk

Allereerst de verdere versteviging van ons partnernetwerk. Met onze partner Nexis zijn we momenteel succesvol in het domein van role management en hebben we een onderscheidende oplossing voor onze klanten. Echter, we zien dat onze klanten ook hulp nodig hebben bij andere uitdagingen zoals Privileged Access Management. Om die reden hebben we recent een partnerovereenkomst getekend met Arrow om onze klanten een duurzame oplossing te kunnen bieden in dit domein.

Scope van IAM dienstverlening incl. managed services

Ten tweede zullen we de scope van onze IAM dienstverlening uitbreiden naar managed services. We zien dat IAM voor onze klanten een bedrijfskritische functie is en dat goede expertise op dit gebied schaars is. Met onze specialisten, herbruikbare best practices en gestandaardiseerde processen kunnen we onze klanten helpen hun gewenste IAM volwassenheidsniveaus sneller te bereiken. Denk bijvoorbeeld, wat betreft dienstverlening, aan ondersteuning op het gebied van auditrapportages, uitvoeren van joiner/mover/leaver processen en beheren van IAM systemen.

Cybersecurity expertise blijven uitbouwen

Ten derde blijven we onze cybersecurity expertise verder uitbouwen. In de praktijk zien we dat IAM en cybersecurity als een integraal vraagstuk wordt benaderd door onze klanten. Dit komt onder andere door wetgeving en best practices zoals NIS2, GDPR, ISO 27001 en BIO waarin IAM expliciet een onderdeel is van cybersecurity. Hoewel we het daar naar buiten toe nooit veel over hebben, verzorgen we voor een aantal van onze klanten CISO as a Service diensten. Om ons ook in dat domein te positioneren zal hier komende tijd meer aandacht naartoe gaan.

Afsluitend: we hebben vijf mooie jaren achter de rug. Enorm bedankt aan iedereen die er onderdeel van uitmaakte! Benieuwd naar de komende vijf? Volg onze LinkedIn en maak het met ons mee!

Bij SonicBee helpen we organisaties de balans te vinden tussen innovatie en veiligheid. Zo zorgen we voor digitale transformatie die compliant, schaalbaar en duurzaam is – zodat jouw organisatie met vertrouwen kan floreren in het digitale tijdperk. Onze IAM-consultancy en oplossingen zijn op maat gemaakt om processen te stroomlijnen, stakeholders te betrekken en kritieke data te beschermen. Met tientallen jaren aan gecombineerde IAM-ervaring binnen ons team én een exclusief partnership met een van de meest innovatieve IAM-oplossingen op de markt, maken wij IAM toegankelijk, strategisch en ondersteunend aan compliance met wet- en regelgeving.

Van strategie en architectuur tot roadmaps, van programma- en changemanagement tot implementatie: wij zijn jouw partner voor alles wat met IAM te maken heeft.

Wie heeft toegang tot wat – en waarom?

Deze vraag in de kern van IAM! De vraag lijkt op het eerste gezicht misschien wat simpel, maar is in de praktijk toch vaak een stuk lastiger met zekerheid te beantwoorden. En precies daarin schuilt het risico waar we het in dit artikel met je over willen hebben. Want als je niet precies weet waarom wie (of wat) toegang heeft tot welke systemen, data en applicaties, ontstaan er blinde vlekken die kunnen uitgroeien tot echte incidenten, vertraging in de groei en operatie van je bedrijf, en compliance risico’s in je organisatie. IAM kan dat verkleinen of zelfs voorkomen.

Goed ingericht IAM is immers veel meer dan een technische laag in de IT. Het vormt de vangrails waarmee je organisatie veilig en gecontroleerd, langdurige snelheid kan maken. Het geeft grip op toegang en compliance, verhoogt efficiëntie, beperkt je risico’s en helpt je schaalbaar door te groeien. IAM is daarmee geen rem op je operatie, maar een strategische versneller die groei en digitale transformatie versterkt.

IAM verandert het spel

Toch zien we IAM nog vaak terug als slechts een kostbaar technisch vraagstuk: een set IT-processen of tooling, vaak ervaren als complex, duur en tijdrovend. Het gevolg: IAM krijgt te weinig strategische aandacht vanuit de bedrijfsvoering. Zonde!

Want als we het perspectief een beetje kantelen zien we dat IAM direct raakt aan de strategische agenda van een organisatie (en misschien .. wel een plek verdient in het hart daarvan):

• Bedrijfscontinuïteit: voorkom dat incidenten of datalekken de operatie stilleggen.
• Reputatie en (hoofdelijke) aansprakelijkheid (voor bestuurders): als je werkt met veel (gevoelige) data zijn de gevolgen van misbruik of fouten groot, er bestaan al te veel voorbeelden hiervan.
• Digitale transformatie: cloudadoptie, fusies en integraties, flexibel in- en ontkoppelen met ecosystemen van partners en interoperabiliteit – vragen allemaal om wendbaar, schaalbaar en veilig toegangsbeheer.

IAM maakt het verschil tussen sneller en sterker vooruit met vertrouwen, en afgeremd en verrast worden door inefficiëntie, risico’s, haperende processen en complianceproblemen.

Daarmee verandert IAM het spel:

• Van kiezen tussen veiligheid en snelheid → naar een basis waar veiligheid snelheid mogelijk maakt.
• Van vertrager → naar vangrails en versneller die zorgen dat je organisatie gecontroleerd vaart maakt.
• Van handmatig en foutgevoelige processen → naar gecontroleerde toegang en schaalbare workflows.

IAM als strategische versneller

IAM verandert het spel doordat het veiligheid, snelheid en gebruiksgemak niet tegenover elkaar zet, maar juist kan combineren. Goed ingericht IAM betekent:

• Van vertrager → naar versneller: processen voor toegang verlopen automatisch en schaalbaar.
• Van losse systemen → naar fundament: de basis die applicaties, cloud en partners veilig verbindt.
• Van reactief → naar proactief: in plaats van achteraf incidenten oplossen, bouw je governance en compliance vooraf in.

Met een goede IAM-basis ben je minder afhankelijk van handmatige rapportages of Excel-overzichten: je hebt audits sneller geregeld en bewijs en inzicht overzichtelijk paraat. Nieuwe medewerkers of interne functiewissels pas je eenvoudiger en soepel aan, in plaats van dat er dagen overheen gaan met risico op het stapelen van rechten. Cloudapplicaties en SaaS-oplossingen haak je veiliger aan op bestaande systemen en processen, zodat digitalisering niet hoeft vast te lopen op beveiliging. En last but not least in deze opsomming: teams kunnen directer en meer flexibel aan de slag met de juiste data en tools, waardoor (nieuw) werk en projecten en dus vooruitgang makkelijker en veiliger van de grond kan komen.

Een metafoor ter vergelijking

Denk aan de eerste auto’s. Ze waren revolutionair: veel sneller dan paard-en-wagen, maar ze reden nog vaak met koetsremmen, zonder gordels of betrouwbare besturing. Grote vooruitgang – maar ook riskant, oncomfortabel en onveilig. De oplossing was niet om weer langzamer te gaan rijden, maar om betere remmen, veiligheidssystemen en besturing te ontwikkelen. Pas toen werd snelheid écht veilig, comfortabel en houdbaar.

Je zou kunnen zeggen dat IAM een vergelijkbare rol vervult in organisaties.

Iedere organisatie begint overzichtelijk: klein team, korte lijnen, iedereen overal toegang. Maar zodra je groeit, verandert dat gemak in kwetsbaarheid: te brede rechten, onduidelijke verantwoordelijkheden, blind spots. Zonder IAM komt bedrijfscontinuïteit in de knel en loop je risico op incidenten of vertraging. Met IAM bouw je vanaf het begin de juiste besturing in, zodat groei veilig en beheersbaar blijft.

Groei, innovatie en digitale transformatie vragen om snelheid en flexibiliteit. IAM legt de vangrails die zorgen dat je gecontroleerd versnelt, efficiënt schaalt en compliant innoveert, zonder te hoeven kiezen tussen veiligheid, gebruiksgemak en vooruitgang.

Waarom doet dit ertoe?

Zonder IAM stapelen risico’s zich al snel op. Denk bijvoorbeeld aan:

Compliance druk, hoofdelijke aansprakelijkheid en audits: Met onvolledig of versnipperd inzicht in wie toegang heeft tot wat, kosten audits een hoop tijd en energie. In ernstige gevallen kan dit zelfs leiden tot hoofdelijke aansprakelijkheid in de verantwoordelijke toplaag van je bedrijf.

Security incidenten en datalekken: Te brede rechten, inactieve / orphaned accounts, te veel admin accounts en toegang door derden zijn bekende kwetsbaarheden. Het is dus belangrijk daar goed beleid voor te hebben.

Inefficiëntie en frustratie: Handmatig rechtenbeheer duurt lang, is complex en foutgevoelig en leidt tot frustratie bij gebruikers die wachten op toegang. Hoelang duurt het bijvoorbeeld in jouw organisatie voor een nieuwe medewerker de juiste rechten en toegang heeft en echt aan de slag kan?

IAM maakt het verschil door meer grip op toegang te geven, processen te automatiseren en direct zicht te bieden op wie, wat en waarom toegang heeft.

Een paar voorbeelden uit de praktijk:

De Auditor

Een auditor heeft inzicht nodig in identiteiten, accounts en autorisaties binnen een organisatie. Zonder een IAM-structuur en een schone database wordt het verzamelen van deze informatie een handmatig, foutgevoelig en tijdrovend proces – zowel voor eigen teams als voor de auditor. Dat kan vertrouwen, deadlines en compliance in gevaar brengen.

De Groeistrategie

Een bedrijf met een groeistrategie door overnames en integraties van nieuwe business units, en het afsplitsen van onderdelen die beter zelfstandig verdergaan. Daarvoor is een flexibele structuur nodig om units snel en veilig aan- of af te koppelen. Zo’n strategie is al complex genoeg. Een solide IAM-structuur beperkt in dergelijke trajecten in ieder geval security risico’s en onnodige extra operationele kosten door vertraging of compliance fouten.

Het Security Incident

Een security incident (bijvoorbeeld een medewerker heeft ongezien toegang (gehad) in het financieel systeem met alle gevolgen van dien) treft een organisatie en de organisatie moet zo snel mogelijk achterhalen wat er gebeurd is en wat de oorzaak was. Zonder IAM is het bijna onmogelijk om de kernoorzaak te herleiden, met als risico een vertraagde respons, langere hersteltijd, grotere schade en een verhoogde kans op herhaling.

Het echte probleem is dus niet alleen vertraging, maar ook kwetsbaarheid. De vraag is niet of er iets misgaat, maar of je er goed genoeg op voorbereid bent.

IAM en regelgeving: NIS2 en verder

Wet- en regelgeving voor veilige en betrouwbare verwerking van (gevoelige) gegevens kijkt onder meer naar het beheer van identiteiten en toegang en meer in het bijzonder naar beheerautorisaties. IAM speelt hierin een sleutelrol, ook al wordt het niet altijd expliciet zo genoemd. Het soms onzichtbare maar onmisbare fundament. Het gaat over:

• Zichtbaarheid: wie heeft toegang, waarom en met welk recht?
• Controle: doorlopende recertificaties en toegangsreviews.
• Bewijsvoering: audittrails en rapportages die direct voldoen aan toezichteisen.

Wat nu? Quick wins die je meteen kunt toepassen

Ook zonder grote investeringen kun je direct verbeteringen doorvoeren:

1. Elk kwartaal een check op orphaned accounts: vergelijk HR- en AD/Entra-data en sluit accounts van mensen die niet meer in dienst zijn.
2. Reset bij functiewijziging: verwijder de oude rechten en geef alleen de standaardset met rechten opnieuw.
3. Wekelijkse data-sync: zorg dat IAM altijd in lijn blijft met HR.
4. Één IAM ’topic owner’ aanwijzen: maak iemand in de organisatie aanspreekpunt voor IAM en geef die persoon (al is het informeel) voldoende mandaat voor operationele IAM-beslissingen.

Deze kleine stappen verminderen risico’s direct en maken de weg vrij voor structurele verbeteringen.

Strategisch versnellen met IAM

IAM combineert veiligheid, efficiency en snelheid. Net zoals auto’s pas echt hun potentieel begonnen te bereiken toen gordels, beveiligde besturings- en remsystemen, en slimme operationele features standaard werden, kan IAM organisaties in staat stellen om snel, gecontroleerd en duurzaam te groeien en dat vol te houden op de lange termijn.

Plan een korte kennismaking met Julia om te zien waar jouw organisatie het meest mee geholpen is.

Bij SonicBee helpen we organisaties de balans te vinden tussen innovatie en veiligheid. Zo zorgen we voor digitale transformatie die compliant, schaalbaar en duurzaam is – zodat jouw organisatie met vertrouwen kan floreren in het digitale tijdperk. Onze IAM-consultancy en oplossingen zijn op maat gemaakt om processen te stroomlijnen, stakeholders te betrekken en kritieke data te beschermen. Met tientallen jaren aan gecombineerde IAM-ervaring binnen ons team én een exclusief partnership met een van de meest innovatieve IAM-oplossingen op de markt, maken wij IAM toegankelijk, strategisch en ondersteunend aan compliance met wet- en regelgeving. 

Van strategie en architectuur tot roadmaps, van programma- en change management tot implementatie: wij zijn jouw partner voor alles wat met IAM te maken heeft. 

SonicBee is partner van de Identity Day Coalition

SonicBee is partner van de Identity Day Coalition

We zijn trots om officieel onderdeel te zijn van de Identity Day Coalition als partner. Dit betekent dat wij de ontwikkeling van legaal en verifieerbaar bewijs van identiteit voor iedereen wereldwijd, onderstrepen. Legale identiteit is een mensenrecht en praktisch noodzakelijk voor digitale identiteit.

Identity Day, elk jaar gehouden op 6 September, benadrukt het fundamentele belang van legale identiteit en een veilige, inclusieve, toegankelijke (digitale) wereld. Het thema van dit jaar is “My Identity, My Umbrella” en spreekt daarmee tot hoe veilige, goed beheerde identiteit een individu zowel zou moeten beschermen als in staat moeten stellen tot beweging.

Your identity is so implicit in every day life, be it offline or online, that we often forget how important it is. Untill there is an issue with your identity, think of identity theft, or when your not able to access your online identity. On Identity Day we promote awareness for the UN SDG 16.9, legal identity for all, as a basic right and enabler for everyone’s legal recognition’.

- Henk Marsman, Principal Consultant, SonicBee

Over Identity Day

Identity Day (16.9) refereert aan UN Sustainable Development Goal 16.9, wat staat voor het voorzien van legale identiteit voor iedereen, inclusief geboorteregistratie, per 2023. Niet alleen als mensenrecht maar ook als praktische noodzakelijkheid. Het werd gelanceerd om bewustzijn te vergroten rond het onderwerp en doel, en om actie te richten naar de honderden miljoenen mensen wereldwijd die geen officiele identificatie hebben. Daarmee benadrukt het bovendien voor zij die (een) ID(s) hebben of beheren het belang deze te beschermen en hier verantwoordelijk mee om te gaan.

Meer over ID Day en de coalitie: https://id-day.org

Ondersteun het potentieel van je organisatie met slimme IAM oplossingen, aangepast op jouw specifieke behoeften

Wanneer je organisatie nog relatief klein en overzichtelijk is, zijn handmatige processen voor onboarding, offboarding en access reviews nog prima te hanteren. Maar als je bedrijf begint te groeien - meer medewerkers, meer systemen, meer data - dan wordt overzicht snel lastiger te behouden en worden taken complexer en tijdsintensief. Effectief opschalen vraagt om een IAM oplossing die je groei kan bijhouden of zelfs kan versnellen en de afhankelijkheid van handmatig werk kan verkleinen.

Denk aan bergen interne tickets voor doorstromers of uitstromers, langdurige en stroperige onboarding voor nieuwe medewerkers en instromers, een hoop geschakel tussen HR/IT/afdeling en een erg echt risico op autorisaties die ergens blijven steken of verouderen. De kern van dit verhaal? Veel werk voor teams die uren opbranden aan relatief routinematige taken in plaats van taken die je organisatie slim, snel en veilig vooruitbrengen.

Handmatige processen kunnen op die manier een vertragende werking hebben in je operatie, risico op fouten vergroten en toegangsbeheer ingewikkelder maken.

Stel je IAM omgeving scherp

Als je deze groeipijntjes herkent zou dat zomaar een teken kunnen zijn dat je IAM organisatie klaar is voor een volgende stap richting een hoger IAM volwassenheidsniveau. Dit begint met scherp in kaart brengen hoe de IAM structuren eruitzien: hoe ziet het er precies uit op dit moment? En waar ligt de grootste, meest relevante of meest noodzakelijke ruimte voor verbetering?

Hoe Autorisatie Analyse helpt

Autorisatieanalyse is een belangrijke stap richting het automatiseren van IAM kernprocessen en Role Based Access Control. Onze Autorisatie Analyse dienst visualiseert een volledig IAM landschap op basis van gekoppelde applicaties, wat zorgt voor robuust inzicht in welke gebieden focus en aandacht nodig hebben. Deze inzichten, of verborgen kansen, gecombineerd met geprioritiseerde aanbevolen acties voor verbetering, staan aan de voet van een slimme, veilige en schaalbare toekomst voor je bedrijfsvoering en -operatie.

• Breng je IAM omgeving in kaart: jouw IAM gegevens overzichtelijk en gestrucuteerd in grid format
• Bepaal laaghangend automatiseringsfruit met lange termijn voordelen: richting RBAC met eerste suggesties voor automatisch toekenbare business rollen
• Klaar-voor-de-start aanbevelingen: heldere, actiegerichte inzichten om de IAM basis verder op orde te brengen

Ook interessant om te lezen: Four keys to effective access and authorization management

Ervaar de voordelen van NEXIS 4 als IAM/IGA oplossing via onze dienstverlening

Onze consultants werken met NEXIS 4 in hun Autorisatie Analyse-toolkit om je voor elk account, entitlement, en gekoppelde applicatie de scherpste inzichten en overzichtelijke visualiseringen te geven. Dit betekent dat je een stuk van de voordelen van deze innovatieve software, gericht op jouw data, kan ervaren voor de duur van de dienst, zonder dat je direct vastzit aan eigen licenties.

Voor wie is it relevant?

Groeiende middenbedrijven en -organisaties voor wie de grenzen van handmatige IAM processen voelbaar zijn en die zich daarom voorbereiden op veilige, efficiënte opschaling

• IT en Security Managers die toe willen naar gestructureerd, gestroomlijnd en geautomatiseerd Identity & Access Management, in plaats van werken met spreadsheets en tickets
• Compliance en GRC leads verantwoordelijk voor het verbeteren van toegangscontroles met audits of certificeringen in het verschiet
• Teams die op zoek zijn naar passende IAM/IGA tooling maar nog niet klaar zijn zich vast te leggen op één oplossing, en graag de voordelen van NEXIS 4 zelf, met eigen data, willen ervaren vóórdat ze commiteren aan een langlopend implementatietraject.

Vind verborgen kansen sneller

Als je merkt dat handmatige of verouderde IAM-processen je bedrijfsvoering in de weg staan, komen we graag met je in contact voor een autorisatie analyse demo. Hier kunnen we beginnen te onderzoeken wat het scherpstellen van je IAM-omgeving zou kunnen doen, waar je jouw team’s tijd kan terugwinnen door verborgen kansen te ontdekken, en waar te bouwen voor een slimme, stevige IAM-basis voor opschalen naar de toekomst. Onze deur staat open!

Dan rest ons nog het volgende: voor wie geïnteresseerd is in het onderwerp en hier meer over wil weten, duik eens in André Koot’s paper over Identifying Stakeholders in Access Governance, of blader door de verzameling van werken in IDPro’s Body of Knowledge.

Risico’s neigen ongezien te blijven tot het te laat is

Veiligheidsbreuken resulteren nog weleens van onverwachte, onvoorziene IAM kwetsbaarheden zoals verouderde toestemmingen, orphan accounts of dormant admin accounts. Deze risico’s blijven over het algemeen redelijk goed verstopt en verborgen in een IAM omgeving tot het te laat is. Ongemoeid kan dit logischerwijs leiden tot grote issues en hoe langer dat door kan blijven gaan, hoe groter het risico dat iemand de kwetsbaarheden uitbuit voor toegang tot gevoelige data en kritieke systemen.

Dus, hoe vinden we deze verborgen risico’s? Hoe brengen we deze IAM kwetsbaarheden in het licht? Met name in de wetenschap dat ze lang niet altijd makkelijk te vinden zijn en we vaak ook niet precies weten waar te zoeken. We weten immers niet wat we niet weten. Wat wel wel weten is dat vertrouwen op de eens-in-de-zoveel-tijd handmaige toets van je IAM omgeving onvoldoende kan blijken. En precies daar is waar we je kunnen helpen: onze Autorisatie Analyse scant je volledige IAM omgeving scherp en scant deze intuïtief en overzichtelijk op risico’s, kwetsbaarheden en blinde vlekken. Hiervoor maken we onder meer gebruik van de NEXIS 4 software en vertalen we ingewikkelde IAM gegevens naar heldere, actiegerichte aanbevelingen.

Ontdek verborgen risico’s - een voorbeeld

Stel je voor: een admin user met superadminrechten en een onveranderd wachtwoord van 10+ jaar. Niets daarvan valt direct te herleiden naar een persoon. Een grote en belangrijke bevinding die, zonder een diepe scan van de IAM omgeving, onopgemerkt zou blijven. Autorisatie Analyse zou een dergelijk risico zichtbaar kunnen maken, een vervolgonderzoek aanbevelen zodat er gericht actie kan worden ondernomen.

Nu horen we weleens: maar wat zijn nu de kansen dat we dit tegenkomen? En daar zit natuurlijk een kern van waarheid in. Het klinkt uitzonderlijk, maar de ervaring leert dat dit het niet is. IAM kwetsbaarheden komen overal voor en zijn niet specifiek voor bepaalde organisaties of sectoren.

Hoe Autorisatie Analyse helpt

Aangedreven door NEXIS 4 software en gefaciliteerd door een van onze gecertificeerde NEXIS 4 experts, brengt Autorisatie Analyse gebruikers, applicaties, toegang, en autorisaties samen in intuïtieve, overzichtelijke formats. Daarmee kunnen we diep het IAM landschap in kijken, de IAM gegevens visueel vormgeven, precies in kaart brengen waar aandacht of verder onderzoek nodig is, en gerichte aanbevelingen geven om dat tot uitvoering te brengen.

Autorisatie Analyse stelt je in staat om:

• Snel IAM kwetsbaarheden te spotten
• Helderheid te krijgen op je autorisatiestructuren
• Gevonden risico’s aan te pakken met actiegerichte, expert-gedreven inzichten en aanbevelingen
• IAM te versterken door de omgeving scherp te stellen
• Ervaar NEXIS 4 en zie jouw data in actie, beleef de voordelen en de waarde, zonder meteen vast te leggen op een licentie en langlopende implementatie.

Ook interessant om te lezen: Four keys to effective access and authorization management

Voor wie is it relevant?

Voor iedereen die ‘Wie heeft toegang tot wat en waarom?’ helder en met vertrouwen moet kunnen beantwoorden

En meer specifiek, Autorisatie Analyse is waardevol voor:

• IT, security, en GRC teams die werken aan veilig toegangsbeheer en compliance
• Organisaties in streng gereguleerde industrieën en die omgaan met veel gevoelige data, zoals banken, verzekeraars, gezondheidszorg, en overheidsinstanties
• Bedrijven met groeiende IAM infrastructuur dat schaalbare oplossingen nodig heeft om compliant, weerbaar en efficient te blijven

Voor wie is it relevant?

Voor iedereen die ‘Wie heeft toegang tot wat en waarom?’ helder en met vertrouwen moet kunnen beantwoorden

• IT, security, en GRC teams die werken aan veilig toegangsbeheer en compliance
• Organisaties in streng gereguleerde industrieën en die omgaan met veel gevoelige data, zoals banken, verzekeraars, gezondheidszorg, en overheidsinstanties
• Bedrijven met groeiende IAM infrastructuur dat schaalbare oplossingen nodig heeft om compliant, weerbaar en efficient te blijven

Start vandaag nog!

Wacht niet tot een inbreuk verborgen IAM kwetsbaarheden aan het licht stelt. Zeker niet als er veel subtielere, veiligere en proactieve manieren zijn om hiermee aan de slag te gaan. Stap voor de kwetsbaarheden uit voordat ze je inhalen. Plan een demo om meer te weten te komen over Autorisatie Analyse en hoe het je kan helpen!

Dan rest ons nog het volgende: voor wie geïnteresseerd is in het onderwerp en hier meer over wil weten, duik eens in André Koot’s paper over Identifying Stakeholders in Access Governance, of blader door de verzameling van werken in IDPro’s Body of Knowledge.

Regulatory pressure, compliance, and audits can be stressful and challenging to manage. The premise, as with many other things, is well begun is half done. So, the sooner you get ahead of them, the better prepared you’ll be. If you wait too long, you may risk costly fines, security breaches, and operational inefficiencies.

The key to managing this pressure is focused visibility and control over your IAM environment. By knowing who has access to what and why, you can proactively address vulnerabilities, investigate potential risks, and work towards compliance.

Let’s get into that!

How compliance challenges present

As your organisation grows, the pressure to meet regulatory compliance standards does so as well. You may start to feel like you are running after the facts, putting out all sorts of fires, without knowing exactly where the next one might present itself.

Falling behind like that, in terms of keeping up with evolving regulations, audit requirements, and access controls, risks exposing you to:

• Costly fines and reputational damage
• Security breaches due to unauthorised access or unchecked authorisations
• Missed audits and non-compliant access practices

Forward with focus

Focussing your efforts on these topics means knowing who has access to what exactly, and being in control of your IAM environment. To that point, it helps to understand and address hidden threats, instead of these threats controlling you. And while IAM may only be part of this story, we’d argue it is a foundational one.

How Authorization Analytics helps

Closing security gaps and resolving risks begins with knowing exactly what these gaps and risks are. Our Authorization Analytics service functions as a starting point for exposing them by bringing your IAM data to life. Based on your data, we:

• Visualize your IAM environment, bringing into focus hidden vulnerabilities.
• Share actionable insights, based on your own data, into the state of your IAM structure
• Provide a prioritised action plan: suggestions for closing gaps and mitigating risks.

Seeing where you might be exposed and where action is needed, you can proactively and effectively focus your resources towards addressing pressing risks.

Further reading: Four keys to effective access and authorization management

Who is this relevant for?

For anyone tasked with, and responsible for, knowing who has access to what in their organisation. More specifically, Authorization Analytics, is valuable for:

• IT, security, and GRC teams responsible for secure access management and compliance.
• Organisations in highly regulated industries dealing with sensitive data, such as finance, healthcare, and government
• Companies with growing IAM infrastructures that need a scalable solution to stay compliant, secure, and efficient.

Get ahead of risks instead of them ahead of you

Time to get (back) in control over your IAM environment! Request an Authorization Analytics demo today to find out and discover what visualising your IAM landscape, bringing into focus your structure to expose unknown unknowns, and getting actionable, prioritised recommendations for improvement can do on your path to audit-readiness and compliance.

Also and lastly, in the realm of further reading, take a look at André Koot’s paper on Identifying Stakeholders in Access Governance, and browse through an abundance of information available on the topic via IDPro’s Body of Knowledge.

Current compliance – ISO/IEC 27001:2022 certified

Information security, cybersecurity, and privacy protection.

Following a successful transition audit by TÜV, we transitioned from our existing ISO27001:2017 standard to the new and current :2022 version. With that, we continue our commitment to information security, cloud readiness and privacy protection.

2017 vs 2022: what changed?

We sat down with our CISO, Bas Loen, to break it down a little. He explains that regulations like ISO27001 evolve constantly to stay relevant towards equally evolving risks. For the updated :2022 standard, for instance, a number of controls have been updated, restructured and added since the last version, such as for cloud services, remote work, threat intelligence and secure configuration.

Virtual by design

As with :2017, we were audited again as “virtual organization”, Bas continues, meaning from the full scope of the ISO27001 audit, 29 controls are excluded because they do not apply. Think no server rooms, no on-prem data centers, no central IT closet. Instead, we’re aligned with the actual operation and standards for a digital-first organization.

Double milestone

Successfully completing the audit is an achievement in itself. But, this time was even more so as we brought in our German operations in under the same certificate, unifying our approach to security posture and standards across the markets in which we operate.

If you are navigating ISO27001 as a modern, cloud-native “virtual organization”, preparing for an audit yourself, or curious to know more about what a remote audit looks like, feel more than welcome to reach out for a chat. We’d be happy to share some of our learnings!

De Europese Unie werkt toe naar een veilige, betrouwbare en grensoverschrijdende digitale identiteit.

Hiermee zouden burgers en organisaties zelf regie houden over het delen van hun gegevens. De EU Digital Identity Wallet speelt hierin een centrale rol: een oplossing waarmee identiteiten en attributen veilig online kunnen worden gebruikt, gedeeld en gecontroleerd met bescherming tegen identiteitsfraude en misbruik.

Met de herziening van de verordening voor elektronische identificatie en vertrouwensdiensten, beter bekend als eIDAS 2.0, is deze ambitie wettelijk verankerd. Sinds april 2024 is vastgelegd dat alle EU-lidstaten uiterlijk in 2026 een nationale digitale identiteitswallet beschikbaar moeten stellen. Daarnaast worden veel sectoren verplicht om gegevensdeling met deze wallets te accepteren vóór eind 2027.

Dat betekent dat we ons nu, iets meer dan een jaar voor de verwachte introductie van nationale wallets, in een cruciale fase bevinden. Dit expert survey rapport staat opnieuw stil bij ontwikkelingen rondom de EU Digital Identity Wallet. Het kijkt naar vooruitgang, waar impact wordt verwacht en naar welke uitdagingen brede adoptie en realisatie nog in de weg staan?

Vijf kernbevindingen uit het onderzoek

1. De individuele gebruiker staat centraal. Voordelen en use cases blijven primair gericht op eindgebruikers: EU-burgers. Persoonlijke authenticatie en gecontroleerde gegevensdeling worden gezien als de belangrijkste meerwaarde van de EU Digital Identity Wallet.
2. Publiek-private samenwerking is een potentiële route. Ontwikkeling van het ecosysteem zou volgens experts het kansrijkst verlopen via een Public Private Partnership (PPP)-model. Dit in plaats van bijvoorbeeld een uitsluitend overheidsgedreven of volledig private aanpak.
3. Begrip en bewustwording worden doorslaggevend voor adoptie. Waar de focus eerder lag op technologie en interoperabiliteit, verschuift de aandacht nu naar: begrijpen mensen wat de EU Digital Identity Wallet is en wat dit voor hen betekent?
4. Overheden van EU-lidstaten behouden een sleutelrol / zouden een belangrijke sleutelrol moeten behouden. Ze (zullen) een centrale rol blijven spelen in governance, betrouwbaarheid en inrichting van het ecosysteem.
5. De technologie komt er wel, businessmodel loopt nog wat achter. Terwijl interoperabiliteit en technische standaarden steeds meer vorm krijgen, liggen de grootste open vragen nu bij het businessmodel. Denk aan de economische haalbaarheid van het ecosysteem en verantwoord gebruik door eindgebruikers (bijvoorbeeld hoe en wanneer data gedeeld wordt).

Van techniek naar gebruik in het dagelijks leven

Op basis van de resultaten mogen we concluderen dat de ontwikkeling van de EU Digital Identity Wallet gestaag vordert en zich verplaatst van technische vraagstukken naar vragen over daadwerkelijk gebruik en adoptie. De volgende logische stap is integratie in het dagelijkse online leven, met uiteenlopende vormen van gegevensdeling, nieuwe gebruikersreizen en vragen over schaalbaarheid, alternatieven en de rol van vertrouwensdiensten in verschillende contexten.

If you’re looking for an overview of key challenges and best practices in access and authorization management in complex IAM environments, you’ve come to the right place! This article does exactly that. You’ll find it emphasizes the need for process improvements, the role of the business, and how automation can enhance efficiency.

Happy to welcome you here, and happy reading!

It’s all about access

Access and Authorization management is one of the core components of your IAM strategy. Yet organizations sometimes struggle with managing access effectively, leading to inefficiencies, risks and vulnerabilities, and compliance challenges. So let’s look at what we can do to help change that. In this article, we will discuss four keys for effective access and authorization management and how to implement them to improve efficiency, security, and compliance in your organization.

Challenges in access and authorization management

Knowing how to change the struggle begins with knowing what’s causing the struggle. These are the four main challenges or obstacles we find often standing in the way of effective access control:

1. HR Job types vs. Role Management: HR Job Types (or functions) are not the same thing as roles. First of all, a job type does not tell us much about what a person actually does; their workload, tasks, mandates, and responsibilities. Roles do. And for effective access and authorization management, it’s all about what people do, and not about the official position and/or title. So, defining the right roles is essential.
2. “Every user is unique”: we find that sometimes, organizations prioritize the unique characteristics of employees and fail to apply uniform access standards. Roles should not be determined by the person, but by the work that needs to be done.
3. Complexity of multiple systems: operating numerous systems and departments with different rules and systems makes it difficult to manage access consistently and reliably.
4. Gap between IT and Business: access controls are often considered an IT responsibility, while the business plays a make-or-break role (and should have shared ownership at least) in determining who has access to which systems, applications, and data.

Best practices for effective access and authorization management

All right! Moving on. We now know where access control struggles often come from, meaning we’re ready to dive into some time-tested and proven methods for setting up effective Access and Authorization Management. These include:

1. Business involved and in co-control: developing the right roles is a team effort, involving active participation from various stakeholders across the organization. In an ideal scenario, the business (co-)owns defining access rules, while IT provides support by automating and streamlining processes.
2. Automating roles, starting with the Birthright ones: did you know that in efficient operations, around 60 - 80% of authorizations can be assigned automatically? These basic, foundational, ‘Birth Right’ access rights that every user and employee needs for doing their jobs, provides an amazing opportunity for taking a big automation leap. Setting up onboarding and offboarding through standardized processes helps minimize errors and reduces workload.
3. Standardizing roles: in the pursuit of ‘Least privilege’ many organizations create roles specifically targeted to strict task authorizations. But this may harm business processes. Creating broader roles can help improve efficiency, as long as proper governance is maintained.
4. Use specialized expertise: invest in building, hiring or outsourcing long-term IAM capability with a clear Target Operating Model (TOM). Follow a consistent, strategic approach and pay attention to reporting processes to keep your IAM aligned with business goals and reduce risks.

Optimize security, operational efficiency and compliance

Effective access and authorization management is foundational for compliance, optimizing security, and operational efficiency within your organization. Addressing common pitfalls and understanding what’s the real deal with role complexity, the perceived unique nature of employees, and the disconnect between IT and business, you can lay the groundwork for smoother and more secure access control. Embracing best practices such as business-led access governance, automating core processes, and streamlining role management sets you up for improving overall efficiency, tackling vulnerabilities and risks effectively, and enhancing compliance.

Further reading: Common IAM Traps & Pitfalls - and how to remedy or even prevent them

You don’t have to go it alone!

With an even better understanding of some key elements in effective authorization management on your side, you can take steps toward optimizing your IAM strategy. However, if you’re looking to accelerate this process, our Authorization Analytics service can provide you with a tailored, in-depth analysis to help identify areas that need improvement and actionable recommendations for setting up a more secure, efficient, and compliant IAM environment. Also and lastly, in the realm of further reading, take a look at André Koot’s paper on Identifying Stakeholders in Access Governance, and browse through an abundance of information available on the topic via IDPro’s Body of Knowledge.

Identity & Access Management (IAM) is allang geen 'nice-to-have' meer. Het is een bedrijfskritische basisvoorziening die veilige, schaalbare en efficiënte bedrijfsvoering mogelijk maakt. Tegelijkertijd zien we dat veel organisaties vastlopen in terugkerende IAM-valkuilen die voortgang vertragen, kosten verhogen en risico's vergroten. Met tientallen jaren gecombineerde IAM-ervaring kennen onze consultants deze IAM uitdagingen van binnen en van buiten. In deze serie delen we de meest voorkomende valkuilen, en praktische best practices om ze te voorkomen of te herstellen.

We hebben deze valkuilen gegroepeerd in vijf domeinen:

• Strategie, businesscase en planning
• Governance en eigenaarschap
• Continuïteit en programmatische aanpak
• Technische flexibiliteit en aanpasbaarheid
• Budget, resources en realistische verwachtingen
  

Dit artikel bundelt een eerdere LinkedIn-serie in één overzicht. Zo heb je alles bij elkaar, wel zo praktisch. Zo heb je alles makkelijk bij elkaar. Wel zo praktisch, niet? Veel plezier!

Link to LinkedIn carousel

• IAM-visie, doelen en strategie
  • Valkuil: starten zonder duidelijke IAM-visie en -strategie. Veel organisaties beginnen met IAM vanuit goede intenties, alleen zonder helder doel. Dit kan bijvoorbeeld leiden tot scope creep, versnippering en oplopende kosten.
  • Best practice: werk vanuit een duidelijke visie en strategie. Bepaal vooraf wat je wilt bereiken, waarom en hoe. Pas daarna volgt de uitvoering.

• “IAM is te complex” Wel nee!
  • Valkuil: IAM als te complex beschouwen. IAM wordt nog weleens als overweldigend of ingewikkeld ervaren, wat kan leiden tot uitstel of half afgemaakte initiatieven.
  • Best practice: decomplexeer en werk gefaseerd. Knip IAM-initiatieven op in behapbare stappen. Fases zorgen voor overzicht, voortgang en draagvlak.

• Budget en business buy-in
  • Valkuil: onvoldoende budget en prioriteit, en IAM als noodzakelijke kostenpost. Zonder structurele financiering en voldoende draagvlak kunnen IAM-initiatieven blijven hangen in pilots of losse projecten.
  • Best practice: onderbouw IAM met een sterke businesscase. Benadruk de waarde van IAM als enabler van security, efficiëntie en innovatie en positioneer IAM als bedrijfskritische en waardevolle investering.

• Heroverweeg bedrijfsprioriteiten
  • Valkuil: IAM staat laag op de prioriteitenlijst. Het deprioritiseren van IAM tegenover andere bedrijfsinitiatieven kan leiden tot gaten in identiteitsbeheer, toegangscontrole, en beveiliging.
  • Best practice: IAM als strategische bedrijfsaanjager. Verzorg breed bewustzijn rond de strategische waarde van IAM voor je organisatie en versterk steun en draagvlak, verzamel essentiële buy-in en verzeker je van financiering.
    

Tip! Ons artikel “IAM as strategic accelerator - thriving confidently in the digital age” is wellicht interessant om ook eens te lezen.

Dit waren een aantal gebruikelijke valkuilen onder Strategie, Businesscase en Planning, en best practices om ze te overkomen.

Hierna: 2/5 - governance en eigenaarschap Tot straks!

Link to LinkedIn carousel

• "IAM is van IT"
  • Valkuil: onduidelijk eigenaarschap voor IAM IAM blijft vaak hangen binnen IT, terwijl impact en verantwoordelijkheid organisatiebreed zijn.
  • Best practice: betrek de business actief. IAM vraagt eigenaarschap van management, HR, security en IT samen. Betrek belangrijke, bedrijfsbrede stakeholders vroeg en doorlopend. Sluit hen die worden geraakt door IAM initiatieven en verzeker je ervan dat ze de relatie tussen IAM en de wend- en weerbaarheid van je organisatie begrijpen en daar eigenaarschap over voelen.

• Gebrek aan governance
  • Valkuil: geen heldere governance-structuur. Dit kan leiden tot inconsistente besluiten, inefficiënte workflows en risico's.
  • Best practice: richt een helder IAM governance-model in. Leg rollen, verantwoordelijkheden en besluitvorming expliciet vast. Dit helpt met consistente besluitvorming, efficiëntere werkprocessen, en lange termijn toezicht

• IAM is doorlopend, geen eenmalig project
  • Valkuil: IAM behandelen als (eenmalig) IT-project. Dit negeert de continue aard van identity & access governance en de behoefte aan bedrijfsbrede, afdelingsoverstijgende betrokkenheid en bedrijfsinzichten.
  • Best practice: benader IAM als doorlopende verantwoordelijkheid. IAM is meer dan een stukje van IT. Het is de ruggengraat van operatie en bedrijfsvoering. Net als finance of HR is structureel, met duidelijke accountability en eigenaarschap, en een toegewijd team.

• Aandacht voor certificeringsdoelstellingen
  • Valkuil: rapporten voor certificeringscampagnes blijven links liggen of worden onvoldoende grondig doorgenomen. Managers lopen hier bijvoorbeeld aan tegen onduidelijkheden wat betreft het waarom, hoe, en/of wat van deze campagnes. Dit kan datakwaliteit ondermijnen en risico op kwetsbaarheden vergroten, wat weer gevolgen heeft voor identity governance programmas en auditbaarheid.
  • Best practice: maak doel en verantwoordelijkheid expliciet. Help managers met hun verantwoordelijkheid voor zowel hun teams, maar ook de toegangsrechten van hun teams. Maak campagnedoelen en werkwijzen duidelijk en toegankelijk zodat iedereen zich zeker voelt over diens rol in het verhaal.
    

Dit waren een aantal veelvoorkomende IAM valkuilen en best practices in het domein van IAM Governance en eigenaarschap.

Hierna: 3/5 - Continuïteit en programmatische aanpak

Op naar de volgende!

Link to Li nkedIn carousel

• IAM is langetermijnwerk
  • Valkuil: IAM als eenmalige inspanning zien. Dit kan ertoe leiden dat het op de lange termijn lastig wordt om duurzame IAM vol te houden, nadat een project is voltooid, en dat focus en kennis na projectafsluiting verdwijnt.
  • Best practice: Richt IAM minimaal in als meerjarig programma. IAM gaat nergens heen! Omarm het voor de lange termijn. Dat verbetert rendement, planning en volwassenheid.

• Verstevig steun en draagvlak, vergroot bewustzijn
  • Valkuil: gebrek aan IAM bewustzijn. Stakeholders onderschatten in deze context de waarde van IAM en de toegevoegde waarde ervan ten opzichte van andere bedrijfskritische prioriteiten. Dit zorgt voor lage(re) betrokkenheid, begrip en buy-in.
  • Best practice: positioneer en promoot IAM als business enabler. Maak zichtbaar hoe IAM kan bijdragen aan schaalbaarheid, veiligheid en continuïteit.

• Inrichten van IAM is een veranderproces
  • Valkuil: cultuur- en veranderaspecten negeren. IAM herstructureert bedrijfsprocessen en operatie en kan serieuze organisatorische verandering met zich meebrengen. Onderschat dit niet! Dat kan leiden tot weerstand en uitdagingen in het implementeren en doorvoeren van belangrijke IAM praktijken.
  • Best practice: integreer change management in IAM-aanpak. Wees transparant over impact en begeleid de organisatie hierin. Integreer change management principes in je IAM plannen om een ondersteunend en constructieve omgeving te bouwen.

BONUS! We hebben hier een extra valkuil toegevoegd: Gebrek aan structurele IAM-kennis

• Valkuil: IAM-kennis is tijdelijk of persoonsafhankelijk. IAM programma's en inkoopprocessen lopen nog wel eens anders dan verwacht. Dit kan zijn door onjuiste vereisten, te kleine of te brede scope, en/of business-IT mislignment
• Best practice: bouw een duurzaam IAM-team . Verbind met IAM communities (IDPro, Identibeer) en zoek professionel ervaren externe consultants en business partners.. En onthoud: externe expertise kan je enorm helpen - en is soms zelfs onmisbaar - in het leggen van een goede, sterke IAM basis en met het aanpakken van specifieke problemen of uitdagingen terwijl je bedrijf verder groeit en ontwikkelt, uiteindelijk is het doel altijd om IAM een geïntegreerde, verankerde bedrijfsfunctie te maken. Een vast kernonderdeel van je organisatie.
  

Dit waren een aantal gebruikelijke IAM valkuilen en best practices in het domein van continuïteit en programmatische aanpak

Hierna: 4/5 - Technische flexibiliteit en aanpasbaarheid

Daar gaan we weer!

Terwijl we langs de vijf IAM valkuil - en - best - practice - domeinen bewegen, zijn we inmiddels aanbeland bij de vierde categorie: Technische flexibiliteit en aanpasbaarheid Elke valkuil wordt gevolgd door een best practice om meteen toe te passen. Klaar voor de start …

Link to LinkedIn carousel

• Toegangsbeheer: RBAC, ABAC, PBAC .. Kiezen?
  • Valkuil: "moeten: kiezen tussen de BACs Begrijpelijk, maar niet nodig! Het kan leiden tot structuren die meer rigide zijn dan nodig, met geminimaliseerde kansen en ruimte voor flexibiliteit.
  • Best practice: combineer waar mogelijk en waar nodig. 1+1=3. Je hoeft je niet vast te leggen en te beperken tot één specifiek model voor toegangsbeheer. Begin bijvoorbeeld RBAC en verrijk met ABAC/PBAC waar dat waarde toevoegt. Een dergelijke, flexibele IAM strategie maakt ruimte voor een meer genuanceerde, fijnmazige benadering van toegangsbeheer. Zowel op de korte, als op de lange termijn.
    

Tip! Have a read at our article "Evolution of Access Control: a bit of RBAC and ABAC history" on LinkedIn.

• IAM organisatie en eigenaarschap
  • Valkuil: "IAM is van HR" Hiermee ligt er te veel afhankelijkheid voor toegangsbeheer bij HR, wat kan leiden tot beperkte flexibliteit, zeker in complexe organisaties. HR afdelingen hebben lang niet altijd de gespecialiseerde kennis, tools en bezetting (of mandaat) om dynamisch IAM effectief te beheren.
  • Best practice: gedeeld eigenaarschap. IAM vraagt samenwerking tussen HR, IT, security en business. Breng de rol van HR in IAM in lijn met bredere bedrijfsdoelstellingen en benader het als gedeelde verantwoordelijkheid.

• A pleidooi voor dynamische autorisaties
  • Valkuil: Statische autorisaties, puur op functietitel. In de dynamische aard van de moderne werkplaats is een functiegedreven autorisatiemodel mogelijk te rigide en te statisch. Toegangsbeheer is in toenemende mate taak-, mandaat- en contextafhankelijk. Ongemoeid kan dit leiden tot gaten in toegangsbeheer, onnodige toekenning van (te veel) rechten en privileges, en grotere risico's.
  • Best practice: een dynamisch, context- en taakgericht autorisatiemodel. De context rond toegang kan veranderen. Daarmee zit er waarde in het ontwerpen van een dynamisch autorisatiemodel, bijvoorbeeld door op taak- en mandaatgebaseerde elementen toe te voegen. Dit verkleint risico's en verhoogt flexibiliteit.

• Meerdere wegen die naar een IAM oplossing leiden
  • Valkuil: custom IAM zelf bouwen als default. Sterke technische expertise kan ertoe leiden dat IAM oplossingen standaard in-house en custom gebouwd worden. Maar hiermee komt een risico op misalignment, afhankelijkheden, hogere kosten, beperkte schaalbaarheid en andere knelpunten. Zeker zonder model om governance en beveiliging te koppelen aan bedrijfsdoelstellingen en -behoeften.
  • Best practice: Reuse before Buy before Build. Gebruik wat er al is, koop waar nodig, bouw alleen als het écht moet. Kijk wat je al hebt en hoe je het zou kunnen aan- en toepassen. Overweeg het aanschaffen van tools alleen om gaten op te vullen en bouw alleen maar custom in geval er unieke, goed gedefinieerde vereisten bestaan die onmogelijk op een andere manier geadresseerd kunnen worden.

• Een trap beklim je stap voor stap
  • Valkuil: Big-bang implementaties en inzetten op alles in één keer Een grootschalige, directe IAM uitrol en implementatie kan leiden tot onnodige fouten, veel weerstand, lage adoptie, en resources onder druk. Dit kan weer een heel IAM initiatief ondermijnen, zowel direct als voor toekomstige plannen.
  • Best practice: flexibele, gefaseerde IAM-implementatie. Klein beginnen, leren, verbeteren en opschalen.

Dit waren een aantal veelvoorkomende IAM valkuilen en best practices die we zien in het domein van technische flexibiliteit en aanpasbaarheid.

Hierna: 5/5 - Budget, resources en realistische verwachtingen

Hebben we de beste bewaard voor het laatst? Maar en manier om daar achter te komen!

Deze vijfde en laatste sectie rond onze serie over veelvoorkomende IAM valkuilen en best practices af. De laatste, ja. Maar niet de minste. Hier zijn ze voor onze vijfde categorie: ‘Budget, Resources and Realistiche verwachtingen.’

Link to LinkedIn carousel

• IAM heeft langetermijncommitment nodig
  • Valkuil: IAM onderschatten qua tijd en kosten. Kosten en commitment voor IAM worden nog wel eens onderschat, bijvoorbeeld doordat het aangevlogen wordt als gewoon een nieuwe tool om aan te schaffen en daarmee een eenmalige uitgave. Maar deze benadering kan leiden tot ineffectieve planning en onnodig veel druk op (schaarse) resources
  • Best practice: structurele businesscase en educatie. Regelmatig en consistent betrekken van stakeholders bij de langetermijnwaarde van IAM helpt voor doorlopende priotering en budgetbevestiging. Een goede business case voor IAM, die laat zien hoe IAM zowel waarde uitwetkt op beveiliging als op operationele efficiëntie, helpt om dit gestructureerd te benaderen.

• Focus op toekomstige voordelen
  • Valkuil: te veel vasthouden aan bestaande systemen Oudere IAM systemen, hoewel functioneel, kunnen technische schuldenposten worden die je moderne operatie in de weg gaan staan. In het verleden hebben ze geld gekost, er is (flink) in geïnvesteerd, en daardoor kan het idee van ze vervangen weerstand oproepen. Maar, NIET vervangen kan weer leiden tot inefficiëntie, gaten in compliance en beveiligingsrisico’s.
  • Best practice: kijk vooruit! Beschouw en accepteer bijvorbeeld vroegere investeringen als sunk cost.

• IAM is een initiatief met hoge prioriteit
  • Valkuil: IAM verliest van andere initiatieven. Hier concureert IAM bijvoorbeeld met andere organisatieprioriteiten, en wint dit lang niet altijd. Wat kan leiden tot inconsistente budgetten, support en mindere resultaten
  • Best practice: positioneer IAM als strategisch fundament. IAM is onmisbaar voor de wend- en weerbaarheid van de operatie, voor compliance, innovatie en groei. Het verdient een geïntegreerde plek aan de top van de prioriteitenlijst.
    

• Goede aansluiting is essentieel
  • Valkuil: IAM staat los van andere trajecten en er is geen/weinig aansluiting met verdere programma’s. IAM is bijna nooit het enige programma wat in een organisatie wordt gedraaid. Geïsoleerde IAM benadering en misalignment met andere initiatieven kan leiden tot conflicterende prioriteiten en resource toekenning.
  • Best practice: stem IAM af op bredere organisatie-initiatieven. Dit helpt met stakeholder buy-in en budget toewijzing, en vraagt op openheid en transparantie in communicatie, wat weer helpt om IAM initiatieven aan te sluiten op andere lopende programma’s

Dit waren een aantal veelvoorkomende IAM valkuilen en best practices in het domein van budget, resources en realistische verwachtingen.

Dat was ‘m dan, het eind van dit Archive Artikel.

Deze IAM valkuilen en best practices komen we dagelijks tegen in de praktijk. Herkenbaar? Dan sta je zeker niet alleen. Het goede nieuws: ze zijn te voorkomen ze zijn te voorkomen mits je ze op tijd ziet aankomen. Meer weten? info@sonicbee.eu

Bij SonicBee helpen we organisaties om IAM structureel, schaalbaar en werkbaar in te richten. Met een realistische aanpak, gebaseerd op ervaring en samenwerking. Wil je sparren over jouw situatie? Onze deur staat voor je open.

Versnel organisatieprestaties met Identity & Access Management

In veel organisaties wordt Identity & Access Management (IAM) nog steeds gezien als een technische noodzaak, diep weggestopt binnen IT. Maar IAM is meer dan techniek en meer dan security alleen. Zie IAM als strategische versneller: een essentiële capability die bijdraagt aan soepelere bedrijfsvoering, sterkere continuïteit en efficiënte, schaalbare processen.

IAM vormt het fundament waarop organisaties grip krijgen, potentieel benutten en strategische doelstellingen realiseren. Zonder dit fundament kost groei meer tijd, verloopt innovatie stroever en neemt frictie toe. Het risico? Minder efficiëntie, meer kwetsbaarheid en toenemende compliance-uitdagingen.

Het is verleidelijk om vol in te zetten op innovatie, digitale transformatie en nieuwe technologie. Maar net als bij de eerste auto’s geldt: sneller gaan zonder de juiste ondersteunende systemen en controles leidt tot inefficiëntie, verhoogde risico’s en gemiste kansen. IAM is de basis die nodig is om veilig, duurzaam en gecontroleerd te versnellen..

“Denk aan de eerste auto’s: sneller dan paard en wagen, maar met verouderde remsystemen. Hogere snelheid betekende meer risico. De oplossing was niet langzamer rijden, maar betere remmen en veiligheidsvoorzieningen. Voor organisaties geldt hetzelfde: versnelling vraagt om controle en veiligheid.”.

- Arjen Slim, CEO SonicBee

Wat hebben vroege auto’s met IAM te maken?

Vroege auto’s veranderden transport ingrijpend. Ze waren sneller, efficiënter en comfortabeler. Maar zonder gordels, adaptieve remmen of stabiele ondersteuning waren ze moeilijk te beheersen. Snelheid zonder veiligheid leidde tot ongelukken en stilstand.

Moderne organisaties staan voor een vergelijkbare uitdaging. Digitale transformatie, innovatie en groei vragen om snelheid. Maar zonder IAM brengt versnelling risico’s met zich mee. Veel organisaties werken nog met verouderde IAM-structuren die niet zijn ontworpen voor een sterk verbonden, dynamische wereld. In het slechtste geval leidt dat tot complianceproblemen, beveiligingsincidenten en operationele vertraging.

Zie IAM daarom als het moderne controlesysteem dat veilige schaalvergroting, innovatie en continuïteit mogelijk maakt. Net zoals auto’s veiligheidssystemen nodig hadden om hun potentieel te benutten, hebben organisaties IAM nodig als strategische versneller om duurzaam vooruit te komen.

IAM als strategische versneller in de praktijk

Met een volwassen IAM-fundament ben je beter uitgerust om veilig te groeien, te transformeren en te innoveren, zonder security of compliance in gevaar te brengen.

Een robuuste en flexibele IAM-inrichting stelt je in staat om:

• Digitale transformatie te versnellen: IAM ondersteunt veilige cloudadoptie, geautomatiseerde workflows en naadloze toegang voor medewerkers.
• Innovatie te stimuleren: Teams krijgen op tijd toegang tot data en systemen, zonder security-blokkades die ontwikkeling vertragen.
• Security te versterken: Door duidelijke governance, eigenaarschap en least-privilege-toegang verklein je risico’s op datalekken, insider threats en blinde vlekken.
• Compliance te borgen: IAM ondersteunt aantoonbare naleving van wet- en regelgeving zoals AVG/GDPR, ISO 27001 en NIS2, met minder handmatig werk.

Laten we daar eens dieper op ingaan.

IAM-volwassenheid versnelt digitale transformatie

Zonder samenhangende IAM-aanpak ontstaan silo’s, risico’s en vertraging. Net als bij vroege auto’s neemt het risico toe als systemen niet zijn ingericht op hogere snelheid.

Met een solide IAM-basis transformeer je gecontroleerd en schaalbaar.

Waarom dit ertoe doet? IAM als adaptieve motor voor innovatie

Innovatie vraagt om:

• Minimale frictie in samenwerking, zodat ideëen vrij kunnen stromen en teams soepel en zonder gedoe kunnen samenwerken.
• Hogere wendbaarheid, zodat je eenvoudig en gestroomlijnd diverse businessunits kan integreren of loskoppelen, en makkelijk flexibel met externe partners kan samenwerken
• Lagere compliance-kosten, bijvoorbeeld door standaardisatie en geformaliseerde kernprocessen

Zonder moderne IAM ontstaan onnodige knelpunten. Met IAM als strategische versneller creëer je ruimte voor samenwerking, continuïteit en veilige groei.

IAM als veiligheidsgordel voor security

Security en wendbaarheid hoeven elkaar niet te bijten. Zonder IAM zijn organisaties kwetsbaar door zwakke credentials, te ruime rechten en onbeheerde accounts.

IAM voorkomt incidenten vóórdat ze ontstaan, zonder de business te vertragen.

IAM als automatisch remsysteem voor compliance

Zonder IAM wordt compliance een handmatig en foutgevoelig proces. IAM helpt het voorbereiden van audits, borgen van least privilege en compliant werken,

Een beetje zoals automatische remsystemen in auto’s risico’s verminderen zonder snelheid uit zichzelf te beperken wanneer dat nodig is.

Wat gebeurt er zonder IAM?

Zonder stevig IAM-fundament volgt weliswaar vaak eerst versnelling, maar daarna loopt vertraging al snel op:

Bijvoorbeeld:

1. audits worden tijdrovend en foutgevoelig
2. M&A-integraties lopen vast
3. security-incidenten zijn lastig te herleiden

De vraag is niet of er iets misgaat, maar hoe goed je bent voorbereid om het te voorkomen, te detecteren en erop te reageren.

Stop met afstevenen op crises

Net zoals auto’s zijn geëvolueerd naar veilige, snelle voertuigen, kan jouw organisatie slimmer versnellen met IAM. Wacht niet op een incident. IAM is geen rem, maar een versneller. Maar wel alleen als het goed is ingericht.

Bij SonicBee helpen we organisaties innovatie en security in balans te brengen. Met strategisch IAM-advies, roadmaps en implementatiebegeleiding zorgen we dat IAM bijdraagt aan duurzame groei, compliance en digitale weerbaarheid. Van visie en architectuur tot programmamanagement en realisatie: wij zijn jouw partner voor alles rondom IAM.

Possibilities of the EU Digital Identity Wallet for Identification and Travel Convenience in the transport sector

In this blog on the European Digital Identity Wallet, we explore how the European Digital Wallet could impact the transport sector. First, we go into possible implications of digital European wallet solutions for identification in the transport sector. Also we’ll look at how they could potentially improve the daily travel practice of both travelers and transport providers. Dive in and find out! 

What is a Digital Identity Wallet? 

Imagine: in the near future, every resident of the EU has an app on their phone with the government issued digital ID (or electronic ID, eID), but without the current limitations in its use. From this app, everyone can legally identify themselves as you do now with a passport, driving license, or ID card.

This app also functions as a wallet or an access ticket to various events and can contain all sorts of other personal data. For example: your bank details, account balance, insurance information, medical prescriptions, drivers license, loyalty cards, but also education credentials like diplomas. Essentially, everything you used to carry in a big wallet and more. Securely and conveniently stored in one place on your phone.

But, with one major difference. If you need to share data from one of these credentials, you will only share what you need to share to get a service or a product. For example only share that you are over 18 without sharing your full passport or ID card. Or that you have enough money in your account (not the amount), or that you are a member of a club, frequent flyer program etc. That all-in-one app is ’the wallet.’   

Further reading: “the Road to the European Digital Identity”

Opportunities of the EU Digital Identity Wallet for the Transport Sector 

For the public transport sector, a wallet offers interesting possibilities. Think of checking in for a flight for example. This could be done with the wallet by securely sharing only the required passport data digitally, instead of scanning the full biographical page that would possibly share to much personal data. And not just that. The wallet could contain the boarding card and share additional data and derived attributes, meaning the fact that you’re over 65, instead of your full date of birth.  

But, transport is more than aviation. So, let’s look at other means of transport also. Say someone decides to share specific data from the wallet for authentication to board a train. In that scenario, transport providers can match this information with a profile (known profile + subscription = transport). If someone then does not have a profile but is eligible for a discount (e.g., for student or seniors discount), payment details can be combined with the wallet. That would provide direct access to transport. Subsequently, the wallet could indicate age categories with a derived attribute from the wallet without sharing the date of birth. Meaning, there is no need to show multiple cards (with too much information). 

Further reading: How does the EU Digital Identity Wallet change the risk of over–sharing data? A Dutch perspective.

Potential benefits of the EU Digital Identity Wallet in the Transport Sector 

Simplified check-in

Travelers can check in with public transport using their wallet by simply holding their phone to the check-in pole. That saves time and reduces the need to carry and/or process different physical cards. For check ins that require you to share your passport or ID-card, like for a flight and often for a hotel, the EU Commission has announced the plans for an EU Travel app. This app will allow you to share only the verified data from your passport that is needed for checking in to a flight or a hotel. No more scans/photo’s  of a passport holder page, but only the data that is needed is shared securely. 

Automatic discounts

With the wallet, travelers could pay and simultaneously get the automatic benefit they are entitled to because of their age or discount membership. This without the need to show extra information to proof the right top the discount. The wallet verifies the required information without sharing additional documents or cards containing personal (and probably too much) data, such as date of birth.    

Integrated payments

Currently, checking in via subscriptions and payment cards is already possible. What’s next is that an individual can do this with their digital wallet. If one sets it up, their wallet can contain payment information, making it easier for travelers to pay for their journeys. That makes cash payments and topping up public transport cards unnecessary.   

Easier transfers between different transport providers

Travelers can more easily transfer between various transport providers and modes of transport (bus, train, metro, shared car, etc.), as they can use their wallet for a variety of services. Travel could be much more convenient and seamless in this way! 

The future of data management in the transport sector 

In the long term, the use of the European Digital Identity wallet could lead to more personalized service, better protection of personal data, and cost savings and increased efficiency. Additionally, it may mean that companies store less personal data as they are offered and process only the data they are allowed to have per transaction. In other words, GDPR-compliance will become easier. 

To prepare for the rolling out of the first wallets in the EU Large Scale Pilots are being done to test the wallet and the ecosystem. The current benefits mainly concern digitally providing information. For instance, a significant reduction of paperwork, although some paperwork will always be required as you must store it for audit trails, demonstrability, and internal processes.

However, should this ever change, it would bring additional benefits if companies did not have to store personal data. After all, data you don’t have, you don’t need to protect. On the other hand, this could also mean that you may need help to create a complete personal profile. The further development of this remains to be seen.

Further reading: State of the EU Digital Identity Wallet 2024 Expert survey report  

Proactive approach and collaborations 

Our advice: don’t wait. Developments regarding the European Digital Identity Wallet are moving fast! Keep a close eye on them and consider how this will affect the transport sector and your organization. For example, start thinking about partnerships with other transport providers for interoperability and sectoral agreements, and how to safeguard the needs and wishes of travelers in all of this. 

Exploring impact and opportunities together 

The wallet certainly has the potential to significantly improve the experience of both travelers and transport providers in the sector. The question is just: how exactly? Feel free to get in touch! Then we can explore the impact and opportunities of this transition and the wallet for your organization together. 

Hoe beïnvloedt de EU Digital Identity Wallet het risico op het delen van te veel persoonsgegevens? Een relevante vraag, zeker nu de ontwikkeling en invoering van de wallet steeds concreter wordt.

Een van de meest benadrukte kenmerken van de EU Digital Identity Wallet is dat gebruikers volledige controle krijgen over hun eigen data en over hoe, wanneer en met wie zij deze delen. Door tussenpersonen en grote platformen uit de keten te halen, krijgen burgers meer autonomie over hun digitale identiteit dan ooit tevoren. Dat klinkt als winst voor privacy en dataminimalisatie ..

Maar kan hier ook een keerzijde aanzitten? Volledige autonomie betekent immers ook volledige verantwoordelijkheid. Waar organisaties die vandaag persoonsgegevens verwerken gebonden zijn aan strikte privacywetgeving, governance-structuren en controlemechanismen, beschikt de gemiddelde Europese burger niet over vergelijkbare waarborgen. Dat roept de vraag op of de EU Digital Identity Wallet privacy daadwerkelijk versterkt, of dat het risico op over-sharing van data juist toeneemt.

Dit potentiële risico was voor Henk Marsman, samen met professoren Michael Klenk, Mark de Reuver en Nitesh Bharosa, aanleiding om over-sharing binnen de context van de EU Digital Identity Wallet eens verder te onderzoeken.

De resultaten van dit onderzoek zijn recent gepubliceerd in de Proceedings of EGOV-CeDEM-ePart 2024 en deze maand gepresenteerd tijdens de EGOV 2024-conferentie in Leuven, België. Hieronder een aantal inzichten uit het onderzoek. Ze laten zien dat privacy binnen de EU Digital Identity Wallet niet uitsluitend een technische of juridische uitdaging is, maar in sterke mate samenhangt met menselijk gedrag, contextbewustzijn en ontwerpkeuzes binnen het ecosysteem.

• Doelgerichtheid, bewustzijn en kennis van gebruikers beïnvloeden het risico op over-sharing, zowel in algemene zin als bij het beoordelen van proportionaliteit van dataverzoeken.

• Het gemak waarmee data context-overstijgend gedeeld kan worden maakt het lastiger voor gebruikers om te beoordelen wat passend is.

• Beïnvloedingstechnieken (waaronder mogelijk manipulerende technieken) en verzoekvermoeidheid vergroten het risico op onbewust of onnodig datadelen.

Doordat gebruikers via de EU Digital Identity Wallet beschikken over hoogwaardige, gekwalificeerde data, wordt de impact van over-sharing groter en worden gebruikers aantrekkelijker doelwitten voor ‘data-hongerige’ dienstverleners.

Het volledige onderzoeksrapport is vrij toegankelijk en via de knop op deze pagina te bekijken.

Onderzoeksrapport

Door Henk Marsman, Michael Klenk, Mark de Reuver, Nitesh Bharosa. Gepubliceerd in academic Proceedings van EGOV-CeDEM-ePart 2024.

Abstract

De Europese Unie (EU) Digital Identity Wallet (DIW) is bedoeld om burgers controle te geven over het delen van persoonsgegevens. Gebruikers krijgen volledige en exclusieve controle en zeggenschap over hun data. Met de EU DIW wil de EU privacyrisico’s beperken die ontstaan wanneer persoonsgegevens worden verzameld en gedeeld door online dienstverleners. Tegelijkertijd is onduidelijk hoe gebruikers kunnen bepalen welke data zij delen en hoe zij kunnen voorkomen dat zij meer data delen dan strikt noodzakelijk. Om dit risico te verkleinen moeten we het risico eerst begrijpen. Op basis van expertinterviews presenteert dit onderzoek een nieuwe analyse van het risico op over-sharing via de EU DIW. Het definieert het risico en identificeert beïnvloedende factoren op basis van literatuur, documentanalyse en expertinterviews. Over-sharing treedt op wanneer gebruikers meer data delen dan noodzakelijk voor het afnemen van een online dienst of product. Dit risico wordt beïnvloed door onder andere gebruikersvaardigheden, doelgerichtheid, verlies van contextbewustzijn, datakwaliteit en het gemak van datadeling.

Trefwoorden

eIDAS, EU digital identity wallet, privacy, data, over-sharing

Henk Marsman

Digital Identity Expert &
Principal Consultant SonicBee

The European Union aims to realize a highly secure, trustworthy, and empowering cross-border digital identification and data (attributes) sharing solution for use in and by each member state, the EU Digital Identity Wallet. Citizens of the Member States can then (re)gain control over where they share data online and protect themselves from identity threats, increasing their autonomy online. The (revised) legal framework for electronic identification and trust services for electronic transactions, known as eIDAS 2.0, came into force on 21 April 2024, making it mandatory by law that wallets must be made available by governments in 2026. This EU Digital Identity wallet is a key component in this regulation, and positioned to give full and sole control to the individual citizen over their personal and identifying data. Individuals, citizens, users, consumers, can be in full control of their personal and identifying data.

Quite a societal shift, involving a wide variety of stakeholders working at international, national, and local levels on a rapidly developing playing field. For that reason, we organized a survey last year among experts to get a grasp where the developments were at that time and where they were going. This year we executed the same expert survey to see where we are now and what has changed. The report shared here presents this year’s expert survey findings on the State of the EU Digital Identity Wallet (EU DIW).

Role of Member States

Each European Member State (MS) is currently working on realizing and delivering such a national digital wallet and providing the personal identification data (PID) out of civil registries or population registers to these wallets. MSs also have to set up the oversight and supervisory frameworks and bodies for their national DIWs and ensure that the implementing acts of eIDAS2.0 will fit in their national schemes and regulation.

Developing the EU Digital Identity Wallet

Other activities have started as well. On the European, level large scale pilots (LSPs) have started to test use cases with such a wallet, such as cross-border travel and educational enrollment. Also, a consortium is continuing work on the European Reference wallet that could become the open-source model across Europe. Lastly, the architectural reference framework (ARF) is developed and currently in version 1.4 (with each version containing more details to guide implementations). In the upcoming months, many implementing acts will be released that detail many aspects of the EU DIW under eIDAS2.0.

The European Union aims to realize a highly secure, trustworthy, and empowering cross-border digital identification and data (attributes) sharing solution for use in and by each member state, the EU Digital Identity Wallet. Citizens of the Member States can then (re)gain control over where they share data online and protect themselves from identity threats, increasing their autonomy online. The (revised) legal framework for electronic identification and trust services for electronic transactions, known as eIDAS 2.0, came into force on 21 April 2024, making it mandatory by law that wallets must be made available by governments in 2026. This EU Digital Identity wallet is a key component in this regulation, and positioned to give full and sole control to the individual citizen over their personal and identifying data. Individuals, citizens, users, consumers, can be in full control of their personal and identifying data.

Quite a societal shift, involving a wide variety of stakeholders working at international, national, and local levels on a rapidly developing playing field. For that reason, we organized a survey last year among experts to get a grasp where the developments were at that time and where they were going. This year we executed the same expert survey to see where we are now and what has changed. The report shared here presents this year’s expert survey findings on the State of the EU Digital Identity Wallet (EU DIW).

Role of Member States

Each European Member State (MS) is currently working on realizing and delivering such a national digital wallet and providing the personal identification data (PID) out of civil registries or population registers to these wallets. MSs also have to set up the oversight and supervisory frameworks and bodies for their national DIWs and ensure that the implementing acts of eIDAS2.0 will fit in their national schemes and regulation.

Developing the EU Digital Identity Wallet

Other activities have started as well. On the European, level large scale pilots (LSPs) have started to test use cases with such a wallet, such as cross-border travel and educational enrollment. Also, a consortium is continuing work on the European Reference wallet that could become the open-source model across Europe. Lastly, the architectural reference framework (ARF) is developed and currently in version 1.4 (with each version containing more details to guide implementations). In the upcoming months, many implementing acts will be released that detail many aspects of the EU DIW under eIDAS2.0.

PAM - A foundational capability in modern cybersecurity

The security of our digital environments is paramount in today’s interconnected world, a fact underscored in this insightful piece, “Introduction to Privileged Access Management”, published by IDPro. This contribution to IDPro’s Body of Knowledge walks through the essentials of Privileged Access Management (PAM). It looks at why PAM it matters for safeguarding critical systems and sensitive data, our digital fortresses and valuable assets, against visible and invisible threats by addressing the issues associated with privileged accounts.

More than locking doors

PAM isn’t just about restricting access, not just about locking doors. It’s about understanding who holds privileged access, why they have it, and how privileged access can be managed in a way that stays controllable, auditable, and secure. About empowering you to understand who holds the keys to your most sensitive items.

An essential cornerstone to modern cybersecurity

You may consider PAM the ingredient modern cybersecurity cannot, and should not, do without. This article emphasizes the importance of managing privileged access across human and non-human identities and interactive and non-interactive accounts connected to your systems. It shows how different privileged access accounts should be approached and managed in different ways, putting you in the driver’s seat of your organization’s security.

• Human identities
• Non-human identities and accounts (including service accounts)
• Interactive and non-interactive privileged access
• Not all privileged accounts should be treated the same way.

From policies to real-world use cases

Implementing PAM is not only about tooling. It’s about robust policies, implementing cutting-edge technologies, cultivating awareness and education across teams, practical controls, and best practices that help organisations manage risk while protecting the availability, integrity, and confidentiality of systems and data.

The article explores the scenarios in which PAM solutions can help organisations gain control of privileged access, and explains multiple use cases, supported by architecture diagrams. It also explicitly addresses the importance of adoption, implementation considerations, and the fact that even with PAM systems in place, organizations cannot neglect the human factor (through policy, training, and awareness).

In other words: PAM is a pillar of modern cybersecurity, but it only delivers its full value when it is embedded in a broader approach that includes governance, accountability, and sustainable operational practices.

Keywords: PAM, Privileged Access Managament, Non-human accounts 

How to Cite:  

Koot, A., (2024) “Introduction to Privileged Access Management”, IDPro Body of Knowledge 1(13). doi: https://doi.org/10.55621/idpro.101 

On September 25th, 2023 the OpenID Foundation announced a brand new whitepaper “Human-Centric Digital Identity: for Government Officials”. The whitepaper, co-branded by twelve non-profit organizations including UNHCR, functions as a blueprint for government officials in navigating human-centric digital identity. It does so by going into the global digital identity landscape, exploring its implications for international human rights and the OECD Digital Identity Recommendations. Built up in three parts, it assesses opportunities, risks, and governance of digital identities, emphasizing human-centric design, and highlights the need for discussions on global interoperability amidst increasing digitization.

One of the paper’s contributors is Henk Marsman (Digital Identity Expert & Principal Consultant at SonicBee). Below, a word from him regarding the publication:

“Digital identity solutions are increasingly deployed across the globe and we see in many cases that they are not purely technological constructs. It is not just a wallet, a card, or a token. Identity solutions are socio-economic and political constructs and they impact how citizens and state interact as well as how citizens interact amongst themselves. This has an impact on society, with potential benefits and downsides. My research on (the history of) identity registration and the ethics of digital identity gave a good basis for contributions to this paper, as well as discussions with the other authors. 

Governments have a pivotal role as a trust anchor for legal identity, and this publication reviews digital identity specifically from that angle. I hope increasingly digital identity solutions will be more inclusive and human centric.” 

Henk Marsman

Digital Identity Expert &
Principal Consultant SonicBee

You can access the publication via the button on this page.

NIS2, BIO, Wbni en IAM. Hoe zit dat nou?  

NIS2, opgesteld door Europa, is de opvolger van de al bestaande NIS1 die Nederland in 2016 opnam in de Wet Beveiliging Netwerk- en Informatiesystemen. Deze nieuwe richtlijn voor Network en Information Security, waar de afkorting ‘NIS’ vandaan komt, “is vastgesteld door de Europese Unie en bedoeld om de cyberbeveiliging en de weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren”, schrijft de Digitale Overheid. En hoewel het niet expliciet zo wordt gesteld, heeft NIS2 IAM nodig. Sterker nog, IAM is het onzichtbare maar onmisbare fundament van NIS2.  

Wat is nou precies de NIS-richtlijn en waar komt het vandaan? 

De eerste versie van deze richtlijn, NIS1, werd al jaren geleden ingevoerd door Europa en geld sindsdien voor ‘essentiële bedrijven’ zoals water-, energie, en telecombedrijven. 

De NIS1-richtlijn voor het beveiligen van netwerken en informatie, ook wel bekend als de NIB, is dus uitgegeven door Europa. Vervolgens hebben lidstaten dit vertaalt in elk hun eigen wet- en regelgeving. Nederland heeft bijvoorbeeld de NIS1-richtlijn in 2016 opgenomen in de Wbni, de Wet beveiliging van netwerk- en informatiesystemen.   

Alleen wetten zijn, over het algemeen genomen, vrij complex. Er zijn maar weinig mensen die er écht de wet op nalezen. Han Pieterse, Cyber Security & IAM expert, zegt hierover: ‘De meeste van ons volgen regels die uit de wetten voortkomen, zoals met autorijden. We kennen allemaal de verkeersregels, en door volgens die regels de weg op te gaan, voldoen we aan de wet. Zonder de wet zelf door te spitten.’.  

De ‘verkeersregels’ voor voldoen aan de Wbni staan voor overheidsorganisaties opgeschreven in de BIO, de Baseline Informatiebeveiliging Overheid. Overigens zijn in de BIO ook regels voor het voldoen aan andere wetten, zoals de AVG, vastgelegd. Door belangrijke wetten op deze manier te vertalen naar een normenkader, zijn ze voor bedrijven en organisaties makkelijker toe te passen, te implementeren en uiteindelijk na te leven.  

Oké, dan nu naar NIS2. Wat houdt dit in?  

NIS2 volgt dus NIS1 op. Deze nieuwe NIS, ook uitgegeven door Europa, moet ook weer door lidstaten vertaald worden naar eigen wet- en regelgeving. Daar zijn ze nu allemaal, Nederland ook, druk mee bezig, en de bedoeling is dat dit eind 2024 gedaan moet zijn. Omdat Nederland NIS1 uitvoert via de Wbni en de BIO, betekent NIS2 dat we een aanpassing in dezelfde lijn kunnen verwachten. Dat betekent dus óók dat als jouw organisatie zich wil voorbereiden, voldoen aan de huidige BIO een goed beginpunt is.  

Wat is het verschil tussen NIS1 en NIS2?  

1. Betreft een groter aantal sectoren en bedrijven 

Laten we beginnen met op wie de NIS2 straks allemaal betrekking heeft. We zeiden al, NIS1 geldt met name voor essentiële bedrijven zoals water-, elektriciteit-, en –telecom. Daar komt nu een flink aantal sectoren en dus bedrijven bij. De afbeelding hieronder schets welke sectoren dit allemaal zijn (bron: ncsc).  

2. Verschil voor bedrijven en sectoren waar NIS1 al betrekking op heeft 

Deze bedrijven, organisaties en sectoren voldoen als het goed is al aan de wet- en regelgeving en volgen de 'verkeersregels' zoals o.a. opgesteld in de BIO. Het grote verschil bij het ingaan van NIS2 zit in controle, toezicht en consequenties. Er wordt straks actief gekeken of de regels inderdaad op de juiste manier worden nageleefd. Zo niet staan daar consequenties tegenover. Wat die consequenties precies worden, is nog niet bekend.  

3. Verschil voor bedrijven en sectoren die nieuw onder NIS vallen 

Voor deze bedrijven, organisaties en sectoren is een grotere stap te maken om te zorgen dat interne processen allemaal opgesteld zijn volgens de 'verkeersregels'. Voor overheidsorganisaties staan die 'verkeersregels' in de BIO en voor andere organisaties staan ze vermeld in de NEN ISO 27001 norm.  

Wat heeft NIS2 te maken met Identity & Access Management (IAM)? 

In de BIO, Baseline Informatiebeveiliging Overheid, vind je dus de regels die je nodig hebt om op de juiste manier invulling te geven aan NIS2, daarmee te voldoen aan de wet en hacks en boetes te voorkomen. Deze regels zijn onderverdeeld in een aantal hoofdstukken, elk met een eigen thema. Hoofdstuk 9 gaat over toegangsbeveiliging en toegangsbeheer, #allaboutacces. Hierover schreef André Koot in een eerder artikel: ‘IAM is het onzichtbare fundament van NIS2’.   

Investeren in IAM maakt jouw organisatie dus niet alleen ‘gewoon’ slimmer, sneller en veiliger. Het helpt je ook bij voldoen aan belangrijke wet- en regelgeving rond informatiebeveiliging waarop over niet al te lang strengere maatregelen komen te staan.  

Let’s talk NIS2 

Wil je weten hoe jouw organisatie ervoor staat wat betreft NIS2? Onze dienstverlening helpt inzicht te krijgen in hoe toegangsbeheer en –beveiliging op dit moment geregeld is. Hier komt onder andere een autorisatieanalyse aan te pas op basis waarvan we concrete verbeterstappen identificeren, zodat jouw organisatie straks met vlag en wimpel slaagt voor de audits. Plan nu vrijblijvend 30 digitale minuten in met Julia Neleman en let’s talk.

Exclusief aanbod voor Gemeenten 

Op woensdag 11 oktober organiseren we een kennisevenement voor besluitvormers, IT-professionals, cyberveiligheidsexperts en iedereen die binnen gemeenten betrokken is bij toegangsbeheer, informatiebeveiliging en netwerksystemen. Samen duiken we in de aankomende NIS2-richtlijn, wat dit betekent en wat je binnen jouw gemeente nu al kunt doen om goed voor te bereiden. Wij verzorgen de lunch. Wees welkom! We hebben beperkte plekken, dus wees er snel bij. 

Through member states, the European Union aims to realize a highly secure, trustworthy, and empowering cross-border digital identification and data (attributes) sharing solution – a digital identity wallet (under the eIDAS 2.0 regulation). With this purpose in mind, what do experts on this topic feel is most important? Moreover, what do they feel is significant to pay attention to, and where are we making good progress? 

We surveyed experts who attended the Identity Week Europe conference and asked them what they think is the current state of this development and what they consider key themes for the EU Digital Identity Wallet (DIW) in 2023. You can find a selection of the topics on which the report provides insight below.

Key Insights from the EU Digital Identity Wallet – Expert survey report

• the most significant use cases
• the benefits and motivators of parties involved in this development to contribute
• the risks that are present
• and the societal impact and values at stake

The European Union aims for a highly secure, trustworthy, and empowering cross-border digital identification and data (attributes) sharing solution. A digital identity wallet under the eIDAS 2.0 regulation, realized through Member states. What do experts on this topic feel is most important? What to pay attention to, and where are we making good progress? 

We surveyed experts who attended the Identity Week Europe conference on the topic. They were asked about the current state of this development and what they consider key themes for the EU Digital Identity Wallet (DIW) in 2023. 

A selection of the topics in the report:

• the most significant use cases
• the benefits and motivators of parties involved in this development to contribute
• the risks that are present
• and the societal impact and values at stake

We zijn verhuisd naar ./dotslash Utrecht

SonicBee is verhuisd naar ./dotslash Utrecht, vanaf nu vind je ons in deze bruisende scale-up hub. Daarmee sluiten we een bijzondere periode af! Een waarin we met veel plezier met ons hoofdkantoor gevestigd waren bij Regus Kraanspoor in Amsterdam. Hoewel we enorm blij zijn met deze mooie nieuwe stap in het bestaan van ons bedrijf, missen we vast en zeker van tijd tot tijd nog eens het mooie IJ-uitzicht. 

./dotslash Utrecht als nieuwe inspirerende locatie is ons thuis is tot ongeveer het tweede kwartaal van 2024. Tegen die tijd gaan we weer door en vestigen we op een meer permanente locatie.

Ben je in de buurt? Kom gerust langs voor een koffie en een praatje! Onze deuren staan open. 

Ons nieuwe adres

Je vindt ons op Europalaan 400 4e verdieping, Zuidvleugel, 3526 KS Utrecht, Nederland. 

Over ./dotslash Utrecht 

Als bedrijfsverzamelcomplex, streeft ./dotslash Utrecht naar het creëren van een bruisende hub. Ze versterken de hub met een mooie community van start-ups, scale-ups, corporate partners en investeerders. Daarin cultiveren ze een omgeving in de regio Utrecht waar ondernemers en hun teams zich comfortabel voelen. En niet onbelangrijk, zich optimaal kunnen ontwikkelen. 

SonicBee moved to ./Dotslash Utrecht

We have moved to ./dotslash Utrecht. From now on, you can find us amidst this dynamic scale-up hub. This move marks the end of a remarkable chapter, one where we were happily headquartered at Regus Kraanspoor in Amsterdam. While we’re thrilled about this new chapter in our company’s journey, we’ll certainly miss the stunning views of the IJ from time to time.

We’ll call ./dotslash Utrecht our inspiring home until roughly the second quarter of 2024. By then, we plan to move onward to a more permanent location.

Feel free to pop in for coffee and conversation if you’re in the area! Our doors are always open.

Our new address

Europalaan 400, 4th floor, South Wing, 3526 KS, Utrecht, Nederland 

About ./dotslash Utrecht 

Acting as a business gathering complex, ./dotslash Utrecht is dedicated to crafting a vibrant hub. They bolster the hub with a lively community comprising start-ups, scale-ups, corporate partners, and investors. In this milieu, they foster a setting in the Utrecht region where entrepreneurs and their teams feel at ease and have the space to thrive and develop to their fullest potential.

First control audit for our ISO 27001 certification

A year after achieving our ISO 27001 certification, we recently underwent our first control audit. And we’re thrilled to report a positive outcome! This keeps our commitment to quality and safety with ISO 27001 at the forefront. The journey doesn’t stop here: another control audit awaits us in 2024, followed by the re-certification process the subsequent year. Through this three-year cycle, TÜV ensures companies remain consistently focused, compliant, in control, and up-to-date.

The importance of continuity

And we consider this continuity highly important. As André Koot rightly puts it: ‘Certification isn’t just a one-off task. It signifies continuous attention to quality and safety with ISO 27001. Something that goes beyond just monitoring a firewall or installing AV. You could say it embodies organizational transformation and becomes an integral part of the organizational culture!’

More coming soon

Curious about what our ISO 27001 entails and how it translates to enhanced quality services for our clients? We’re working out an article on this that’ll come out, so keep an eye out for it!

Eerste controle audit ISO 27001 certificering

Een jaar na het behalen van onze ISO 27001 certificering, vond recentelijk onze eerste controle audit plaats. En met positieve uitkomst! Gelukkig maar, want zo houden we aandacht voor kwaliteit en veiligheid met ISO 27001. Hierna staat een tweede controle audit op de planning in 2024 en het jaar daarop volgt de hercertificering. Met deze driejarige cyclus houdt TÜV bedrijven continu gefocust, compliant, in controle en up-to-date.

Het belang van continuïteit

En juist die continuïteit is zo belangrijk. Zo zegt ook André Koot: “Het is niet iets wat je even één keer doet. Certificering betekent continue aandacht voor kwaliteit en veiligheid met ISO 27001 en beveiliging. Het is meer dan het monitoren van een firewall of het installeren van AV. Het is organisatieverandering, het is onderdeel van organisatiecultuur!”

Binnenkort meer

Over wat onze ISO 27001 precies betekent en hoe dit zich vertaalt in hogere kwaliteit diensten voor onze klanten komt binnenkort een mooi artikel uit.

IAM als verbindende factor tussen digitalisering en efficiënte bedrijfsvoering 

IAM (Identity & Access Management) regelt de toegang tot ICT: wie en welke apparaten krijgen toegang tot welke applicaties en waarom. Wat ik vaak merk is dat IAM vooral wordt gezien als een complex en specialistisch onderwerp. Wat houdt het precies in en wie houdt zich daarmee bezig? Gek genoeg is het relevant voor ons allemaal en voor elk bedrijf dat in meer of mindere mate gebruikmaakt van digitalisering, en niet alleen voor specialisten. IAM is eigenlijk de verbindende factor, het kruispunt, tussen digitalisering en efficiënte bedrijfsvoering en biedt daarmee veelzijdige voordelen voor bedrijfs- en organisatievoering. In dit blog licht ik dat en de veelzijdige voordelen van IAM voor bedrijfs- en organisatievoering graag allemaal even toe.  

Het belang van IAM voor verschillende soorten organisaties 

Mensen van diverse afdelingen, zowel op kantoor als operationeel, maken gebruik van IT. Het inlogproces, dat onder accessmanagement valt, zorgt ervoor dat iedereen toegang heeft tot de beschikbare applicaties op basis van zijn toegangsrechten. Dit draagt sterk bij aan de operationele effectiviteit, met in het achterhoofd dat deze identiteiten niet alleen medewerkers, maar ook externen en machines kunnen zijn. 

IAM als kans, niet alleen een specialistisch onderwerp 

IAM biedt kansen om sneller, slimmer en effectiever te werken op de manier die past bij jouw organisatie. Het is een kruispunt binnen de digitalisering en maakt deel uit van elk bedrijfsproces waar ICT wordt gebruikt. Als dit niet goed geregeld is, ontstaan er opstoppingen. De technologie zelf kan voor IAM zeer geavanceerd zijn en biedt veel meer mogelijkheden dan in een niet-digitale situatie. Alleen het heeft geen waarde als die mogelijkheden niet (optimaal) worden benut. 

De veelzijdige toegevoegde waarde van IAM 

De meerwaarde die IAM kan bieden varieert van operationele, strategische tot innovatieve kansen. Het leuke is dat je je creativiteit erin kwijt kunt en vaak bestaande situaties kunt verbeteren in je bedrijfs- of organisatievoering door de veelzijdigheid van IAM zonder dat je wist dat het om IAM ging toen je ermee begon. 

Hieronder ga ik in op enkele voorbeelden, gebaseerd op onze praktijkervaring en situaties die we tegenkomen bij klanten die de kansen van IAM benutten om hun organisatiedoelstellingen te realiseren. 

1. Hoe IAM helpt bij personeelstekort en groei 
2. Operationele efficiëntie: besparen met IAM 
3. (C)IAM voor klantgerichtheid en commerciële kansen 
4. Succesvol samenwerken met de (semi)overheid 
5. Vergroot het succes van fusies, overnames en reorganisaties 

Het benutten van IAM-kansen om het behalen van organisatiedoelstellingen te realiseren

Hoe IAM helpt bij personeelstekorten en groei 

Personeelstekorten zijn nu in veel branches een uitdaging, vooral bij groeiambities. Door de veelzijdige voordelen van IAM voor bedrijfs- en organisatievoering speelt IAM speelt een cruciale rol in het aannemen, behouden en inzetten van personeel en tijdelijke krachten. Als IAM niet optimaal wordt benut, leidt dit tot een arbeidsintensief en foutgevoelig instroomproces, wat negatieve gevolgen heeft voor medewerkerstevredenheid en productiviteit.  

Dit is ook van toepassing op doorstroming en onoverzichtelijke roostersystemen met ex-medewerkers. Bijvoorbeeld bij een klant in de hospitality branche met hoog verloop en groeiambities. Hoewel er aandacht is voor toegang tot systemen, blijft het uitstroomproces onoverzichtelijk en frustrerend. Dit leidt allereerst en vooral tot onnodige kosten, maar speelt ook veiligheidsrisico’s, zoals datalekken en non-compliance met AVG, in de hand.  

Door instroom-, doorstroom- en uitstroomprocessen (deels) te automatiseren met IAM, ontstaan kansen voor het realiseren van groeiambities, verhoging van efficiëntie, productiviteit, medewerkerstevredenheid en versterking van informatiebeveiliging. 

Operationele efficiëntie: besparen met IAM 

IAM biedt volop kansen voor operationele efficiëntie, zowel in personeelsbeheer als IT-ondersteuning. Automatisering vermindert de noodzaak voor IT-support om ad-hocvragen over verloren wachtwoorden of toegangsverzoeken af te handelen. Door processen te stroomlijnen en efficiënter te werken, bespaar je tijd en kosten, terwijl je een professionele indruk maakt op medewerkers. Dit verhoogt de medewerkerstevredenheid en vermindert de tijd besteed aan routinematige taken. Bovendien kan de samenwerking met apparaten of externe gebruikers, zoals klanten, op vergelijkbare manier worden geoptimaliseerd. 

(C)IAM voor klantgerichtheid en commerciële kansen  

Steeds vaker wordt op ons als SonicBee een beroep gedaan voor vraagstukken over klantbediening waarin toegangsmanagement een belangrijke rol speelt. Denk aan het aanbieden van een mobiliteitskaart waarmee klanten met één kaart diverse vervoermiddelen kunnen gebruiken. Of een stadspas waarmee inwoners van een stad van verschillende faciliteiten gebruik kunnen maken, soms met korting of zelfs gratis op basis van hun (anonieme) profiel.  

Onze expertise in toegangsmanagement stelt ons in staat om samen te werken aan innovatieve oplossingen, zoals een app die jonge patiënten tijdens hun ziekenhuisopname met elkaar in contact brengt. Dit zijn voorbeelden van CIAM, een specialistische term, maar een met grote toegevoegde waarde voor bedrijven.  

Dit maakt een investering in CIAM een investering met een duidelijke ROI, die zowel nieuwe klanten aantrekt als bijdraagt aan bedrijfsgroei en imagoversterking.

Een ander voorbeeld van de waarde van CIAM

Een industriële klant besloot na een workshop om al hun internationale klanten via één portaal samen te brengen. De organisatie verkrijgt hierdoor centraal inzicht zonder data daadwerkelijk te combineren. Dit voorkomt informatiebeveiligingsrisico’s, omdat bestaande systemen gescheiden blijven en data niet centraal wordt opgeslagen. IAM maakt het mogelijk om data centraal te beheren zonder extra veiligheidsrisico’s of beperkingen door internationale privacyregelgeving. Dit stelt de organisatie in staat om klantgedrag wereldwijd beter te analyseren en hen beter van dienst te zijn, wat leidt tot hogere omzet en klanttevredenheid.  

Succesvol samenwerken met de (semi)overheid

Om zaken te doen met de (semi)overheid zijn kwaliteitsstandaarden, zoals ISO9001, ISO27001, NEN7510 in de zorg en BIO voor gemeenten, een vereiste. Om aanbestedingen te winnen, moet je hier simpelweg aan voldoen. Dat betekent dat je bij deze normeringen moet kunnen aantonen dat je bijvoorbeeld maatregelen rondom toegangsmanagement hebt genomen. Deze zijn het best te organiseren door IAM-software goed in te zetten.  

Vergroot het succes van fusies, overnames en reorganisaties  

Laatst spraken we een bedrijf uit de FMCG-branche die te maken heeft met toenemende concurrentie, hogere productiekosten en strengere regelgeving. Een ‘buy and build’ strategie helpt bij het behouden van de marktpositie, wat betekent het snel moeten kunnen overnemen van nieuwe bedrijven. Efficiënte, vlotte en effectieve integratie van operationele activiteiten is belangrijk voor het slagen van deze strategie. IAM maakt dit mogelijk, terwijl er tijd is om een toekomstbestendige ICT-architectuur voor de hele organisatie te ontwikkelen.  

Een ander voorbeeld is een scholengemeenschap die pas een andere school in een nieuwe regio overnam. IAM kan al direct helpen bij de IT-integratie op bestuurlijk niveau en stapsgewijs per vestiging, met behoud van enige autonomie per locatie. In de overgangsperiode biedt IAM-medewerkers toegang tot systemen van de andere organisatie en zorgt het bedrijfsbureau voor een centraal overzicht van de hele scholengemeenschap. Dit draagt bij aan het creëren van een gezamenlijke bedrijfscultuur. 

IAM als knooppunt van digitalisering en groei 

IAM is het knooppunt van digitalisering en biedt volop kansen voor bedrijven en organisaties die bijvoorbeeld te maken hebben met personeelstekorten, groeiambities, fusies, overnames en reorganisaties. Door IAM goed in te zetten, kan jouw bedrijf efficiënter werken, de productiviteit verhogen, medewerkerstevredenheid verbeteren en informatiebeveiliging versterken. Heeft jouw bedrijf de ambitie samen te werken met de (semi)overheid en zaken te doen op basis van aanbesteding, dan is IAM zelfs noodzakelijk. Kort gezegd, investeren in IAM is een investering in de toekomst van je organisatie.  

Wil je weten welke voordelen IAM voor jouw bedrijf biedt en hoe het benutten van deze voordelen kan helpen bij het beter, sneller of effectiever behalen van jouw bedrijfsdoelstellingen? Neem gerust eens contact met ons op! 

IAM as a Connector between Digitization and Efficient Business Operations

IAM (Identity & Access Management) controls access to ICT: who and which devices are granted access to which applications and why. I often notice that IAM is mainly seen as a complex and specialised subject. What exactly does it entail, and who deals with it? Strangely enough, it is relevant for all of us and for every company that uses digitization to a greater or lesser extent, not just for specialists. In fact, IAM is the connecting factor, the crossroads, between digitization and efficient business operations, the thing that helps you future-proof your business and operations. In this blog, I would like to explain all of this.

The Importance of IAM for Different Types of Organisations 

To start with, people from various departments, both in the office and operational, use IT. The login process, which falls under access management, ensures everyone can access the available applications based on their access rights. That strongly contributes to operational effectiveness, considering that these identities can be employees but also external parties and machines. 

Interesting read: “Holocracy and Identity and Access Management”

IAM as an Opportunity, Not Just a Specialist Subject 

What’s more is IAM offers opportunities to work faster, smarter, and more effectively in a way that suits your organisation. It is a crossroads within digitization and is part of every business process that uses ICT. Bottlenecks arise if those processes are not organised effectively. The technology itself can be very advanced for IAM and offers many more possibilities than in a non-digital situation. However, it only has value if those possibilities are (optimally) utilised. 

The Versatile Added Value of IAM 

All in all, the added value that IAM can offer ranges from operational and strategic to innovative opportunities. The fun part is that you can use your creativity and often improve existing situations with IAM without knowing it was IAM when you started. 

Below, I will discuss some examples based on our practical experience and situations we encounter with clients who use the opportunities of IAM to achieve their organisational goals. 

1. How IAM Helps with Staff Shortages and Growth 
2. Operational Efficiency: Saving with IAM 
3. (C)IAM for Customer Focus and Commercial Opportunities 
4. Successful Collaboration with the (Semi)Government 
5. Increasing the Success of Mergers, Acquisitions, and Reorganisations 

Utilizing IAM opportunities to achieve organizational objectives

How IAM Helps with Staff Shortages and Growth 

Staff shortages are currently a central challenge in many industries, especially for growth-promoting businesses. IAM plays a crucial role in hiring, retaining, and deploying staff and temporary workers. Utilising IAM suboptimally or not at all can, in this context, lead to a labour-intensive and error-prone onboarding process, which negatively affects employee satisfaction and productivity. 

Similarly, that applies to staff turnover and fuzzy scheduling systems with former employees. For example, we saw this with a client in the hospitality industry with high staff turnover and growth ambitions. Although there was attention to access to systems, the offboarding process remained unclear. That primarily leads to unnecessary costs and frustration but also includes security risks, such as data breaches and non-compliance with GDPR. 

By (partially) automating onboarding, internal transfers, and offboarding processes with IAM, opportunities arise for realising growth ambitions, increasing efficiency, productivity, employee satisfaction, and strengthening information security. 

Operational Efficiency: Saving with IAM 

Another striking example of the versatility of IAM is in the opportunities it offers for operational efficiency, both in personnel management and IT support. Automation means less need for IT support to handle ad hoc requests for lost passwords or access requests. Streamlining processes and working more efficiently enables you to save time and costs while making a professional impression on your employees. That, in turn, increases employee satisfaction and reduces the time spent on routine tasks. Collaboration with devices or external users, such as customers, can be similarly optimised. 

(C)IAM for Customer Focus and Commercial Opportunities 

Businesses and organisations increasingly ask us to help with customer service issues in which access management plays an important role. For instance, in the case of offering a mobility card that allows customers to use various transport modes with just one card. Or a city pass that enables city residents to access multiple facilities, sometimes with discounts or even for free, based on their (anonymous) profile. 

Innovative solutions for CIAM

Our expertise in access management allows us to collaborate on innovative solutions, such as an app that connects young patients with each other during their hospital stay. These are examples of CIAM (Customer Identity & Access Management), a specialised term but one with significant added value for businesses. 

That makes an investment in CIAM an investment with a clear ROI, attracting new customers while contributing to business growth and image enhancement. 

Another example of CIAM’s value is an industrial client who, after a workshop, decided to bring all their international customers together through a single portal. In doing so, the organisation obtained centralised insight without actually combining data. That minimizes information security risks, as existing systems remain separate and data is not centrally stored. IAM enables centralised data management without additional security risks or limitations due to international privacy regulations. That allows organisations to better analyse customer behaviour and improve their services, resulting in increased revenue and customer satisfaction. 

Successful Collaboration with the (Semi)Government 

To do business with the (semi)government, quality standards such as ISO9001, ISO27001, NEN7510 in healthcare and BIO for municipalities are required. To win tenders, you must comply with these standards. With these certifications, you demonstrate, for example, that you have taken measures regarding access management. That is best organised by properly deploying and incorporating IAM into your business processes.  

Increasing the Success of Mergers, Acquisitions, and Reorganisations 

Recently, we spoke to a company in the FMCG industry facing increasing competition, higher production costs, and stricter regulations. A ‘buy and build’ strategy helps maintain market position, meaning quickly being able to acquire new businesses. Efficient, smooth, and effective integration of operational activities is crucial for the success of such a strategy. IAM makes this possible while simultaneously creating time to develop a future-proof ICT architecture for the entire organisation. 

Successfully integrating IAM

Let’s have a look also into the case of a school community that recently took over another school in a new region. IAM can already help with IT integration at the administrative level and gradually per location while maintaining some autonomy per site. IAM provides employees access to other organizations’ systems during the transition period. The corporate office maintains a central overview of the school community, creating a shared corporate culture. 

IAM as the Hub of Digitalisation and Growth 

IAM is the hub of digitalisation and offers plenty of opportunities for businesses and organisations dealing with staff shortages, growth ambitions, mergers, acquisitions, and reorganisations. By properly implementing IAM, your company can work more efficiently, increase productivity, improve employee satisfaction, and strengthen information security. If your company aims to collaborate with the (semi)government and do business based on tenders, IAM is even necessary. In short, investing in IAM is an investment in the future of your organisation. 

Would you like to know what benefits IAM can offer your business and how utilising these benefits can help you achieve your business goals better, faster, or more effectively? Please feel free to contact us! 

Digital identification is an essential additional component to the well-established paper variety across industries. This is relevant whether you’re in finance, telecom, healthcare, transport, retail, education, or the government sector. Furthermore, as the digital world evolves at a rapid pace, enhancing digital identification and privacy becomes increasingly important. For both public and private sectors, as well as consumers. 

Logically, that brings along questions of its own. First, what does the European Digital Identity Wallet mean for the Netherlands, and what is the potential added value? What does the road to the European Digital Identity look like, and how to navigate the ethics involved? Moreover, what would a responsible Digital Identity solution look like? And how do the newest digital identity advancements impact our privacy and digital security? Follow these blogs and explore these waters with us. 

The European Digital Identity aims to offer residents of European countries an alternative to identification solutions provided by large tech companies. It is, in essence, a privacy-friendly, secure, and reliable national solution for online identification, accepted by governments and businesses in various sectors across the EU. Notably, it is not an all-encompassing database of your online behaviour and location history. Citizens have the choice, and alternatives remain available. It is a national solution, not a European passport or identity.

Why a digital identification solution? And why at the European level?

The European Union (EU) recognizes that its citizens frequently use services, apps, and social media from large tech companies. What’s more, they realize that citizens do this without realizing their role as a ‘product.’ Meaning, they are often unaware that their behavioural data is used for increasingly targeted marketing messages (sometimes bordering on manipulation) and that this compromises their autonomy and privacy.

Generally, these threats are linked to your digital identity, your social media login or account, or how you log in with large tech companies. A login like that can also be used elsewhere (e.g., your Facebook login for other internet services). Subsequently, this allows for more extensive tracking of citizens and poses a greater threat to privacy. Which, in turn, raises significant concerns about the digital society.

In response, the EU said: we want a reliable alternative. Firstly, this alternative should allow our citizens to log in. Secondly, citizens using this alternative should be able to decide for themselves which data to share. No more logging in with a large tech company’s solution and no more mandatory data disclosure before proceeding (to use a service).

Learning from previous attempts to improve digital identification

What can we use for this? Well, there is European legislation on the matter. It states that a secure national (not European!) digital login method in one country (e.g., DigiD in the Netherlands) should be accepted in other EU countries. In this context, we mean EU countries in the European Economic Area, the EEA. For example, you only need to apply for your DigiD in the Netherlands, and you can use it elsewhere. Three issues emerged:

• A country must go through complex procedures to have its national digital identification tool ‘accepted’ at the European level (called ‘notification’).
• You can only use it for government services. So no commercial services, for which you still fall back on … big tech. That would mean no longer achieving the goal of protecting citizens.
• As a result, there was no market for these identification solutions. It didn’t take off.

This legislation, eIDAS 1.0, was launched in 2014 and encompasses electronic identification and trust services for electronic transactions in the internal market. However, too few national identification solutions were submitted.

eIDAS 2.0: European Digital Identity, in a Wallet

As a result, we now have the eIDAS 2.0 legislation. With it, the EU essentially says: we make a reliable alternative possible and learn from our previous attempts. The first thing this legislation does is provide a legal framework. In doing to, it ensures that when a new solution comes, it is legally sound in all EU countries. That’s important because when there is fraud in identification or misuse, you want to know how to address it (legally).

Moreover, the EU said: we want to make something safe and free for citizens, but not at the European level. Countries are sovereign and responsible for their citizens (not the European Parliament or the EU). Thus, each country must create or designate a solution by the end of 2024, with which citizens can identify themselves from 2025 onwards. The EU explicitly believes that this must be a wallet with current technology. All major tech companies are already working on this. It’s a good solution in the current technical landscape, and this solution enables several things we didn’t have working well before.

Such as derived attributes. How this works is that for proving you’re over 18, for instance, you don’t have to share your birthdate anymore - rather, an attribute linked to the solution says ‘yes, this person is over 18’. This enhances privacy because you share fewer data about yourself (data minimisation).

Another advantage of wallet technology is that, if properly set up, it cannot collect information about where you have been. Altogether, no profile of your (online) behaviour, and you cannot be tracked online. More technically: the wallet also enables ‘zero-knowledge proof’ and sharing of ‘verified credentials’. Additionally, it can work both offline and online.

Also interesting: State of the EU Digital Identity Wallet - Expert Survey

What does this mean for people?

From the wallet, the user (the citizen of an EU country, not the citizen of Europe, as that doesn’t exist) determines when they share which data. So, suppose an insurer asks for your medical history, birthdate, and first and last names. In that case, the citizen gets a pop-up in the wallet asking, ‘do you want to share that data?’ (per data element). The citizen can then say: this is not health insurance but home insurance, so I won’t share medical data, but maybe the rest. Yet, this is one of the major concerns of privacy experts. Because how do we help citizens make the right choice? And how do we ensure that they don’t share all their data when they see a pop-up offering a 5% discount if they do? See, for example, articles in Follow the Money and Nederlands Dagblad, both from February 2023.

What does this mean for businesses?

The EU has included in its eIDAS 2.0 that not only government services should accept this wallet, but every critical and vital industry where strong authentication is required (under local legislation). This currently applies to banks, insurers, and others. The EU also mentions sectors such as transport, energy, education, and others. It’s not that you’ll only be able to log in with a wallet in the future. Rather, these sectors must also allow login with a wallet (and not just your social accounts or other logins). What didn’t happen with eIDAS 1.0 is now enforced here: a market where the citizen can actually do something with their identification. Specifically, logging in and using services. Now, how can you accommodate that with your business in the future? Stay tuned to this blog series and join us in further exploring this domain!

Het doel van een Europese Digitale Identiteit is om EU-inwoners een alternatief te bieden voor de identificatieoplossingen van grote techbedrijven. Het gaat om een privacyvriendelijke, veilige en betrouwbare nationale oplossing voor online identificatie. Een die ook in andere EU-landen wordt geaccepteerd door overheden en bedrijven in diverse sectoren.

Het is dus geen allesomvattende databank met jouw online gedrag en locatiegeschiedenis. De burger kiest zelf en alternatieven blijven beschikbaar. Het betreft een nationale oplossing, geen Europees paspoort of identiteit. Maar hoe ziet de weg naar een Europese Digitale Identiteit er dan uit? Hoe werkt dat straks allemaal? En wat betekent dat voor bedrijven?

De Europese Unie (EU) merkt dat haar burgers veel gebruikmaken van diensten, apps en sociale media van grote techbedrijven, zonder zich altijd bewust te zijn van hun rol als ‘product’. Vaak zijn ze niet bewust dat gegevens over gedrag worden gebruikt voor gerichte marketing (die soms kunnen neigen naar manipulatie). Tenslotte realiseert men zich vaak niet de mate waarmee hierdoor hun autonomie en privacy in het gedrang komt.

Deze dreigingen zijn meestal gekoppeld aan je digitale identiteit, zoals je social media-login of account, of hoe je bij grote techbedrijven inlogt. Zo’n inlog kan vaak ook elders worden gebruikt, bijvoorbeeld je Facebook-login voor andere internetdiensten. Hierdoor wordt het volgen van burgers uitgebreider en vormt het een grotere bedreiging voor de privacy. Dit baart grote zorgen over de digitale samenleving.

Daarop heeft de EU gezegd: wij willen een betrouwbaar alternatief. Een waarmee onze burgers kunnen inloggen en waarmee ze zelf kunnen besluiten welke gegevens ze delen. Dus niet meer inloggen met een oplossing van een groot techbedrijf en ook niet meer al je gegevens prijsgeven voordat je verder kunt. Dat wil zeggen, niet meer gegevens delen in ruil voor toegang tot dienstverlening.

Wat kunnen we hiervoor gebruiken? Europese regelgeving stelt dat als je in het ene land een veilige nationale (dus geen Europese!) digitale inlogmethode hebt (bijvoorbeeld DigiD in Nederland), je kan zorgen dat deze ook in andere EU-landen geaccepteerd wordt. Dat zijn landen in de Europese Economische Ruimte, de EER. Dan hoef je alleen maar in Nederland je DigiD aan te vragen en kun je die elders gebruiken. Hierbij kwamen drie problemen naar voren: 

• Een land moet complexe procedures doorlopen om hun nationale digitale identificatiemiddel op Europees niveau ‘geaccepteerd’ te krijgen. Dat wordt ook wel ‘genotificeerd’ genoemd. 
• Je kan er vervolgens alleen overheidsdiensten mee gebruiken. Dus geen commerciële diensten, daarvoor val je dan toch weer terug op … big tech en haal je je doel om burgers te beschermen niet meer. 
• Hierdoor ontstond er ook geen markt waar deze identificatieoplossingen gebruikt konden worden. Het kwam dus niet van de grond. 

Deze regelgeving, elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt heet (eIDAS 1.0), is in 2014 gestart en geldt nu nog steeds. Maar er werden veel te weinig van die nationale identificatieoplossingen aangemeld. 

Daarom is er nu de eIDAS 2.0 regelgeving. De EU zegt daarmee: nu maken we een betrouwbaar alternatief mogelijk en leren we van onze eerdere pogingen. Wat deze regelgeving als eerste doet, is het juridische kader bieden. Dit kader zorgt dat, mocht er een echte oplossing komen, je zeker weet dat deze juridisch steek houdt in alle EU-landen. Dat is belangrijk. Niet als alles goed gaat, maar wel bijvoorbeeld in geval van fraude. Stel er wordt gefraudeerd bij identificatie, of er identificatie wordt misbruikt? Dan wil je weten hoe je dat (juridisch) aanpakt. 

Daarna heeft de EU gezegd: we willen iets voor de burger maken wat veilig is en gratis, maar niet op Europees niveau. De landen zijn namelijk soeverein; zij zijn zelf ‘verantwoordelijk’ voor hun burgers (niet het Europees Parlement of de EU). Dus elk land bewandelt de weg naar een Europese Digitale Identiteit op z’n eigen manier. Per land moet er rond eind 2024 een oplossing zijn waarmee de burger zich vanaf 2025 kan identificeren. Vervolgens zegt de EU: met de huidige technologie moet dit een wallet zijn. Alle grote techbedrijven zijn hier al volop mee bezig. Het is een goede oplossing in het huidige technische landschap én deze oplossing maakt een aantal zaken mogelijk die eerder nog niet goed werkte. Zoals: afgeleide attributen (als ik moet bewijzen dat ik 18+ ben, dan hoef ik niet mijn geboortedatum te laten zien, maar een ‘attribuut’ dat zegt ‘ja, deze persoon is 18+’). Dit vergroot de privacy, want je deelt minder gegevens over jezelf (dataminimalisatie). 

Goed ingerichte wallet-technologie werkt bovendien zo dat het geen data verzameld over waar je allemaal bent geweest. Dat wil zeggen, geen opgebouwd profiel opgebouwd van al je (online) gedrag, en geen tracking online. Meer technisch: de wallet maakt ook ‘zero knowledge-proof’ mogelijk en het delen van ‘verified credentials’. Daarnaast werkt deze wallet zowel online als offline.

Vanuit de wallet bepaalt de gebruiker (de burger van een land in de EU, dus niet de burger van Europa, want die bestaat niet) wanneer hij of zij welke data deelt. Dus, stel dat een verzekeraar vraagt: mag ik van jou je medische geschiedenis, je geboortedatum en je voor- en achternaam. Dan krijgt de burger in de wallet de pop-up met de vraag ‘wil je die data delen?’ (per data-element). De burger kan dan zeggen: dit is geen zorgverzekering maar een inboedelverzekering, dus ik deel geen medische gegevens, maar de rest misschien wel. Dit is een van de grote zorgen van privacy-experts: hoe helpen we de burger die keuze goed te maken? Zodat de burger niet als die de pop-up krijgt: ‘krijg nu 5% korting, deel al je data!’ dan maar alle data deelt. Zie hierover onder andere artikel in Follow the Money en het Nederlands Dagblad hierover, beide februari 2023.

De EU heeft in eIDAS 2.0 ten eerste opgenomen dat overheidsdiensten deze wallet moeten accepteren. Daarnaast ook dat elke kritische en vitale industrie waar sterke authenticatie vereist is (vanuit lokale wetgeving) meeloopt op de weg naar een Europese Digitale Identiteit. Dat is nu al het geval voor banken, verzekeraars, en anderen. Maar de EU noemt ook sectoren zoals transport, energie, onderwijs en anderen. Dat betekent niet dat je straks alleen nog maar met een wallet kan inloggen. Het betekent juist dat je bij deze sectoren óók met een wallet moet kunnen inloggen (en dat dus niet met een Facebook-account of andere privacy-schendende login). Wat bij eIDAS 1.0 dus niet gebeurde, wordt hier nu afgedwongen: een markt waar de burger met z’n identificatie echt iets kan doen.

Holacratisch werken en Identity & Access Management

Als IAM-consultants hebben we bij SonicBee ervaring in het ontwerpen van toegangsmodellen en zijn we gewend aan een typische omgeving waarin toegang wordt afgeleid van de afdeling, positie en rol van een werknemer. Een persoon heeft alleen toegang nodig als en voor zover die toegang relevant is in relatie tot zijn of haar positie in de organisatie en de toegewezen taken. Als er geen behoefte is aan toegang, moeten alle machtigingen worden ingetrokken. Het is hard werken om deze toegangsmodellen te ontwerpen, maar gelukkig kunnen we zeggen: ‘we hebben het vaker gedaan’.

Bij twee van onze recente klanten kwamen we een nieuwe ‘ervaring’ tegen. Toen we bespraken hoe we het toegangsmodel moesten ontwerpen, kwamen we erachter dat deze organisaties een holacratische manier van werken toepasten. Dat vereist enige uitleg over het concept van holacratisch werken. Je vraagt je misschien af wat dat is, en dat deden wij ook. We weten wat de holistische filosofie is: dat gaat over alles. We weten van hiërarchische organisatietypes en matrixorganisaties, dat gaat allemaal over organisatie. En holacratie probeert deze twee te combineren: alles over een organisatie. Maar het is nog steeds niet zo makkelijk te definiëren.

Holacratie. Wat is dat?

Holocratie is een management framework wat verder gaat dan hiërachisch management. Het is gebaseerd op maximale autonomie en zelfsturing van en door medewerkers. Besluitvorming is gedecentraliseerd en teams organiseren zichzelf volledig. Het heeft wat weg van agile werken, maar holacratie is zelfs nog meer dan dat.

Normaal gesproken kun je zeggen: identiteiten krijgen hun autorisatie op bases van karakteristieken of attributen. Dit kan zijn hun plaats in de organisatie (de afdeling), hun positie en rol, fysieke locatie en nog veel meer. De voornaamste structuur die we tegenkomen is top-down hiërarchisch. Holacratie staat daar dus recht tegenover en heeft geen hiërarchische structuur. Daardoor is het veel minder logisch of duidelijk om personen te vinden die verantwoordelijk zijn voor toegang. Bovendien, teams en rollen binnen teams in een holacratische organisatie veranderen constant, dus ook daar kun je eigenlijk je toegangsrechten niet op baseren.

Holacratie is ’the next way or organizing’. Voorheen hadden we strikt hiërarchische organisaties met een centraal en top-down management. In de afgelopen jaren hebben een grote toename gezien van agile georganiseerde workforces, met meer automonie in teams en minder centrale, top-down sturing. Holacratie gaat zoals gezegd nog een stapje verder. Er is helemaal geen ‘centraal’ of ’top-down’ meer. De organisatie werkt in teams en deze teams definiëren hun werk zelf.

Voor ons als IAM-experts ontbreekt daarmee de relatief ‘comfortabele’ en overzichtelijke structuur van afdelingen, functies en teams. Hoe combineer je nou IAM en holacratisch werken? Hoe organiseer je toegangsbeheer in een niet-hiërarchische, niet-matrix-achtige, niet-agile organisatie? Gelukkig houden wij wel van een uitdaging.

Toegang gebaseerd op rollen - traditioneel RBAC

Normaal gesproken ontwerpen we dus een model wat toegang verleent aan medewerkers op basis van hun rollen. Deze rollen zijn een verzameling van individuele autorisaties. Bijvoorbeeld, een vertegenwoordiger van de klantenservice heeft toegang tot acht verschillende applicaties nodig. In plaats van deze autorisaties een-voor-een toe te kennen, wat best veel tijd kost, is het makkelijker om deze acht autorisaties te bundelen in een rol. Het is vervolgens nóg makkelijker om van tevoren te bepalen: elke vertegenwoordiger van de klantenservice heeft deze rol, en daarmee dus deze autorisaties nodig. Op die manier hoeven we niet voor elke aparte medewerker te bekijken of ze wel de klantenservice vertegenwoordigen, maar schrijven we een regel: als een medewerker de functie ‘vertegenwoordiger van de klantenservice’ heeft, geef hen dan automatisch deze rol (waarin dus die acht autorisaties al zijn toegekend). Zo krijgt deze medewerker direct en automatisch toegang tot alle applicaties die nodig zijn. Superefficiënt dus! En dat is in de basis het concept van Role Based Access Control, oftewel toegang gebaseerd op rollen.

Het automatiseren van het proces waarbinnen medewerkers instromen, doorstromen, of uitstromen is verder niet heel ingewikkeld. Het verkrijgen van een Identity feed vanuit het HR-systeem waarin alle veranderingen en bewegingen staan en daar wat magie op loslaten om accounts te creëren of verwijderen is wat zogenoemde Identity Governance and Administration software doet. Na het beheren van de accounts, is het toevoegen van autorisaties al wat complexer. Dit is de fase in het proces waar we ‘rollen’ (groepen van autorisaties) toekennen aan identiteiten. Een manager definieert de benodigde autorisaties van een direct report, de manager verleent en ontneemt autorisaties, de manager ontvangt rapportages en hercertificeringen. Kortom, in traditionelere organisaties met een top-down structuur is de manager verantwoordelijk en aansprakelijk voor de toegang van een medewerker tot applicaties en wat de medewerker vervolgens met die toegang doet.

Holacratie: Rollen zonder hiërarchie

Dat de manager op die manier verantwoordelijkheid draagt, gaat in holacratische organisaties alleen niet op. Holacratische organisaties hebben teams, of ‘circles’, en die cirkels maken eigenlijk de hele structuur van de organisatie. Het kan wel zo zijn dat er binnen een cirkel weer meerdere kleinere cirkels zijn, zoals binnen een afdeling meerdere teams. Daarnaast maakt het feit dat mensen in verschillende hoedanigheden binnen verschillende cirkels aan verschillende dingen werken, effectief IAM en holacratisch werken nog wat complexer. Daarbij komt dus dat er geen managers in de traditionele zin van het woord zijn. Elke cirkel beheert en organiseert zichzelf, richting een specifiek doel en de mensen binnen de cirkel definiëren hun eigen regie en sturing om dat doel te bereiken.

Binnen deze cirkels worden weliswaar rollen toegekend aan medewerkers, maar deze rollen veranderen zoals gezegd constant. Sterker nog, er is geen relatie tussen hiërarchie, RBAC-rollen en holacratische rollen.

Holacratie en RBAC? Kan dat dan wel samen?

Normaal gesproken krijgt een persoon via RBAC een business rol toegekend en die rol verbindt weer met rollen in applicaties en platformen. Dat noemen we applicatierollen. Deze applicatierollen geven weer meer verfijnd toegang, meer effectieve autorisatie of entitlements. Het creëren van deze applicatierollen is niet eenvoudig en als een rol eenmaal is gemaakt kan deze niet zomaar worden veranderd. Wat dat betreft zou ik elke organisatie willen uitnodigen het creëren van een rol goed te vieren!

Deze complexiteit betekent vervolgens dat aangemaakte applicatierollen, als ze er eenmaal zijn, statisch zijn. Dat is lastig in holacratische kringen, want zoals gezegd: rollen veranderen constant in deze organisaties. Self-governance betekent dat wanneer autorisaties binnen rollen veranderlijk zijn, traditionele RBAC-methodes niet echt werken.

Holacratische rollen zijn daarentegen helemaal niet statisch. Dat houdt in dat toebedeelde rollen kunnen leiden tot verschillende effectieve autorisaties. De rol die gister nog was toegekend, kan vandaag iets anders betekenen. Terug naar het voorbeeld; de medewerker heeft nog steeds dezelfde rol (vertegenwoordiger van de klantenservice), maar heeft vandaag negen applicaties nodig als onderdeel van die rol in plaats van acht. Dit benadrukt enorm het belang van helder, effectief en overzichtelijk rolbeheer in holacratische organisaties, anders verdwijnen autorisaties op een gegeven moment gewoon zonder dat iemand daar echt controle over heeft.

Access Governance (ook wel toegangsbeheer)

Vanuit het perspectief van autorisatiemanagement, IAM en holacratisch werken betekent dit dat toegangsbeheer in een holacratische organisatie heel anders moet worden geïmplementeerd. Het managen van rollen en autorisaties vraagt in deze context om een zeer dynamische aanpak. Om Role Based Access Control mogelijk te maken in een holacratische organisatie is zo’n dynamische aanpak zelfs essentieel. Daarin is version control en het monitoren van het toekennen van rollen een randvoorwaarde.

In traditionele Identity Governance and Administration softwareoplossingen is een hiërarchisch perspectief op Governance onderdeel van de features. Daardoor passen traditionele IGA solutions niet in niet-hiërarchische organisaties. In een toekomstig blog gaan we verder in op deze uitdaging en onderzoeken we verder dat je misschien wel helemaal geen hiërarchie nodig hebt om in control te blijven.

Holacracy and Identity and Access Management

As IAM-consultants we are experienced in designing access models, and we are used to a typical environment where access is derived from an employee’s department, position and role. A person only needs access if and for as long that access is relevant in relation to his or her position in the organization and the tasks assigned. If there is no need for access, all authorizations should be revoked. This access models are unique to every organisation yet require some form of framework to base them on. Like roles, hierarchy, and organizational structures. Holacracy, more specifically IAM and holacracy, poses a new challenge in that regard.

At two of our recent customers we ran into a new ‘experience’. When we discussed how to design the access model we found out that these organizations applied a holocratic way of working. That requires some explanation of the concept of Holacracy. You may wonder what that is and so did we. We know about holistic philosophy: that is about everything. We know about hierarchical organization types and matrix organizations, that’s all about organization. And holocracy is trying to combine these two: everything about an organization. But still it is not that easy to define.

Holacracy. What is that?

Holocracy is a management framework, beyond hierarchical management, that is based on maximum self management of and by employees. Decision making is decentralized and teams are self-organizing, to an extreme level. It goes beyond agile ways of working in that sense.

As Identity and Access Management experts at SonicBee we are currently facing the challenge of managing access in this non-hierarchical, non-matrix-like, non-agile way of working at two customers.

In general you can say that people get their authorizations based on different characteristics, such as their place in the organization (department), their position and role, their physical location and several other of this type of ‘attributes’. The main structure usually is the top-down hierarchy. In contrast in holocracy there is no hierarchical structure, so it’s less obvious to find persons accountable for access, and besides, teams and roles within teams constantly change. This makes IAM and holacracy a tough combination to crack.

Holocracy is ‘the next way of organizing’. We used to have strict hierarchical organizations with a central and top-down management of work. The past years we’ve also seen a more agile way of working develop, with more autonomy in teams and less central and top-down direction. Holocracy takes this even further: there is no central and there is no top-down, the organization works in teams and these teams define the work themselves.

For us as IAM-experts we now lack the comfortable environment of departments, functions and roles. Then how to define why someone gets access or not?

Access based on roles – the traditional way of RBAC

Traditionally we design a model where access is granted to employees through the concept of roles. These roles are a bundle of individual authorizations. So for example: a customer service representative may need access to 8 applications. Instead of one-by-one granting these authorizations, which takes time, it is easier to bundle these 8 authorizations in one role. It is even more easy then to decide up front: every customer service rep will get this role. In this way we don’t need to decide for every individual employee that he or she is a customer service rep, but we create a line of code that says: if an employee has the job function of customer service rep, then automatically give this role, which effectively will give that employee the 8 applications. Now that is what we call efficiency (and we also label it ‘role based access’ or RBAC).

Automating that workflow of employees joining and leaving the company, or moving internally, is no rocket science. Getting an identity feed from an HR-system with all changes and performing some magic to create or delete accounts is what the so-called Identity Governance and Administration software suites do. And after managing the accounts, adding authorizations is a little more complex, we add ‘roles’ (groups of authorizations) to the identities: A manager can define the authorizations of a direct report, the manager grants and revokes authorizations, the manager receives reports and recertifications. The manager is accountable for the tasks the employee performs.

Holacracy: Roles without hierarchy

But not so in holacratic organizations. Holocractic organizations have teams, they call ‘circles’. And there is no hierarchical organization, there are only circles. And within circles there can be even more circles. People work in one or more circles. And the challenge is that there are no managers in the traditional sense. Each circle has governance in some kind of self-organized way of working. A circle has a specific goal and the people working in the circle define their governance to reach the goal.

Within circles ‘roles’ are assigned to people, but these roles can vary in time, in context. There is no set relation between hierarchical, RBAC-roles and Holacratic roles. In fact, in a holacracy even those roles may vary in time.

Holacracy and RBAC? Does that work?

In regular hierarchical RBAC, a person gets a business role and that business role connects to roles in applications and platforms, the so-called application roles. These application roles in turn give more fine grained access, the effective authorizations, or entitlements. This role creation process is not simple, It is so complex, that once a role is created, it cannot change easily. In fact I would invite any organization to celebrate the creation of any role!

This complexity as a consequence means that roles are static. And that creates some difficulty in holacratic circles: self-governance implies that when authorizations in roles can vary, the traditional RBAC-method doesn’t fit easily.

In dynamic, holacratic role management the roles are not static. Meaning that for IAM and holacracy, assigned roles can result in different effective authorizations. The role that was granted yesterday, can have different meaning today. So the employee still has the same role (that of the customer service rep), but today there are 9 applications part of that role, and yesterday there were only 8. This puts a lot of emphasis on proper role management, and otherwise the access might change over time, without anyone really being in control of that.

Access Governance

From the perspective of authorization management, this means that in a holacratic organization, access governance must be implemented differently. Managing roles and authorizations requires a dynamic view on authorizations. And for Role Based Access Control it means that dynamic role management is essential and that version control and monitoring of role assignement is a key requirement.

In regular Identity Governance and Administration solutions the hierarchical view on governance is part of the features. Therefore traditional IGA solutions do not fit well in non-hierarchical environments.

In a future blog we will explain how we try to solve these issues for our customers and we will show that being in control may not require a hierarchy after all.

IAM is het onzichtbare fundament is van NIS2

De richtlijn netwerk- en informatiesystemen (NIS) 2 is de nieuwe EU-richtlijn inzake cyberbeveiliging met als doel een hoger niveau van cyberveiligheid in Europa. Op 16 januari treedt de richtlijn in werking en over 2 jaar moet deze vertaald zijn in de wetgeving van de lidstaten. De primaire focus van NIS2 is organisaties in de vitale infrastructuur, maar de doelgroep is aanzienlijk breder vergeleken de eerste NIS (uit 2016).

De definitie van vitale infrastructuur is nu zo breed dat uw organisatie er eerder wel onder valt en impact van heeft, dan niet! En vanuit ons perspectief… Wij ondersteunen NIS2, maar het gaat niet specifiek in op Identity and Access Management. NIS2 noemt alleen kort toegangscontrolebeleid (ISO27000 serie) in sectie 79. En dat is een punt van zorg omdat IAM het onzichtbare fundament is van NIS2. Ik ga daar in dit artikel dieper op in.

Het effect van NIS2 op organisaties

“Optioneel is geen optie meer”, zoals minister van Justitie en Veiligheid Dilan Yeşilgöz Zegerius afgelopen oktober op OneConference in Den Haag zei.

Hier is het, De NIS2-verordening van de EU. Het heeft gevolgen voor de activiteiten van uw organisatie en we verwachten wat dat betreft dat NIS2 een aanzienlijke impact betekent. NIS2 betreft alleen betrekking de zeer kritische en vitale industrie, ook aanverwante sectoren vallen onder de richtlijn.

Het alleen plannen of uitstellen van implementatie van beveiligingscontrole is niet meer voldoende. NIS2 is er nu en stelt dat de implementatie van beveiliging een verantwoordelijkheid is van het C-niveau. Sterker nog, het gaat om de “Verantwoordelijkheid van het bedrijfsmanagement voor de naleving van maatregelen voor risicobeheer op het gebied van cyberbeveiliging”. Het is geen optie om zomaar een Chief Information Security Officer (de CISO, een functie zonder mandaat of budget) aan te wijzen als verantwoordelijke voor de beveiliging. Nee, het is het C-niveau met de mandaten, de raad van bestuur, bestaande uit de CEO en de CFO. De rol van de CISO is om het topmanagement te begeleiden bij het bereiken van een aanvaardbaar niveau van risico- en beveiligingsbeheer, niet om een zondebok te zijn voor de echte belanghebbenden.

Hoe dan ook, op C-niveau is bewustwording van hun rol als verantwoordelijke stakeholders voor beveiliging essentieel (zie whitepaper over strategische afstemming).

De impact van NIS2 op IAM

Identiteitsbeheer en toegangscontrole zijn essentiële onderdelen van informatiebeveiliging. In de internationale beveiligingsbasislijn ISO 27002 wijdt zelfs een heel hoofdstuk aan toegangscontrole. In verschillende hoofdstukken behandelt het specifieke onderwerpen op het gebied van toegangscontrole, zoals fysieke toegangscontrole en in IT-operaties. Maar NIS2 noemt IAM niet specifiek. NIS2 verwijst niet naar Access Governance, Identity Management, joiner-mover-leaver processen of RBAC (Role Based Access Control). Zelfs de digitale identiteitsportefeuille van de EU valt er buiten.

Traditioneel ziet men IAM als een IT-verantwoordelijkheid die de business in staat stelt (meer uitleg in ons Business to IT alignment report). NIS2 verandert dit. Niet in de laatste plaats vanwege een fundamentele verandering in de manier waarop NIS2 de beveiliging behandelt, met name door het concept van de toeleveringsketen aan te pakken. Het supplychain concept betekent dat (bijna) elke organisatie diensten levert aan andere organisaties, maar ook diensten afneemt van andere aanbieders. En zoals we zagen de afgelopen jaren: deze supplychain gevolgen heeft voor de beveiliging. Organisaties kunnen het slachtoffer worden van aanvallen bij hun providers. Beveiligingsincidenten zoals (Non-)Petya en Solarwinds  zijn voorbeelden van deze risico’s.

Beveiligingscontroles beperken zich niet langer tot de organisatie zelf. Organisaties, met name die direct onder NIS2 vallen, zijn niet langer een autonome entiteit. In plaats daarvan vult het een deel in van de hele keten van gebeurtenissen en diensten. Hetzelfde geldt voor het begrip “cloud”. Niet langer is de cloud slechts een onderdeel van netwerk- en computermiddelen, maar een geïntegreerd concept op het gebied van bedrijfsvoering. Niet langer als ‘extern’ behandeld, maar onderdeel van de business. Contracten staan centraal, het gaat niet meer alleen om SLA’s en beschikbaarheid.

Meer controle over meer identiteiten

Wat betekent dit voor IAM? Organisaties moeten straks in control zijn over meer identiteiten dan alleen die van henzelf. Ze moeten omgaan met oneindige aantallen identiteiten (inclusief de identiteit van dingen!) en de complexiteit van het beheer van toegang in de toeleveringsketen aanpakken. Controle is niet langer beperkt tot een Active Directory. Governance is niet alleen ‘wat je ziet, is wat je krijgt’. Het is ook ‘wat je wilt toestaan, is wat je moet beheren’.

De implementatie van gangbare toegangscontroleconcepten zoals rolgebaseerde toegangscontrole (RBAC) moet worden aangepast om te integreren in de toeleveringsketen. Federatie, beheer van het toegangsbeleid en zero trust-concepten moeten aan de beveiligingsgereedschapskist worden toegevoegd. Voor continue authenticatie zijn nieuwe infrastructuur en beleidsbeheer nodig. In NIS2 wordt het concept van continue en multi-factor authenticatie expliciet behandeld - zero trust is the way to go!

Dit betekent ook dat in NIS2 nieuwe manieren van verslaglegging en controle moeten worden toegepast. Controleurs moeten onder ogen zien dat concentratie op relatief eenvoudige traditionele veiligheidscontroles zoals het wachtwoordbeleid en hercertificering van gebruikersaccounts niet langer doeltreffend is.

Vervolgstappen

Hoewel Identity and Access Management nergens in de verordening wordt genoemd, kunt u niet aan NIS2 voldoen als u de toegang niet beheerst. IAM is het onzichtbare fundament van NIS2. Een goed startpunt zou zijn om uw eigen visie op toegang te creëren, uw strategie en stappenplan op te stellen. En neem een bredere kijk op identiteit op, om te voldoen aan NIS2.

Introduction

The Network and Information Systems (NIS) 2 Directive is the new EU cybersecurity directive that aims to increase the level of cybersecurity in Europe in the longer term. On January 16^th the directive will enter into force and in 2 years it must be translated in the legislation of the member states.

The primary focus of NIS2 is organizations working in the critical infrastructure, but the target group is widened compared to the previous NIS (from 2016). The definition of vital infrastructure now is so wide, that you may assume that your organization needs to comply, rather than not! And from our perspective… We support NIS2, but it does not specifically address Identity and Access Management. In fact, It only briefly mentions access control policies (ISO27000 series) in section 79. However we believe NIS2 needs IAM. More specifically, we believe IAM is the invisible foundation of NIS2. I will expand on this in this article.

NIS2 impact on organizations

‘Optional is no longer an option’. So stated minister of Justice and Safety Dilan Yeşilgöz Zegerius at OneConference in The Hague last October. Here it is, The NIS2 regulation of the EU. It will impact your organization’s operations, and we expect it’s impact to be significant. NIS2 covers more than just the highly critical and vital industry. Related sectors are included by the Directive as well.

Consequently, you no longer have the option to just plan or postpone implementing security controls. NIS2 is here now, and states that implementing security is a responsibility of C-level. What’s more, it covers “Accountability of the company management for compliance with cybersecurity risk-management measures.” For instance, appointing a Chief Information Security Officer as being responsible for security.

One reason for this is that the CISO typically is a position without mandate or budget. Instead, it is the C-level with the mandates, the board, consisting of the CEO and CFO. The role of the CISO is to guide top-level management to reach an acceptable level of risk and security management. Not to be a scapegoat for the real stakeholders. In any case, the C-level needs to be aware of their role as accountable stakeholders for security (see strategic alignment whitepaper).

NIS2 impact on IAM

Now let’s dive a bit more into why NIS2 needs IAM. We know that Identity Management and Access Control have always been core components of information security. There is a whole chapter on access control in the International ISO 27001 Security Baseline and we find specific access control topics in several other topics as well. Topics like physical access control and IT operations. But surprisingly, the NIS2 does not mention IAM. There is no reference to Access Governance, Identity Management, joiner-mover-leaver processes or RBAC (Role Based Access Control). Not even the EU Digital Identity wallet is mentioned.

Traditionally, IAM is treated as an IT responsibility. One that enables the business (more explanation in our Business to IT alignment report). Because of NIS2 this will have to change. Particularly because of a fundamental change in how NIS2 treats security, especially by addressing the concept of the Supply Chain. The supply chain concept means (almost) every organization that provides services to other organizations but also consumes services from other providers. As we’ve seen in the last few years, this supply chain affects security, and organizations can be attacked via their providers. Security incidents such as (Non-)Petya and  Solarwinds are examples of these risks.

Security controls are no longer limited to the organization itself. Any organization, especially NIS2 subjects, is no longer treated as an autonomous entity but fills in part of the whole chain of events and services. The same is true for the concept of cloud. Previously, the cloud was external, part of networking and computing resources. Nowadays, cloud is an integrated concept in the field of business operations. Contracts are key; it is not just about SLA’s and availability anymore.

More control over more identities

What this means for IAM is that organizations will have to be in control of more identities than just their own. They need to cope with indefinite numbers of identities (including identity of things!), and must address the complexities of managing access in the supply chain. In other words, control is no longer restricted to an Active Directory. Governance is not just ‘what you see, is what you get’. It is also ‘what you want to allow, is what you need to manage’, and that’s where NIS2 needs IAM.

Consequently, implementing mainstream access control concepts like role-based access control will have to be adapted to cope with supply chain integrations. Federation, access policy management and zero trust concepts must be added to the security toolkit. Continuous authentication will require new infrastructure and policy management. In fact, NIS2 explicitly addresses the concept of continuous and multi-factor authentication – zero trust is the way to go!

And this also implies that in NIS2 new ways of reporting and auditing must be implemented. Auditors must face the fact that focusing on relatively simple traditional security controls like password policies and recertification of user accounts will no longer be effective.

Next steps

To conclude, although Identity and Access Management is not mentioned anywhere in the regulation, you cannot only comply with NIS2 by being demonstrably in control of access. IAM is the invisible foundation of NIS2. A good starting point would be to create your own vision on access. Build your strategy and roadmap. And please do include a wider view on identity, to comply with NIS2.

‘We’re not flying, it may take a while…’

Recently a lot of flights were cancelled in the United States due to bad wheather. And once the wheather improved the flights continued again. However, not all of them. For SouthWest Airlines the flights didn’t pick up, they kept cancelling large numbers of flights. What had happened? Their software and systems were so much behind in upgrades and updates that they couldn’t get them to pick up the schedules. They were suffering from ‘technical debt’.

What does this have to do with IAM? IAM can also suffer from technical debt. Actually we’ve seen this in numerous occasions. One way to tackle this is: recognize this challenge and create a masterplan.

Where does ‘technical debt’ come from?

IAM can facilitate and support critical business functions by overseeing who has access to what data. But also IAM is susceptible to ‘technical debt’, especially in larger corporations who have software for IAM that has been bought over the past decades. SouthWest provides the case what happens if you do not address this backlog of work (see this NYT article The Shameful Open Secret Behind Southwest’s Failure), and I’ve seen it happen quite a few times. Focus on the shiny new developments, the new features, the improvements, adding pressure by complex business changes (that impact who needs access where). This all can be carried by IAM. And yes, we can postpone a change or an update, because it does not immediately lead to issues. This is aggravated when a lot of requests have been responded to with scripting. Numerous scripts within IAM solutions result in complexity and a lot of (inter) dependencies within the solution. A scripts solves a question quite quickly, but a 100 scripts become a dragging anchor to agile responses to change.

In an illustration, it is a bit like: yes, I can eat another cake (business feature), although my tooth hurts a little bit (IAM). And it hurt a little bit yesterday already, and it will probably be hurting tomorrow as well, but I can postpone a visit to the dentist (upgrades/maintenance). Because that takes time out of my (business feature) schedule and obviously it is not fun to visit a dentist. But if you wait long enough, the dentist might see you and forward you to the hospitals’ dental surgeon, because you waited too long. And then you’re in trouble…

A masterplan, a master-team, and a bell that is heard

There needs to be a masterplan that keeps track of the legacy being build, the upgrades needed for IAM itself to remain sustainable and responsive. And that masterplan needs a master-team that rings the bell when the balance is tipping too much towards ‘new functionality’ and pushes the IAM technology beyond the point of ‘sustainable’ (meaning: upgradeable, in line with standards and architecture, and ultimately operable). And as a last attention point: make sure that bell is being heard and acknowledged. Sometimes senior leadership already has challenges understanding IT and technology, and I can’t blame them, try to explain to complexities of middleware and infrastructure to someone who only has had ‘the iPhone experience’, it is a black box to them. But it is leaderships’ responsibility to have insight in what drives their business, and which functions are providing the stability for business to run on, and what these functions need. In the case of SouthWest, the ‘technical debt’ was known, reported and not a surprise. It just wasn’t picked up by leadership, nor was it given the proper priority. Because, according to the NYT author, the incentives of leadership were tied to quarterly results of stock prices and earnings statements. So you duct tape the technology in favor of short term results. Short term gain leading to long term pain.

Balancing business, control and technology

A masterplan includes the functions of IAM that describe what business benefits and impact it delivers. A masterplan creates the space to deliver new features and functions for the business, and to support large change programs of the business. Because with each of those the key questions usually are: when I log in tomorrow, can I still access my applications and data? (that is like eating cake, a lot of it and really fast) A masterplan also creates the overview to position risk and control measures, the so-called ‘guardrails’ in which the business can lean and will know that they’re not spinning off the road. (that is like brushing your teeth and responding to tooth aches in a proper way) And lastly, the point of this blog, a masterplan keeps track of the status of IAM technology, when major upgrades are required (with COTS that is running onprem this might be every two years, taking the backlogs of IAM devops teams for a couple of weeks if you’re lucky, months if the impact is significant). (that is like the periodic visit to the dentist) And these three need to be balanced. Sometimes you need to do large maintenance, but not that often. Guardrails might slow you down, but they prevent you from ending in a ditch. And a lot of focus should be given to business enablement. Including the proper incentives with business and leadership to balance short term gain and long term gain. A masterplan works together with a vision and it informs the strategy, the choices you make.

That plays out on high level of leadership that directs the entire business. But it also plays out at low level in the teams in the organization. When I was working with these teams, we found an illustration (through a LinkedIn post by John Cutler) that helped us visualize the issue of ‘technical debt’. It’s called ‘Care for the garden’:

Business and IT alignment for IAM

This topic relates strongly to the article on Business and IT alignment, by Andre Koot. Where the article emphasizes the importance of business and IT alignment for IAM and the role of access governance. The case of technical debt that triggered this blog can be read from the perspective of business and IT alignment as well, but that would be another blog.

‘Onze vluchten worden voorlopig niet hervat…’

Met het slechte weer werden in december veel vluchten in de Verenigde Staten geannuleerd. Toen het weer beter werd hervatten vrijwel alle maatschappijen hun vluchten, maar SouthWest bleef er heel veel annuleren. Wat gebeurde daar? Hun software en systemen waren zo ver achterop met upgrades en updates dat ze het hervatten van de vluchtschema’s niet aankonden. Ze leden aan ‘technical debt’, oftewel achterstallig onderhoud. En wel in zo’n mate dat hun dienstverlening niet hervat kon worden.

Wat heeft dat met IAM van doen? IAM kan ook last krijgen van achterstallig onderhoud en dit zijn we in diverse situaties tegengekomen. De manier om dit aan te pakken is: onderken het probleem en maak een masterplan.

Waar komt dat achterstallige onderhoud vandaan?

IAM ondersteunt kritische bedrijfsfuncties door ervoor te zorgen dat de juiste persoon bij de juiste data kan, oftewel, de juiste toegang heeft. Maar IAM is ook vatbaar voor achterstallig onderhoud, zeker in grotere bedrijven waar de software voor IAM al jaren geleden is aangeschaft. SouthWest laat met hun casus heel praktisch zien wat er gebeurt als je niet af en toe aan onderhoud doet (zie het artikel in de New York Times, The Shameful Open Secret Behind Southwest’s Failure). Ik heb het voor m’n ogen zien gebeuren: de focus op nieuwe, snelle oplossingen en resultaten, nieuwe features, verbeteringen en daarbij de druk (en prioriteit) van belangrijke business changes en programma’s, allemaal vragen om de juiste toegang. Iets wat IAM heel goed kan doen.

We kunnen best een change nog even uitstellen, of een update later doen, want dat leidt niet direct tot issues. Of we kunnen iets snel neerzetten en wat scripts eromheen bouwen, zodat het werkt. Dat is snel en duidelijk. Maar veel scripts leiden tot complexiteit en veel interne afhankelijkheden in de IAM-oplossing. Een script is een snelle oplossing, maar 100 scripts worden een sleepanker dat elke wendbaarheid langzaamaan verstikt.

Het lijkt een beetje op: ja, ik kan nog wel een stuk taart op (business feature), ook al heb ik een beetje tandpijn (IAM), gewoon doorbijten. Gister deed het toch ook al een beetje zeer, morgen vast ook. Ik kan dat tandartsbezoek best even uitstellen. Want dat kost zoveel tijd (uit mijn backlog), en tandartsbezoek is nooit leuk (liever een nieuwe feature live zetten dan saai onderhoud doen). Maar als je dat patroon lang genoeg laat gaan, dan kom je bij de tandarts met flinke pijn en stuurt deze je door naar de kaakchirurg en dan ben je echt verder van huis…

Een masterplan, een master team en een bel die gehoord wordt

Er moet een masterplan zijn dat bijhoudt welke legacy er bestaat en wat IAM nodig zou hebben om helemaal bij te komen en duurzaam en wendbaar te blijven. Dat masterplan bevat welke upgrades en updates nodig zijn, maar ook welke versimpeling van de infrastructuur nodig is. Bij dat masterplan hoort een ‘master team’. Een team wat tijdig aan de bel trekt als de balans doorslaat naar nieuwe functionaliteit en de IAM-technologie steeds minder wordt bijgewerkt en er risico ontstaat dat IAM het helemaal niet meer doet, vanwege achterstallig onderhoud.

Als laatste, zorg er dan ook voor dat die bel gehoord wordt. Dat het leiderschap en senior management wordt uitgelegd wat de uitdaging is en dat zij kunnen reageren op zo’n signaal. Want management snapt niet alle details van IT en dat hoeven ze ook niet en kunnen ze ook niet altijd. Zij kopiëren vaak de ‘iPhone experience’ op middleware en infrastructuur.

Dus gebruik een masterplan om de consequenties te schetsen en met een oplossingsrichting te komen. In het geval van SouthWest was het achterstallig onderhoud zeer bekend, maar koos management ervoor het niet te prioriteren. Vanwege de auteur in de NYT door de doelstellingen die op korte termijn waren ingesteld (beursresultaten, kwartaalcijfers). Dan maar een stukje ducttape voor de techniek, zodat we dit kwartaal de targets weer halen. Short term gain, long term pain.

De balans tussen ondernemen, beheersing en technologie

Een masterplan gaat over alle IAM-functies en beschrijft wat IAM doet voor de onderneming, welke impact het heeft. Het plan geeft ruimte om nieuwe functionaliteiten te ontwikkelen en business changes te ondersteunen. Want daarbij is het vaak de vraag ‘kan ik morgen nog inloggen en werken?’. Dat moet namelijk nog wel. Het plan beschrijft ook hoe risico’s worden beheerst met maatregelen, de ‘vangrails’ van de onderneming waardoor toegang nooit teveel of onjuist is (denk o.a. aan privacy wetgeving, fraude risico’s, functiescheiding).

Ten slotte, en daar begon dit hele blog mee, houdt het plan de status van IAM-technologie bij en wanneer grote upgrades nodig zijn. Bij software die intern draait kan dit zo elke twee jaar zijn en dan zijn teams hier weken mee bezig, als het niet maanden zijn. Je moet soms groot onderhoud doen, maar niet te vaak. Het gaat om de balans tussen deze drie aspecten: balanceren, prioriteren en uitleggen, waarbij het de taak van leiderschap is om dit inzichtelijk te krijgen en de prioritering te sturen.

Daarom is er ook een afstemming tussen business en IT nodig om de juiste doelstellingen neer te zetten, voor korte en lange termijn. Zodat de business vooruit kan, binnen de kaders van de vangrails, en met wanneer het nodig is groot onderhoud. Met kortetermijnwinsten en langetermijnresultaten in het oog. Gedragen door een visie geeft een masterplan de input voor de (strategische) keuzes die je maakt.

Senior management heeft die input nodig. Maar ook op de werkvloer speelt dit een rol. Toen ik met DevOps teams werkte, gebruikte we een plaatje (ooit op LinkedIn gezet door John Cutler) om uit te leggen wat achterstallig onderhoud is/doet. Het heet ‘Care for the garden’:

Business en IT alignment voor IAM

Dit onderwerp hangt nauw samen met de afstemming tussen business en IT waar mijn collega, Andre Koot, recent een artikel over heeft gepubliceerd. Dat artikel benadrukt wat deze afstemming tussen business en IT brengt voor IAM en waarom het noodzakelijk is. Achterstallig onderhoud als onderwerp voor IAM kan ook vanuit dat perspectief benaderd worden. Maar daar mag Andre zelf een blog over schrijven 😊

In today’s digital age, for an organization to succeed, it must have a strong IT function. That IT function will not be at its best, however, if it is missing a close partnership with the business components of the organization. In many organizations IAM is seen as an IT responsibility. While some of the IAM related tasks and activities can be considered IT-related, others are not. Without clear understanding of the different tasks and responsibiities in the field of IAM, the success of IAM related programs will be limited.

This article argues for the need for explicit strategic alignment, also referred to as business-to-IT alignment, between IT efforts around IAM, particularly access management, and the business needs of an organization. Lack of this type of alignment leads to failed IAM projects and blocked business maturity growth.

Het belang van een sterk IT-fundament

Een sterk IT-fundament is de sleutel tot succes voor organisaties in de gedigitaliseerde wereld van vandaag. Dit IT-fundament mist alleen wat stukjes als het niet optimaal aansluit bij en verweeft met andere onderdelen van het bedrijf. Veel organisatie zien IAM bijvoorbeeld nog steeds als een verantwoordelijkheid van alleen IT. En hoewel sommige IAM-verantwoordelijkheden inderdaad sterk aan IT relateren, is dat voor anderen zeker niet het geval. Zonder goed te begrijpen wat de verschillende IAM-verantwoordelijkheden zijn, hoe deze optimaal te verweven met de bredere bedrijfsvoering of strategische afstemming in toegangsbeheer is het succes van elk IAM-programma gelimiteerd.

Aandacht voor expliciete strategische afstemming

Dit artikel vraagt aandacht voor en benadrukt de noodzaak van expliciete strategische afstemming, wat we ook wel business-to-IT alignment noemen. Specifiek tussen IT-werkzaamheden die te maken hebben met IAM - zoals met name toegangsmanagement, en de bredere bedrijfsdoelen van een organisatie. Het ontbreken van dit soort afstemming leidt in onze ervaring vaak tot falende IAM-projecten, onderbroken bedrijfscontinuïteit en groei.

Online gepubliceerd door IDPro, 15 december 2022

Misschien ook interessant: het identificeren van stakeholders in access governance

What the ‘Cybersecurity Made in Europe’ Label Means

SonicBee now has the ‘Cybersecurity Made in Europe‘ label from ECSO (European Cybersecurity Organisation), issued by Security Delta (HSD). ECSO is a European non-profit organization and partner of the European Commission for the implementation of public-private partnerships in cybersecurity. The label raises awareness of the strategic value of cybersecurity companies that originate in Europe and develop their activities based on European values. The ‘Cybersecurity Made in Europe’ certificate demonstrates SonicBee’s compliance with this.

Information Security in a Global Context

Information security is, by it’s nature, not bound by frontiers. Security is a global concern. Recently, however, there is a growing need for European sovereignty. There is more distrust towards data storage outside Europe and people are more aware of international cyber threats driven by current events. SonicBee is aware of this and is responding to it.

SonicBee’s Perspective and Goals

André says about this:

“In the EU we share a common language and culture and we can build on the shared EU knowledge and experience in the field of security. For SonicBee, with its Dutch mentality and international ambitions, it is clear that Cybersecurity made in Europe gives us added value in the area of Identity and Access Management.”

How the Label Supports SonicBee’s IAM Ambitions

It is our goal to be the go-to partner in Europe for strategic IAM services from a business perspective, to collaborate in ecosystems. This label, as a European player, will help us grow in Europe. Meanwhile, we continue to make conscious choices in our services to remain compliant.

Het ‘Cybersecurity Made in Europe’ label 

SonicBee verkrijgt het ‘Cybersecurity Made in Europe’ label van ECSO, verstrekt door Security Delta (HSD). ECSO - European Cybersecurity Organisation - is een Europese non-profitorganisatie en partner van de Europese Commissie. Deze organisatie houdt zich bezig met de uitvoering van publiek-private partnerschappen op het gebied van cybersecurity. Het label verhoogt bewustzijn van de strategische waarde van cyberbeveiligingsbedrijven met een Europese oorsprong die hun activiteiten ontwikkelen op basis van Europese waarden. Het ‘Cybersecurity Made in Europe’ certificaat toont aan dat SonicBee hieraan voldoet.

Informatiebeveiliging overstijgt grenzen

Informatiebeveiliging is van nature niet gebonden aan grenzen, beveiliging is een mondiale aangelegenheid. Momenteel groeit echter de behoefte naar Europese soevereiniteit. Er is meer wantrouwen naar dataopslag buiten Europa en men is zich bewuster van internationale cyberdreiging. SonicBee is hier bewust mee bezig en speelt erop in.

André zegt hierover:

“In de EU delen we een gemeenschappelijke taal en cultuur. We bouwen voort op gedeelde EU-kennis en -ervaring op het gebied van beveiliging. Voor SonicBee, met zijn Nederlandse mentaliteit en zijn internationale ambities, is het duidelijk dat Cybersecurity made in Europe ons toegevoegde waarde geeft op het gebied van Identity en Access Management.”

SonicBee als go-to partner in Europa voor strategische IAM-diensten

Het is ons doel om de go-to partner in Europa te zijn voor strategische IAM-diensten vanuit een business perspectief. Om samen te werken in ecosystemen. Dit label helpt ons als Europese speler bij onze groei in Europa. Ondertussen blijven wij bewuste keuzes maken in onze dienstverlening om hieraan te blijven voldoen.

Identity and Access Management is not just an area within a company where it is decided which employee gets what authorizations (and why). Being in this industry for a long time one realizes that it is actually about Digital Recognition (of an individual). In various use cases and contexts we want to know who we are dealing with, and sometimes we want to be really really sure, and it needs to be a very trusted recognition. In other cases we don’t care that much and basically any IP- or emailadress will be fine.

On a large scale governments are doing this as well. Typically a government already made sure they could recognize their citizens and residents. Identification documents, like passports or drivers licences, are quite commonly used when an individual interacts with the government. They are even trusted to the extend that also car rentals, hotels and other organizations require an individual to use those documents to proof their identity. It’s an accepted method in our society to be identified and recognized. For example, identification documents are used when onboarding new employees (and frequently it is a required to identiy them, at least in the Netherlands, by means of passport) or registering customers (for example when opening a bank account online).

One can imagine that when this identification and recognition fails this can be very impactful for the individual. For example not being able to access your online bank account, your email or logging in with the government for tax filing. Luckily in most cases there is a physical backup route that individuals can use, like going to the branch office of the bank or visiting city hall. But that is not always the case. Increasingly research shows that with digital identity solutions on a large scale groups of individuals are excluded and negatively impact. Governments are working hard to minimize this effect, obviously. Yet in the digital realm things do work slightly differently than in the physical realm, for example a passport cannot truly be digitized. But the functionality can be redesigned in a digital solution.

Identity & Access Management is meer dan besluiten welke autorisaties medewerkers krijgen en waarom. Het gaat om de Digitale Erkenning (van een individu). In verschillende use cases en contexten willen we weten met wie we te maken hebben. Soms is weten zelfs niet voldoende, dan willen we het zeker weten. Daarvoor moet erkenning zeer vertrouwd en betrouwbaar zijn. In andere gevallen maakt het minder uit en is erkenning via bijvoorbeeld enkel een IP-adres al voldoende. 

Uiteenlopende toepassingen van identiteitsdocumenten voor identificatie

Overheden zijn hier op grote schaal mee bekend. Ze hebben over het algemeen structuren om altijd hun inwoners te kunnen herkennen. Identificatiedocumenten, zoals paspoorten of rijbewijzen, zijn wijdverspreid en het voornaamste middel waarmee inwoners zakendoen met overheden. Het gebruik van deze documenten als methode voor identificatie is zo erkend dat autoverhuurmaatschappijen, hotels en uiteenlopende organisaties ze gebruiken om de identiteit van individuen te bewijzen. Maar denk ook aan hoe ze gebruikt worden bij onboarden van nieuwe medewerkers. In die context is het zelfs een randvoorwaarde voor het aangaan van een arbeidsrelatie. Of bij het registreren van nieuwe klanten bij het openen van een nieuwe bankrekening online om nog maar een voorbeeld te noemen.

Digitale Identificatie vs. Fysieke Identificatie

Je kunt je dus voorstellen dat wanneer deze methode van identificeren en erkennen faalt dat nogal grote gevolgen kan hebben. Stel je voor dat je niet meer bij je bankrekening kan, of dat je niet kunt inloggen bij de overheid om je belastingaangifte te doen. De impact van digitale identiteit op de maatschappij kan dus nadelig zijn. Gelukkig is er in veel gevallen nog wel een fysieke back-up. Een bezoek aan een lokaal kantoor van de bank of langs bij het gemeentehuis, bijvoorbeeld. Maar zo’n fysieke back-up route is er niet altijd. Onderzoek wijst steeds vaker uit dat digitale identiteitsoplossingen op groter wordende schaal negatieve impact hebben op individuen. In extreme gevallen kunnen ze zelfs leiden tot uitsluiting. Overheden werken hard om dit ongewenste effect te minimaliseren, dat spreekt voor zich. Alleen ook zij hebben de uitdaging dat in het digitale domein dingen toch net anders werkt dan in het fysieke. Bijvoorbeeld, hoewel je functionaliteiten van een paspoort kunt ontwerpen in een digitaal substituut, kun je een een paspoort nooit volledig digitaliseren.

Ook interessant: De Weg naar een Europese Digitale Identiteit

Why be concerned with the European Digital Identity and wallets?

Someone asked me that question recently and my brief response was: ‘because ‘Europe’ will make this mandatory for government and regulated industries by 2025.

That means that if you’re a government body, or bank, or insurance company, or hospital, or energy company, telco or any other regulated organization, then you have to accept the (appointed) wallets of European citizens by 2024, when a citizen decides to use that wallet for authentication or sharing of data. As more detailed here in a Dutch article.

A wallet for each European citizen

Every member state needs to appoint (declare) one or more wallets that can be used throughout Europe by their citizens to login online and share data.

‘Europe’ does this to provide every member state citizen with a safe and convenient way to identify online and to share personal information (data) with whom and when they choose. The citizen is in control of their data and where it is shared. And this wallet is free of charge for the citizen (there are obviously ongoing discussions on who should pay, but that probably will be the companies that … accept the wallets’ use).

The European wallet relevant to businesses

For these ‘accepting companies’ (the relying parties) the wallet has benefits: you don’t have to store all citizen (personal) information anymore, you’ll get the latest and most up to date version of the data and it is digital, so no more paperwork.

The potential of the European digital identity

The citizen will enjoy a free wallet. And many organizations accepting the use of that wallet, which also means less paperwork for the individual themselves. And this wallet will work throughout Europe, renting a car in Germany (drivers license? Identity? Insurance history?) or booking a hotelroom in Spain (identity? account information? 18+ check if you order liquor). The citizen can also store other data in the wallet, from organizations that are not obliged to participate, but would like to. So the wallet can become quite ‘thick’, with items like nationality, identity, bank information, loyalty cards, insurance cards, and many more.

So it pays to consider this development now, if you weren’t already doing that. Consumers already have wallets, as part of their use of tech platforms (Apple, Google, …) or as individual solutions (Schluss, IRMA, Datakeeper and many others). It may not be necessary to do something with that right away, but be aware that developments are going to come fast. And once the customer figures out that this is easy, he or she will include that in their expectations, which you will need to meet. Or they might switch. To be an active anticipator and avoid a moment in 2025 thinking: perhaps I should figure out how this wallet-stuff works.

For more details on this development you can for example read this report.

Laatst vroeg iemand mij: “Waarom me bezig houden met de Europese digitale identiteit en wallets?”. Mijn korte antwoord was: omdat die door ‘Europa’ per 2025 verplicht wordt gesteld voor overheidsinstanties en gereguleerde industrieën.

Dat betekent: ben je een overheidsorganisatie of een bank of een verzekeraar of een nutsbedrijf of een ander gereguleerde organisatie? Dan moet je de (aangewezen) wallets van Europese burgers (burgers van lidstaten) vanaf 2024 kunnen accepteren, als de burger besluit dat informatie of authenticatie met data uit die wallet gedaan wordt. Zie het artikel in Binnenlands Bestuur.

Een wallet voor elke Europese burger

Elk land moet een of meerdere wallets aanwijzen (maken, laten maken) die Europa-breed gebruikt kunnen worden door burgers om online in te loggen en data te delen.

Vanuit ‘Europa’ wordt dit gedaan om de burger te helpen met een veilige en makkelijke manier om zich online te identificeren én om persoonlijke gegevens zelf te kunnen beheren (en te kiezen met wie die wanneer gedeeld worden). Interessant detail daarbij: de wallet is gratis voor de burger (en er zijn nog volop discussies wie er dan wel voor moet betalen, waarschijnlijk de bedrijven die … de wallet accepteren).

Ook voor bedrijven is de Europese wallet relevant

Voor accepterende bedrijven heeft de wallet een paar voordelen: je hoeft niet zelf meer alle gegevens van de burger te bewaren, je krijgt altijd de laatste, meest up-to-date informatie, en je krijgt de (gewaarmerkte) data digitaal, dus die kan meteen in je digitale backoffice (geen papierwerk meer).

Ook interessant: the State of the EU Digital Identity Wallet - 2023 Expert survey report

De potentie van de Europese digitale identiteit

Voor de burger is het natuurlijk mooi dat de wallet gratis is. En dat heel veel organisaties de wallet (en data daaruit) accepteren, dat betekent ook voor de burger minder papierwerk. En de wallet werkt door heel Europa, dus je kan ook in Duitsland er een auto mee huren (rijbewijs? identiteit? eventuele schadehistorie?) en in Spanje een hotel boeken (identiteit? banksaldo? 18+ vinkje ivm bestelde drank?). En de burger kan er ook andere data in opslaan, van partijen die niet perse mee moeten doen, maar dat wel graag willen. Dat kan een best dikke wallet worden, met je paspoort, bankpas, tankpas, bonuskaart, en nog veel meer.

Dus denk er nu alvast over na, als je dat al niet deed. Consumenten hebben nu al wallets, als onderdeel van hun techplatformen (Apple, Google) of andere oplossingen (Schluss, IRMA, Datakeeper en vele anderen). Daar hoef je nu nog niets mee, maar weet dat de komende jaren dat rap veranderd. En als de klant dat doorkrijgt veranderd ook zijn of haar verwachting. Daar wil je liever actief op anticiperen dan dat je in 2025 denkt: ik moet toch maar es kijken hoe zo’n wallet werkt.

Wil je echt nog de details in? Begin dan bijvoorbeeld hier.

An Abstract

SonicBee, the Common Ground movement, VNG and the Municipality of The Hague together developed innovation in the field of access management. This brings opportunities for interoperability between municipalities, citizens, businesses, and chain partners and evolved from the need for a new, modern joint information facility for the exchange of data. This workshop provides insights into the architecture, applications and associated innovative approach to access governance based on Zero Trust and PBAC (Policy Based Access Control) principles.

The current system for data exchange in municipalities makes it difficult to innovate quickly and flexibly, to comply with privacy legislation and to handle data efficiently. This stands in the way of improving municipal services. The Common Ground movement is looking at innovation opportunities for greater interoperability. An important part of this is the data landscape, where functionality is accessed through APIs. In the analysis of this architecture, one aspect is barely touched upon: The Access aspect is not appropriately co-developed. Given the requirements that the government places on the provision of information (such as the Digital Government Act, AVG, Security), this can at least be called remarkable.

SonicBee and the Municipality of The Hague has performed a proof of architecture (the POA) to demonstrate that it is possible to unlock an existing API in which access is not explicitly modeled. This is done in an effective and efficient way through innovative ‘zero trust architecture’ concepts, such as Policy Based Access Control. Security and privacy are thus demonstrably realized in accordance with legal requirements. The POA proves that this is technically possible and opens doors for municipalities for interoperability in an autonomous and secure way.

During the presentation at One Conference the working principles from the developments in the field of Identity & Access Management are explained and how these principles can be applied in practice in an existing application landscape.

Het huidige stelsel bij gemeentes voor gegevensuitwisseling maakt het lastig om snel en flexibel te vernieuwen. Bovendien is het daarbinnen moeilijk om te voldoen aan privacywetgeving en efficiënt om te gaan met data. Dat staat de verbetering van de gemeentelijke dienstverlening in de weg. De Common Ground beweging kijkt naar innovatiekansen voor meer interoperabiliteit onderling. Een belangrijk onderdeel hiervan is het gegevenslandschap, waarbij functionaliteit via API’s wordt ontsloten. Bij de analyse van deze architectuur komt één aspect nauwelijks aan bod: Het aspect Toegang is niet op een passende wijze mee-ontwikkeld. Dat is toch minstens merkwaardig, gezien de eisen die de overheid stelt aan de informatievoorziening (zoals de Wet Digitale Overheid, AVG, Security).

Proof of Architecture voor Gemeente Den Haag

SonicBee heeft voor de Gemeente Den Haag heeft een ‘proof of architecture’ (de POA) uitgevoerd. Daarmee tonen we aan dat het mogelijk is om een bestaande API via innovatieve ‘zero trust architectuur’ op effectieve en efficiënte wijze te ontsluiten. Een randvoorwaarde is dat toegang binnen de API niet expliciet is gemodelleerd. Een voorbeeld van een innovatieve zero trust architectuur is bijvoorbeeld Policy Based Access Control (PBAC)., Zero Trust architectuur voor de Common Ground dus. Security en privacy zijn zo aantoonbaar in overeenstemming met wettelijke eisen gerealiseerd. De POA bewijst dat dit technisch mogelijk is en deuren opent voor gemeenten voor interoperabiliteit op een autonome en veilige manier.

Tijdens de presentatie lichtten we werkende principes vanuit ontwikkelingenen op gebied van Identity & Access Management toe. Daarnaast gaat het in op hoe deze principes in de praktijk toe te passen zijn in een bestaand applicatielandschap.

Daarop volgde een groepsdiscussie over, in essentie, het succes of juist het falen van SSI zou bepalen. Hieronder vind je een globale opsomming en samenvatting van deze workshop. Een sleutelwoord in die zin is ‘globaal’, want deze lijst is geenszins volledig. Maar, deze sessie en de interactie die ontstond gaf een aantal interessante inzichten die we toch graag met je willen delen. Dus, hier gaan we:

Waarom SSI wel zou werken 

• Vanuit Legal perspectief staan de seinen langzamerhand op groen. Bijvoorbeel in California (US), waar het gebruik van digitale wallets voor geboorte- en overlijdensregistratie is gelegaliseerd. Met zulke stappen ontstaat juridische grond voor het gebruik van digitale wallets. Wanneer dat gebeurt vergroot de kans dat het straks makkelijker gebruikt kan worden en breder kan worden toegepast.
• Efficiëntie en kostenbesparing, vooral voor de Relying Party. Deze hoeven namelijk geen papieren documenten meer te verifiëren of een papieren backoffice te onderhouden. In een voorbeeld wat gegeven, leidde deze optimalisatie van het proces tot een handeling die nog maar 6 uur tijdsbeslag had in plaats van 72.
• Verbeterde privacy en beveiliging. Data wordt niet langer centraal opgeslagen in silo’s binnen organisaties, maar in een eigen wallet. Hierbij haalde iemand de databreuk van het Australische Telco aan als voorbeeld.
• Ontwikkeling van GAIAX en de eigen wallet wat SSI weer verder promoot. Belangrijk om op te merken hier is wel dat anderen, zoals GAIN, ook werken aan eigen SSI-oplossingen.
• Gebruiksvriendelijkheid voor de eindgebruiker
• SSI gaat verder dan Identiteiten. Het omhelst ook attributen, verified credentials en self-declared credentials
• Het voorkomt disintermediation. Grote organisaties moeten tenslotte met elkaar overweg kunnen want anders verliezen ze klanten en interactie met klanten
• SSI bewaakt privacy veel beter en is veel beter in lijn met GDPR
• De digitale generatie verwacht een soepele digitale ervaring, vergelijkbaar of beter met zoals ze dat nu hebben met big tech oplossingen die de standaard hoog hebben gezet. Een eventuele wallet zou minstens aan die verwachting moeten voldoen

Waarom SSI niet zou werken

• Toegangsbeheer blijft een uitdaging. Als je de sleutel tot jouw digitale wallet eenmaal bent verloren, kun je niet meer bij jouw identiteitsdata en credentials.
• De diversiteit van benaderingen en oplossingen tot SSI zijn dungespreid en elk opereert (nog) op een eigen eilandje
• Adaptatie van de eindgebruiker
• Privacy paradox. Gebruikers kunnen nu hun eigen data controleren, maar zijn ze in staat dit ook te doen? Of houden ze hun data bij zich totdat het delen van de data betekent dat ze er iets gunstigs voor terug krijgen?
• Correlation
• Legal context
• Hostile environment en misbruik
• Nieuwe oplossingen moeten nog altijd werken met legacy IT wat een grote uitdaging blijft

Randvoorwaarden voor werkbare SSI

• Heldere use cases die nodig zijn om te zorgen dat het werkt
• Politiek moet bereid zijn om mee te bewegen ten gunste van verdere ontwikkeling van SSI oplossingen
• Standaardisatie en interoperabiliteit van diverse SSI oplossingen moet mogelijk zijn
• Trust lists & revocation lists. Om te zorgen dat SSI werkt, heb je vertrouwde en erkende wallets en uitgevers nodig en ook weten welke op de no-go lijst staan
• Vanuit het inclusiviteitsprincipe moet bepaald zijn wie allemaal toegang heeft tot deze oplossing
• Je hebt nog altijd meer traditionele identiteitsuitdagingen op te lossen, zoals enrolment, federation, etc.

Dus, gaat Self Sovereign Identity (SSI) werken? Conclusie en doorkijk

Hoe SSI zou kunnen werken is waarschijnlijk verschillend per industrie. Bijvoorbeeld in geval van monopolie-industrieën vs. industrieën met sterke onderlinge concurrentie. Daarbij komt dat wanneer je begint met het uitrollen, zowel SSI/Digital oplossingen als ’traditionele’ oplossingen voor een tijdje ondersteund moeten worden. Verdere vragen die de vraag gaat Self Sovereign Identity (SSI) werken meebrengt, zoals zou de achterliggende technologie gebaseerd moeten zijn op blockchain of niet, open source ja of nee, wat voor label moet het krijgen, zijn nog onbeantwoord.

Rond het einde van de workshop kwam het belangrijke punt van timing op. Timing en doorlooptijd van het ontwikkelen van deze oplossing hangt weer enorm af van alle bovengenoemde factoren. De over het algemeen geaccepteerde timing die aan deze ontwikkeling wordt gehangen is 10 - 15 jaar. Tegen die tijd zou een goed werkende, geïntegreerde en breed beschikbare oplossing wel gerealiseerd moeten kunnen zijn.

De vraag blijft natuurlijk: hoe ontwikkelt de wereld zich in de tussentijd? De Roblox Generation is tegen die tijd (online) opgegroeid en zou zomaar een andere koers kunnen varen dan degene die zich nog een voornamelijk analoge wereld kan herinneren.

Note: deze samenvatting is geschreven door Henk Marsman en Jacoba Sieders. Geenszins kan dit als compleet of perfect worden aanschouwd, maar is bedoelt om bij te dragen aan ons gezamenlijk begrip van SSI, de oplossingen die worden ontwikkeld en de ontwikkelingen daaromheen.

Jacoba explained SSI including the European context (European identity ambition with wallets). Traditionally identity management means that a user interacts with an organization, and that organizations registers, stores and manages the (digital) identity of that user. Evolved identity management means that a user interacts with an organization and the user himself takes care of the (digital) identity, stores and manages it, and presents it to the organization. The difference is that the organization has no identity store to maintain, but relies on the (verified) credentials that the user presents. That is called ‘self-sovereign identity’, because the user self rules (sovereign) over his (or her) identity.

Then we discussed what would determine success or failure, roughly speaking, of SSI. The list below is the rough output of this workshop and certainly not a complete or finite list. It is not even thoroughly worked through. Yet, this session and the interaction created quite a lot of interesting gems which we thought we’d share anyway. So here we go:

Indicators that SSI might work

• The legal endorsement is coming into place, California (US) for example legislated the use of wallets for birth right and death registration. When there is legal endorsement, and a legal ground for use, then it can more easily be used/increase the uptake.
• Efficiency and cost savings (mainly for the relying party – they don’t need to verify a paper document or keep an administration) – an example was given that a process went from 72 hours back to 6 hours (duration).
• Increased privacy and security, because the data is no longer centrally stored at an organization in multiple silos, but in one wallet. The breach of the Australian Telco was referenced here.
• GAIAX development, developing it’s own wallet (and thereby promoting SSI). Note: others are also working on SSI solutions, including GAIN and others.
• Useability (for the end user)
• It goes beyond the identity, because it includes also attributes, verified credentials and self-declared credentials.
• Prevents disintermediation, large organizations need to get along otherwise they will lose customer (interaction).
• SSI guards privacy in a better way and in that suffices GDPR very well.
• The digital generation expects a smooth digital experience (because the big techs have spoiled them), and a wallet could match that expectation.

Indicators that SSI might not work

•  Key management remains difficult, once your key to your wallet is lost, all your identity data and credentials become unavailable.
• A scattered landscape of approaches and solutions to do SSI.
• User adoption
• Privacy paradox, users can now control their own data, but are the equipped to do this properly, or (privacy paradox:) do they keep their data very secure until sharing it gives them a discount or a candy bar.
• Correlation
• Legal context
• Hostile environment and abuse
• New solutions still need to work with legacy IT, which is always a challenge.

Conditions and ‘if’ statements related to SSI

• Use cases required for it to work
• Political will to move SSI approach and solutions forward
• Standardization and interoperability of SSI solutions
• Trust lists and revocation lists (in order to make it work you need to find trusted wallets and issuers and know which/when is revoked)
• From an inclusive lense, who should be able to use it
• You still need to solve a lot of traditional identity issues, like enrolment, federation, etcetera.

So, will SSI work and when?

The way SSI may works may be different per industry (for example monopolist industries vs industries with strong competition). And once you start rolling it out you need to realize that you need to support both the SSI/digital and the ‘traditional’ solutions for quite some time. Other questions that were asked, like should it be blockchain or not, should it be open source, and what is the exact label that it should have, were not further discussed.

Towards the end we realized that timing is a factor, so when this will be realized also depends on the factors above. The general consensus in the group what that between 10 – 15 years a truly working solution should be available. But the question then ofcourse is; how did the world evolve in the mean time? Because the Roblox generation that has grown up online is going to conquer the world quite soon, and they may flip the table on those who still knew a world that existed mainly analogue.

Note: this write-up is a co-creation of Henk Marsman and Jacoba Sieders. It in no means has the pretence to be complete or perfect. It aims to contribute to the developments of SSI understanding and solutions.

SonicBee is ISO 27001 gecertificeerd; de kwaliteitsnorm op het gebied van informatiebeveiliging. Dit betekent dat het managementsysteem dat ten grondslag ligt aan onze Advisory en Managed services, zoals SynerBee en NEXIS4-aaS, voldoet aan de ISO-normen.

Het is vermeldenswaardig dat SonicBee gecertificeerd is als “virtuele organisatie”. En het is erg leuk dat de audit organisatie Tüv Nederland dat nu ook erkend met een referentiecase. Dit is namelijk een heel moderne manier van werken, ook voor auditors, en vermindert bepaalde risico’s. We zijn trots op deze erkenning en hopen ook andere organisaties te inspireren met onze aanpak: Geen bureaucratie en toch ISO 27001 gecertificeerd!

Samenvatting Tüv referentiecase:

SonicBee starts online academy

Operating in the niche of IAM that we created, the exchange of knowledge and experience is really important. That is why we created an online Academy based on the Hubper platform.

The demand for IAM consultants has been high for years and it remains difficult to find experienced resources. That is why we have trained new colleagues via our own internal trainings on IAM ever since we started SonicBee, providing them the knowledge that we also share with the market through our partner IMF. By adding our online Academy we are now capable of sharing content, insights and new developments faster with all colleagues independent of the country that they are located.

In our online Academy SonicBee-ers share their specific knowledge via learning routes. Each learning route consists of several topics. For each topic there are movies where SonicBee colleagues are explaining theory and their experience. The topics end with a series of questions.

Valuable knowledge, personal development and job satisfaction

Our Academy helps to get new colleagues up to speed faster and widen and deepen the knowledge of our consultants. By finalizing a learning route and passing the corresponding exam, we can also keep track of the competencies of colleagues. Moreover, employees can continuously develop their skills in new areas. This contributes to the personal growth of employees and SonicBee as an organisation, and not insignificantly, to even higher job satisfaction.

By combining our Academy, trainings and learning on the job in multi-disciplinary teams, we are providing new, enthusiastic, and highly skilled IAM experts that look at the field from a business perspective.

Future developments of the SonicBee Academy

In the near future we will extend our Academy even further with an extensive program dedicated to the development of leadership- and IAM consultancy skills by an experienced partner. In addition, collaboration with customers is established so that the niche knowledge gained can be directly used in practice. We will keep you posted on these developments.

#innovation #sonicbee #workmilestone #learning #jobsatisfaction #personaldevelopment

Het belang van uitwisseling en ontwikkeling van kennis en ervaring

SonicBee start online Academy - In de niche van IAM die wij hebben gecreëerd, is de uitwisseling van kennis en ervaring erg belangrijk. Daarom hebben we een online ‘Academy’ opgezet op basis van het Hubper platform.

De vraag naar IAM-consultants is al jaren groot en het blijft moeilijk om ervaren krachten te vinden. Daarom verzorgen wel al sinds de start van SonicBee eigen interne trainingen en leiden zo nieuwe collega’s op in IAM. Op deze manier krijgen ze alle kennis die we ook via onze partner IMF met de markt delen. Nu daar onze nieuwe Online Academy bijkomt, zijn we in staat content, inzichten en ontwikkelen sneller en effectiever met onze collega’s te delen. 

In onze online Academy delen SonicBee’ers hun specifieke kennis via leerroutes. Elke leerroute bestaat uit verschillende onderwerpen. Per onderwerp zijn er filmpjes waarin SonicBee-collega’s de theorie en hun ervaring toelichten. De topics eindigen met een serie vragen.

Waardevolle kennis, persoonlijke ontwikkeling en werkplezier

Onze ‘Academy’ helpt nieuwe collega’s sneller op weg en verbreedt en verdiept de kennis van onze consultants. Door een leertraject af te ronden en het bijbehorende examen af te leggen, houden we ook zicht op de competenties van collega’s. Bovendien kunnen medewerkers zich voortdurend ontwikkelen op nieuwe gebieden. Dit draagt bij aan de persoonlijke groei van medewerkers en SonicBee als organisatie. En niet onbelangrijk: aan meer werkplezier.

Door onze Academy, trainingen en ‘learning on the job’ in multidisciplinaire teams te combineren zorgen we voor enthousiaste en hoogopgeleide IAM-experts. SonicBee supersterren die vanuit een business perspectief naar het vakgebied kijken.

Toekomstige ontwikkelingen van de SonicBee Academy

In de nabije toekomst breiden we onze Academy verder uit met een programma voor leiderschaps- en IAM-consultancy vaardigheden door een ervaren partner. Daarnaast werken we met klanten zodat de opgedane niche kennis direct in de praktijk kan worden toegepast. Wij houden u op de hoogte van deze ontwikkelingen.

#innovatie #sonicbee #workmilestone #leren #werkplezier #persoonlijkeontwikkeling

Wat is ‘Identity Day’?

Op 16 september is het weer Identity Day, of in goed Nederlands, Identiteit Dag. Wat is dat, en waarom op de 16^e september?

De Verenigde Naties (VN) hebben een aantal duurzame ontwikkelingsdoelen (Sustainable Developent Goals, SDGs) gesteld die ze per 2030 willen behalen om daarmee de ‘wereld een stukje beter te maken’. In totaal zijn er 17 van die doelen. Bijvoorbeeld doel nummer 16 die beoogd Vrede, Gerechtighed en Sterke Instituten (vrij vertaald van Peace, Justice and Strong Institutions). Onder dit doel zitten dan weer targets, in dit geval 12 stuks. Daarmee wordt de hoog-over ambitie verder vorm gegeven en krijgt het handen en voeten. Target 9 (van doel 16) is om in 2030 iedereen een juridische identiteit (‘legal identity’) te geven, inclusief geboorteregistratie.

Dan denk je misschien ‘juridische identiteit’? 

Dat betekent dat iedereen door de staat en het gerecht erkend en herkend wordt, oftewel een identiteit die juridisch geldig is. We kunnen ons in West Europa en zeker in Nederland bijna niet voorstellen dat dit een probleem is. Maar als je geen ‘juridische identiteit’ hebt dan kan je niet stemmen, geen bankrekening openen, geen zorgverzekering afsluiten, geen pensioen krijgen, sterker nog, de politie en de rechterlijke macht kennen je niet. Dan kan je je voorstellen dat dit echt problemen geeft voor een persoon.

En dat is geen theoretische beschouwing, ook in Nederland zijn er geschat 40.000 ‘ongedocumenteerden’ zoals dat heet. En wereldwijd heeft de Worldbank in 2017 een raming gemaakt dat dit er wel eens 1 miljard kunnen zijn. Dit is dus echt wel een wereldwijde uitdaging. Want bijna alle andere doelen (SDGs) zijn gericht op de mens, maar als je de mens niet erkend of herkend is dat zeer problematisch (met name voor de mens in kwestie).

En dan nu Identity day

Terug naar die 16 september, je snapt nu dat doel 16 met target 9 combineert naar 16.9 en dat daar 16 september vandaan komt.

Een samenwerkingsverband (dat vooral op ID4Africa drijft) heeft deze International Identity Day uitgeroepen. Hierbij geven ze op hun site aan dat, volgens vrije vertaling: ‘bewijs dat je bestaat (je identiteit) is een fundamenteel recht en in de praktijk pure noodzaak voor het  mens-zijn, zeker in de context van de digitalisering van de samenleving’.

Met de laatste zinsnede geven ze al aan dat je ook online een juridisch houdbare identiteit nodig gaat hebben als de samenleving meer digitaliseert. Helaas wordt dan de digitale identiteit wel eens verward met de juridische identiteit. Maar je ziet wel dat als je in het gewone maatschappelijke verkeer moet kunnen aantonen dat jij jij bent (juridisch houdbaar), dat dit online ook een noodzaak wordt. Dat is dan de digitale identiteit in welke vorm dan ook (een pasje, een account, je vingerafdruk, een digital wallet, …).

Waarom dan deze dag?

Door deze Identiteit Dag uit te roepen vraagt men meer aandacht voor het doel 16.9, dat iedereen als persoon erkend en herkend wordt (voor de wet, door de staat, in de samenleving).

What is ‘Identity Day’?

The 16^th of September is Identity Day again. You may have heard of it, or not, but what exactly is this Identity day, and why the 16^th of September?

Well, some (long) time ago the United Nations was thinking on how to make this world a better place and they came up with Sustainable Development Goals (SDG). There are 17 in total, and they al contain ambitions for 2030. For example: Goal number 16 promotes Peace, Justice and Strong Institutions. This Goal then has 12 Targets that together promote peaceful and inclusive societies, where everybody has access to justice with ‘effective, accountable and inclusive institutions at all levels’. From these 12 the target number 9 is to have a legal identity for all, including birth registration, by 2030.

You may think ‘huh, legal identity???’

Legal identity means you get recognized by the state and hence by courts of law, police, and other crucial institutions. Without a legal identity you potentially don’t have legal representation, the state does not recognize you (no pension, no welfare, no passport) and other institutions may not help you (hospitals, insurance, banks, telco’s).

It is very difficult for our Western perspective to understand that this can be an issue, but even in the Netherlands we have a lot of ‘undocumented persons’ (40,000 according to estimates). And globally the WorldBank estimated in 2017 that there are over 1 billion people who do not have a legal identity. So this is a (global) challenge.

And now Identity day

But back to the date: guess what: Goal 16 with Target 9 equals 16.9, the 16^th of September.

A coalition (mainly driven bij ID4Africa) has declared that this will be International Identity Day. From the site ‘Having proof of one’s identity is a fundamental right, and a practical necessity for the human experience, especially in the context of digital transformation of society’. And in that last part the digital society appears, where equal need is for a digital identity.

Some erroneously mix the legal identity with the digital identity (the former being more foundational and related to civil registry), but you can see that it makes sense that if a legal identity is needed, this would then also translate in digital recognition of your identity, through a digital identity of some form (card, account, wallet, biometrics, …).

And what does it mean?

Through designating this day the coalition hopes that the right to legal identity will receive more attention and awareness in general, and efforts to ensure reaching this goal will be increased.

SonicBee Verkrijgt NEXIS Platinum Partnerschap

Nexis GmbH heeft SonicBee met ingang van 1 augustus 2022 de status van platinum partner toegekend. Toen SonicBee haar dienstenportfolio voor Identity and Access Governance samenstelde, was NEXIS 4 vanaf het begin opgenomen.

“Hoewel we onafhankelijke consultants zijn, was er geen twijfel over samenwerking met NEXIS 4. We zien simpelweg geen beter alternatief om snel zo’n grondige analyse te doen.”, zegt Chief Evangelist André.

Unieke dienstverlening en positionering met NEXIS4-aaS

“We gebruiken klanten met NEXIS4-aaS snel overzicht van de huidige staat van hun Identity Governance Administration. Dit doen we als onderdeel van onze dienst Autorisatie Analyse en IGA Optimalisatie.”, legt Anne uit, CCO bij SonicBee. “Hiermee bieden we een unieke dienst. SonicBee is de enige Nexis-partner in de Benelux en het Ruhrgebied. Daarnaast zijn we wereldwijd de enige partij die NEXIS4-aaS uit de cloud levert met geïntegreerde adviesdiensten. Het feit dat we nu platinum partner zijn, bevestigt deze positie en laat ook zien dat we sterk geloven in dit partnership”.

Een Jaar van Succesvolle Samenwerking

Na een partnership met Nexis GmbH van meer dan een jaar zijn er verschillende projecten samen uitgevoerd. Dit was zeer waardevol. Zowel vanuit ons perspectief als dat van onze klanten. In die periode zijn verschillende consultants van SonicBee NEXIS Expert gecertificeerd.

De Meerwaarde van het Platinum Partnerschap

“NEXIS 4 maakt al vanaf het begin deel uit van ons dienstenportfolio. Wij passen een deel van de IGA-oplossing die Nexis heeft gecreëerd op een unieke manier toe om klanten in zeer korte tijd inzicht te geven in hun Identity & Access Governance. De nauwe samenwerking met Nexis GmbH is zowel zeer plezierig als voordelig gebleken. Het spreekt voor zich dat wij zeer verheugd zijn de platinum partner status te hebben ontvangen!”, aldus Patrick van der Valk, CEO van SonicBee.

Toekomstperspectieven

“Bij Nexis zijn we er trots op SonicBee als een competente en waardevolle partner in de Benelux te hebben. We kijken uit naar vele spannende projecten met hun geweldige team van consultants in de toekomst,” aldus Ludwig Fuchs, CEO van Nexis GmbH.

NEXIS 4 Platinum Partner Status

Nexis GmbH has granted SonicBee the status of platinum partner as of the 1^st of August 2022. When SonicBee created her service portfolio for Identity and Access Governance, NEXIS 4 was included from the start.

“Although we are independent consultants, there was no question that we wanted to work with Nexis. We simply don’t see a better alternative to quickly do such a thorough analysis,” says André, Chief Evangelist at SonicBee.

Unique Services and Positioning

“We are using NEXIS4-aaS for all customers who want to have a quick overview of the current state of their Identity Governance Administration as a part of our Autorization Analytics and IGA Optimization service”, Anne (SonicBee’s CCO) explains.

NEXIS4-aaS and Its Benefits

“With this, we offer a unique service. SonicBee is the only Nexis partner in the Benelux and greater Ruhr area and the only party worldwide that is able to provide NEXIS4-aaS cloudbased with integrated advisory services. The fact that we are now a platinum partner confirms this position and also shows that we strongly believe in this partnership”.

One Year of Successful Partnership

After partnering with Nexis GmbH for more than a year, several projects have been performed together. This was very valuable both from our perspective and that of our customers.

Certified Expertise

During that period, several consultants of SonicBee have been NEXIS Expert certified.

Leadership Testimonials

“NEXIS 4 was part of our service portfolio from the start. We apply part of the IGA solution that Nexis has created in a unique way to provide customers with an insight into their Identity & Access Governance in a very short period. Working closely together with Nexis GmbH has proven to be both very pleasant and beneficial. It goes without saying that we are delighted to have received platinum partner status!”, says Patrick van der Valk, SonicBee’s CEO.

Looking Forward

“We at Nexis are proud to have SonicBee as a competent and valuable partner in the Benelux region. We are looking forward to many exciting projects with their great team of consultants in the future,” according to Ludwig Fuchs, CEO of Nexis GmbH.

Expanding our Horizon in Europe

We are proud to announce that SonicBee opens it’s first location abroad the Netherlands and starts a local subsidiary in Germany. This is fully in line with our goal to become the go-to partner in Europe for IAM consultancy and SaaS services for collaboration in digital ecosystems.

Choosing Regensburg

From the 1^st of August 2022 we start in Regensburg. This emerging tech city with, among other things, a university, charming town centre and good accessibility from, for example, popular business district Munich. This combined with its central location makes it the perfect location for us to serve the DACH region.

Leadership and Goals

Timo Copp has been appointed as director for SonicBee GmbH. Timo comes over from our strategic partner Nexis GmbH, where he has worked for the past four years. He will be serving customers with the full SonicBee portfolio and approach in the near future. Furthermore he will focus on further expanding the business and team.

Get in Touch

Want to know more or schedule a coffee moment with Timo? Don’t hesitate to contact Timo by: timo.copp@sonicbee.de or +49 171 972 77 93

#regensburg #sonicbee #workmilestone #entrepeneurship

Groei in Europa

Met trots kondigen wij aan dat SonicBee haar eerste buitenlandse vestiging opent in Nederland en een lokale vestiging start in Duitsland. Dit is volledig in lijn met ons doel om de go-to partner in Europa te worden voor IAM consultancy en SaaS diensten voor samenwerking in digitale ecosystemen.

Regensburg voor ons Duitse kantoor

Vanaf 1 augustus 2022 starten we in Regensburg. Deze opkomende techstad met o.a. een universiteit, charmante binnenstad en goede bereikbaarheid vanuit o.a. populaire zakendistrict München. Dit gecombineerd met de centrale ligging maakt het voor ons de perfecte locatie om de DACH-regio te bedienen.

Ons team in Duitsland: leiderschap en doelstellingen

Timo Copp is aangesteld als directeur voor SonicBee GmbH. Hij komt over van onze strategische partner Nexis GmbH, waar hij de afgelopen vier jaar heeft gewerkt. Timo zal in de nabije toekomst klanten gaan bedienen met het volledige SonicBee portfolio en aanpak. Daarnaast zal hij zich richten op het verder uitbouwen van de business en het team.

Neem Gerust Contact op

Wil je meer weten of een koffiemoment met Timo inplannen? Aarzel dan niet om contact op te nemen met Timo via: timo.copp@sonicbee.de or +49 171 972 77 93

#regensburg #sonicbee #workmilestone #entrepeneurship

Achieving International Standards

We are proud to announce that today SonicBee received the ISO 27001 certificate from TüV. This means that the information security management system behind both our Advisory and SaaS services such as SynerBee and NEXIS4-aaS are compliant with the international ISO27001 standard for information security management.

Assurance for Our Clients and Partners

By creating processes, procedures, and controls on how to work with (sensitive) data we provide the highest levels of assurance to our customers that their information is protected while working with us. Maintaining our certification also means that our processes and data controls are regularly and independently audited.

Innovation in Compliance

Being a virtual and cloud-based organization, we challenged our auditors from TüV by declaring a lot of ISO 27001 control measures non applicable. As this is quite unique, expect a blogpost on this soon!

Team Effort

We have only been able to get certified thanks to a joint effort of all colleagues at SonicBee. We are proud of the energy, pro-activeness, and innovation within our organization, driving us to continuous improvement of our Advisory- and Managed services.

#innovation #sonicbee #workmilestone #informationsecurity

De Internationale Norm voor Informatiebeveiliging

Met trots kondigen wij aan dat SonicBee vandaag het ISO 27001 certificaat heeft ontvangen van TüV en zijn we ISO 27001 gecertificeerd. Dit betekent dat het information security management system achter zowel onze Advisory- als SaaS diensten zoals SynerBee en NEXIS4-aaS compliant zijn conform de internationale ISO27001 norm voor het beheer van informatiebeveiliging.

Zekerheid voor Klanten en Partners

Door het creëren van processen, procedures en controles over hoe te werken met (gevoelige) data, bieden we de hoogste mate van zekerheid aan onze klanten, dat hun informatie beschermd is terwijl ze met ons werken.

Regelmatige en Onafhankelijke Audits

Het behoud van onze certificering betekent ook dat onze processen en gegevenscontroles regelmatig en onafhankelijk worden geaudit.

Innovatie in Compliance

Omdat we een virtuele en cloud-gebaseerde organisatie zijn, daagden we onze auditors van TüV uit door een groot aantal ISO 27001 beheersmaatregelen niet van toepassing te verklaren. Aangezien dit vrij uniek is, volgt hier binnenkort een blogpost over!

Teaminspanning

We hebben ons alleen kunnen laten certificeren dankzij de inzet van alle collega’s bij SonicBee. Wij zijn trots op de energie, pro-activiteit en innovatie binnen onze organisatie, die ons drijft tot continue verbetering van onze Advisory- en Managed Services.

#innovation #sonicbee #workmilestone #informationsecurity

Top expert Henk Marsman starts at SonicBee!

Experience and Expertise 

Today top expert Henk Marsman starts as principal business consultant at SonicBee. He is a well-known and recognized specialist in the Netherlands and internationally in the field of Identity and Access management (IAM), with specific attention to Identity & Authentication. For more than 20 years Henk is active in the cybersecurity domain. Besides his knowledge, his people orientation is characteristic. Henk was IAM Global Service Owner at Rabobank and before that he worked as managing consultant of the Dutch IAM practice of Deloitte. Henk is a frequent speaker at events organized by KuppingerCole, Heliview and Gartner, among others.

Henk’s Role and Focus at SonicBee

As principal business consultant at SonicBee Henk will further shape the domain of digital identity and authentication, complementing the already strong domain of authorization and access. In this, he will focus on developing vision, strategy and solutions for customer matters on this topic and on increasing the quality of our services at customers.

A Note and Perspective from Henk Marsman

“I want to stay attached with the practice and want to know what is going on. That is why I will be involved in customer projects as a principal business consultant. In addition, I am going to focus on the further research and development of our field: Identity and Access Management. How do you look at digital identities and access provision from different perspectives, at all levels? What appeals to me at SonicBee is that themes are not only approached from a security perspective, but that we look at the opportunities of digitization, such as operational improvement and interoperability. It is important to keep an eye on both the opportunity and the risk and to continuously test how digitalization affects that”

“I will certainly not only approach identity management from a technological or security perspective, but I also look at the social impact and ethical aspects, for example. What is the role of all of us when it comes to our digital identity? Because it’s about our identity and I think it’s insufficient if only specialists or specific sectors determine its future. On this subject, I would prefer to create a social debate in which government, business and citizens can discuss what they find important. To determine together how the digital identity should be shaped. Perhaps somewhat ambitious, but I can contribute by blogging, giving presentations and publishing. As far as I’m concerned, experts should explain much more about the real consequences in everyday life in ordinary people’s language. At SonicBee I get the space and the people around me to be able to do this.”

Happy to Have you on Board, Henk!

Patrick (CEO) en Anne (CCO) say that Henk is of real value to SonicBee:

“With Jacoba Sieders on the Advisory Board and André Koot and Henk Marsman as principal consultants SonicBee has a tremendously strong knowledge base to help organizations both strategically and pragmatically to successfully exploit the opportunities of IAM. We are very proud of this. Where André is one of the top experts in the field of Access Management and Zero Trust, Henk is in the field of Digital Identity and Authentication. We expect this to lead to a lot of synergy and new great ideas.”

Welcome Henk! We are very happy and proud that you are joining the team.

Top expert Henk Marsman start bij SonicBee!

Vandaag start top expert Henk Marsman als principal business consultant bij SonicBee. Hij is een bekend en erkend specialist in Nederland en internationaal op het gebied van Identity and Access management (IAM), met daarbinnen specifieke aandacht voor Identity & Authentication. Al meer dan 20 jaar begeeft Henk zich in het cybersecurity domein. Behalve zijn kennis, is zijn mensgerichtheid kenmerkend. Henk was IAM Global Service Owner bij de Rabobank en heeft daarvoor onder andere gewerkt als managing consultant van de Nederlandse IAM practice van Deloitte. Henk is een veel geziene spreker bij  evenementen van onder andere KuppingerCole, Heliview en Gartner.

Als principal business consultant bij SonicBee gaat Henk het domein van digital identity en authenticatie verder vormgeven, in aanvulling op het al sterk staande domein van autorisatie en access. Daarin richt hij zich op het ontwikkelen van visie, strategie en oplossingen voor klantvragen op dit onderwerp. Bovendien gaat hij bijdragen aan het verhogen van de kwaliteit van onze dienstverlening bij klanten. Hij zegt hierover het volgende:

“Ik wil gevoel met de praktijk houden en weten wat er speelt. Daarom zal ik als principal business consultant bij klantprojecten betrokken zijn. Daarnaast ga ik me richten op het verder onderzoeken en ontwikkelen van ons vakgebied: Identity and Access Management. Hoe kijk je vanuit verschillende invalshoeken naar digitale identiteiten en toegangsverlening op allerlei niveaus? Het spreekt me aan bij SonicBee dat thema’s niet alleen vanuit security perspectief worden benaderd, maar dat juist naar kansen van digitalisering, zoals operationele verbetering en interoperabiliteit, wordt gekeken. Het is belangrijk dat we zowel de kans als het risico in het oog houden en continu toetsen hoe de digitalisering zich daarin vormt en effect heeft.”

“Ik zal identity management zeker niet alleen benaderen vanuit een technologisch of security perspectief. Maar ik kijk bijvoorbeeld ook naar de maatschappelijke impact en ethische aspecten. Wat is de rol van ons allemaal als het gaat om onze digitale identiteit? Het gaat namelijk om ónze identiteit en ik vind het onvoldoende als alleen specialisten of specifieke sectoren de toekomst daarvan bepalen. Op dit onderwerp zou ik het liefst een maatschappelijk debat creëren waarin overheid, bedrijfsleven en burger in gesprek treden over wat ze belangrijk vinden. Om zo samen te bepalen hoe de digitale identiteit vorm moet krijgen. Misschien wat ambitieus, maar met bloggen, presentaties en publicaties kan ik hier bijdragen. Experts moeten wat mij betreft veel meer uitleggen wat echte gevolgen in het dagelijks leven kunnen zijn in gewone mensentaal. Bij SonicBee krijg ik de ruimte en de mensen om mij heen om dit te kunnen doen.”

Patrick (CEO) en Anne (CCO) geven aan dat Henk een echt aanwinst is voor SonicBee:

“Met Jacoba Sieders in de Raad van Advies en André Koot en Henk Marsman als principal consultants heeft SonicBee een enorm sterk kennisfundament om zowel op strategische als pragmatische wijze organisaties te helpen om de kansen van IAM succesvol te benutten. Hier zijn wij erg trots op. Waar André één van de top experts op het gebied van Access management en Zero Trust is, is Henk dat op het gebied van Digital Identity en Authentication. Wij verwachten dat dit tot enorm veel synergie en nieuwe mooie ideeën leidt.”

Welkom Henk! We zijn erg blij en trots dat je het team komt versterken.

The Challenge for Modern IAM

Identity and access management (IAM) has become one main challenge for companies over the last decade. Most of the medium-sized and large organizations operate standardized IAM infrastructures in order to comply with regulations and improve the level of IAM automation.

The Rise of Attribute-Based Access Control (ABAC)

A recent trend is the application of attribute-based access control (ABAC) for automatically assigning permissions to employees. The success of ABAC, however, heavily relies on the availability of high-quality attribute definitions and values.

Challenges for IAM

Identity and access management (IAM) has become one main challenge for companies over the last decade. Most of the medium-sized and large organizations operate standardized IAM infrastructures in order to comply with regulations and improve the level of IAM automation.

The Emergence of ABAC

A recent trend is the application of attribute-based access control (ABAC) for automatically assigning permissions to employees. The success of ABAC, however, heavily relies on the availability of high-quality attribute definitions and values.

De SynerBee AFAS koppeling is gecertificeerd!

SynerBee voor medewerkers biedt geautomatiseerd toegangsmanagement voor medewerkers en vereenvoudigd daarmee samenwerking. Om dit te realiseren heeft het ontwikkelteam van SonicBee een koppeling gemaakt die AFAS met een Active Directory (AD) verbind. Deze koppeling is nu officieel door AFAS gecertificeerd en toont hiermee kwaliteit en vertrouwen van AFAS in SynerBee voor medewerkers als complementair element voor AFAS klanten.

Wat is SynerBee en waarom?

Wij vinden dat alle bedrijven gebruik moeten kunnen maken van professionele oplossingen voor slimme en veilige toegang om digitaal samen te werken, maar zagen een gebrek aan pragmatische en innovatieve oplossingen voor middelgrote organisaties. Daarom startte we met de ontwikkeling van SynerBee. Het schaalbare SaaS-oplossingenportfolio dat SonicBee heeft ontwikkeld om middelgrote organisaties de mogelijkheid te bieden dit te doen.

De weg ernaar toe

De afgelopen anderhalf jaar is er door het scrumteam van SonicBee hard gewerkt aan de ontwikkeling van SynerBee. In eerste instantie is er hard gewerkt aan een goed fundament om de schaalbare elementen op een effectieve en zeer veilige manier vanuit de cloud te kunnen aanbieden. Ondertussen werd de product visie en agile werkwijze verder aangescherpt. Vervolgens werden backlogitems opgepakt om MMP-1 op te leveren.

In november was het dan zover: Het eerste element SynerBee voor medewerkers is naar de markt gebracht.

SynerBee voor medewerkers en de AFAS koppeling

SynerBee voor medewerkers biedt een oplossing voor de problematiek rondom het geven en -intrekken van toegang voor medewerkers van de eigen organisatie (instroom – doorstroom – uitstroom proces). Door een slimme koppeling via het Intelligent Access Platform van SynerBee worden nieuwe werknemers aangemaakt in AFAS als HR bronsysteem, automatisch voorzien van een account in Microsoft Azure AD. Meer over deze koppeling is te lezen op de AFAS partnerportal of de SynerBee website.

Om gecertificeerd te raken moest de SynerBee AFAS koppelingen aan een aantal voorwaarden voldoen bijvoorbeeld rondom technische werking en veiligheid. In mei heeft het development team een flitsende technische demo gegeven aan AFAS Systemintegrator Eric Zwaal, die zelf enorm veel kennis en ervaring heeft op het gebied van software ontwikkeling. Hij beoordeelde dat SynerBee een waardevolle aanvulling is voor klanten van AFAS. Bovendien gaf hij aan onder de indruk te zijn van de gerealiseerde koppeling. Een groot compliment voor ons development team!

Wat betekent de AFAS koppeling

Het is belangrijk dat de leverancier van de software waarmee SynerBee koppelt ook de meerwaarde ziet en wij een goede samenwerking met AFAS hebben. Daarbij kunnen we zo sneller inspelen op updates en upgrades van AFAS. Dit is natuurlijk wel zo handig voor SynerBee-AFAS klanten.
Ook wordt SynerBee nu vermeld op de partnerwebsite van AFAS en hebben we tijdens events toegang tot het AFAS netwerk. Zo kunnen organisaties die AFAS gebruiken en op zoek zijn naar een oplossing voor hun toegangsbeheer ons nog beter vinden.

Meer informatie over SynerBee lees je op: synerbee.nl

#innovation #sonicbee #partnership #entrepeneurship #AFAS #SynerBee

Also interesting:

• Diary day 1 of an EIC22 passenger by André Koot
• Diary day 2 of an EIC22 passenger by André Koot

Vijf nieuwe NEXIS 4 helden

Deze maand hebben we vijf nieuwe ‘NEXIS 4 Hero’s’, vijf SonicBee consultants zijn NEXIS 4 Expert gecertificeerd! We zijn erg trots dat Susanne, Willemijn, Diederik, Edgar en Jeroen na een vierdaagse training en uren studeren de zwarte eindtoets hebben gehaald.

De waarde van het NEXIS 4 Expert certificaat

Met dit certificaat zijn ze nu alle vijf nu erkende NEXIS Experts, in staat om de software te gebruiken voor IGA analytische projecten bij onze klanten. Inmiddels is het merendeel van de business consultants van SonicBee NEXIS 4 gecertificeerd.

In deze training leerden de business consultants NEXIS 4 in zijn volle potentie te gebruiken. Van een eerste analyse op autorisaties en rollen, tot het volledig configureren van workflows en policies.

Een revolutionaire manier om de huidige situatie in kaart te brengen

SonicBee biedt de unieke dienst ‘Autorisatie Analyse’ aan. Dit is een dienst waarmee klanten binnen twee maanden inzicht krijgen in de huidige situatie en optimalisatiemogelijkheden rondom IGA. Deze inzichten worden vervolgens samengevat in een adviesrapport, de ‘IAM Health Check’.

Hoe dit in zijn werk gaat? In de eerste plaats ontrafelen onze gecertificeerde business consultants met behulp van NEXIS 4 een bronsysteem, zoals een AD, op basis van data-analyse. Vervolgens interpreteren onze consultants op basis van hun specifieke kennis van identiteiten, rollen en autorisaties deze data. Op basis daarvan bieden ze vervolgens inzicht en aanbevelingen over effectieve optimalisatie van een huidige IAM-situatie. Op de traditionele manier, via inventarisatie door informatieanalyse, kan dit proces wel jaren duren. Dankzij de integratie van NEXIS 4 in onze dienstverlening zijn we in staat onze klanten in 8 weken te voorzien van diepgaande inzichten. Dit is niet alleen veel sneller en kostenefficiënter, het resultaat is ook veel actueler en accurater.

Een uniek aanbod

SonicBee is de enige NEXIS-partner in de Benelux en het grotere Roergebied met gecertificeerde consultants. Daarnaast is SonicBee de enige ter wereld die NEXIS4-aaS aanbiedt. Deze cloud-aanpak sluit aan bij de wensen van onze klanten en biedt veel praktische voordelen voor organisatie op zowel beheer- als beveiligingsniveau.

Daarnaast heeft SonicBee twee unieke klantgerichte product-service aanbiedingen ontwikkeld waarin NEXIS software is geïntegreerd; ‘Autorisatie Analyse’ en ‘IGA Optimalistie’. De business consultants leveren deze diensten volgens een vaste, bewezen aanpak met een hoogwaardige eindpresentatie. Op deze manier worden klanten niet lastig gevallen met ingewikkelde processen of systemen, maar krijgen ze gefundeerde inzichten en aanbevelingen waarmee ze verder kunnen.

Met vijf nieuwe gecertificeerde NEXIS-experts kunnen we nog meer klanten hulp bieden bij het verkrijgen van inzicht in hun autorisaties en de mogelijkheden van RBAC (Role Based Access Control).

Bent u geïnteresseerd in een demo? Meld je dan aan via de button hiernaast.

Five new NEXIS 4 heroes

This month we have five new Nexis 4 hero’s as five SonicBee consultants became NEXIS 4 Expert certified. We are very proud that Susanne, Willemijn, Diederik, Edgar and Jeroen completed the though test after a four day training and hours of studying.

The value of the NEXIS 4 Expert certificate

This certificate means that they are recognized NEXIS Experts and are thus able to use the software for IGA analytic projects at our customers. Now most of the business consultants of SonicBee are NEXIS 4 certified.

In this training the business consultants learned to apply NEXIS 4 in its full potential. From an initial analysis on autorizations and roles, to fully configuring workflows and policies.

An revolutionary way to map the current situation

SonicBee offers the unique service ‘Autorization Analytics’ whereby, within two months, customers are provided with insight into the current situation and optimization opportunities around IGA. This advisory report is called the ‘IAM Health Check’.

How this works? By our business consultants using NEXIS 4, a source system such as an AD is unraveled very intelligently based on data analysis. Through the specific knowledge of identities, roles and autorizations, the SonicBee consultants interpret this data and offer customers insight and recommendations on how to optimize the current situation. A process that in the traditional way (inventory by information analysis) may takes years. Now customers are provided with in-dept insights within weeks.

Apart from being much faster and cost efficient, the outcome is much more timely and accurate.

A unique offering

SonicBee is the only NEXIS partner in the Benelux and greater Ruhr area with certified consultants. In addition, SonicBee is the only one in the world that offers NEXIS4-aaS. This cloud approach fits the needs of our customers and offers many practical benefits to organization both on management and security level.

In addition, SonicBee has developed two unique customer-focused product-service offerings integrating NEXIS software; Autorization Analytics and IGA Optimization. The business consultants deliver these services according to a fixed, proven approach with a high-quality final presentation. In this way customers are not bothered with complicated processes or systems, but get well-founded insights and recommendations so they can move forward.

With five new certified NEXIS experts, we can offer even more clients help in gaining insight into their authorizations and the possibilities of RBAC (Role Based Access Control).

Are you interested in a demo? Then sign up using the button on the right.

The second day of KuppingerColes European Identity and Cloud Conference started with a number of presentation from EIC sponsors. Glad to report that these presentations are not run of the mill commercial talks, there is some real substance. Explaining why these companies are in Identity, or how they see their added value. Good to see that there are unique selling points and unique views. Makes it more relevant for ‘end user’ companies to investigate what they really need for support.

What struck me most was something completely different. A very small detail of some commercial talk: Classification. One of the keynote presentations was classified as ‘confidential’. Makes you wonder: Are we witnessing a security breach? Or have the visitors to the conference been leveled-up in clearance level? From a regular audience to an audience that can be informed about secrets or at the very least about company confidential information? Or have we, as a security community, last all value of the conceot of classification? Did we forget about the concept of classification? That security controls should be put in place in order to mitigate the risks connected to the risklevel connected to the level of classification?

I will not investigate this issue, just dropping the question, that’s all ;)

Two prominent topics in the keynote sessions (and later in the tracks) were about Zero Trust (it keeps getting back) and Identity Proofing. How can we verify that you are indeed the rightful user of a digital identity? How did you get it and how do you use it? What is the level of assurance (LOA as we call it…)?

The German CIDAAS company showed a practical implementation of an online Identity verification service and afterwards, in track 3, Henk Marsman of Rabobank (Netherlands) showed a concrete implementation of identity proofing, in a real world scenario. Proving that it’s not just a theoretical concept.

Following the keynotes, several tracks started, each with their own topic. Varying from ‘Identity Fabric’ to multi-cloud and Zero Trust to Identity. Since I think that Zero Trust is well known by know ;D, I decided to follow the Identity Fabric track. Identity Fabric is the KuppingerCole concepot of a holistic approach of IAM. Looking at IAM as a whole, Privileged Access Management, Workforce IAM, and CIEM (previously called B2B and CIAM access). It encompasses architecturem, processes and tools, so it’s a broad view on the world of IAM.

Interesting about Martin’s talk is some concepts that we at SonicBee really understand:

• API first – IGA will be around for a while, but access to API’s is nearing fast!
• Flexibility – connecting to Martin’s composable enterprise (see yesterday)
• Policy Management – a concept we fully agree with, Policy Based Access Control is the way to go (although: don’t forget concept 1, in my opinion legacy (like IGA) will be around for at least 15-20 years… I predicted that RBAC is end-of-life, but I made that prediction around 2008…).
• Dynamic access control – roles are static and we need dynamics in the new world.
• Decentralization – central IAM systems will loose their appeal, federation and decentralization will develop fast (although, see my RBAC prediction…)

Then, a great interview with Carsten Fisher, CISO from Deutsche Bank by Berthold Kerl from KC. A few no-brainer security controls:
MFA is definitely the one solution to compensate the risk of lacking controls in the end-user space. No matter the level of security awareness in an organization, people will click. MFA is the easiest way to restrict the risk. Perhaps inconvenience is the price to pay. Implement to secure access to infrastructure and components. No-brainer, ever better, a quick win. It doesn’t make you any money, but is limits risk!

PAM, privileged access management is definitely the one solution to implement to secure access to infrastructure and components. A no-brainer, ever better, a quick win. It doesn’t make you any money, but is limits risk!

An interesting example of a previous hype control: User Behavior Analasys (UBA) hasn’t proven effective. It’s okay when behavior hardly changes, but when in a paradigm shift, like a lockdown with people suddenly working from home, a UBA component results in a magnitude of false positives.

Next presentation was by Matthias Reinhardt from KuppingerCole, describing the difference in the IGA market space for Large and Small companies. Biggest difference: The functional requirements are similar, but the non-functional differ. Great lesson for anyone interested in that space. There seems to be ample room in the market for SME IGA vendors…

Last presentation I caught was the presentation from my old friend Henk Marsman. And that was special, because some of the fellow members of IDPro decided to have an unconference at the Hofbrauhaus.

And yes, you can work there and have a Weizen when it is 27 degrees.
It was great having this conversation with peers from different countries, discussing IAM, sharing knowledge and enjoying the company.

Tomorrow more in depth sessions. Curious to see what’s in store for us!