Uitleg bij de Maturity scan

Transcriptie

1 Uitleg bij de Maturity scan Het mdel p hfdlijnen Het maturity-mdel gaat uit van vier categrieën die in het nderstaande plaatje hrizntaal zijn weergegeven. De categrieën wrden bepaald dr de scres die een instelling haalt p de aspecten die verticaal zijn weergegeven. De scres wrden bepaald met behulp van de vragenlijst die hiernder met maturity scan wrdt aangeduid. De betekenis van de maturity niveaus is als vlgt (bij ieder niveau zijn alleen de extra eisen/kenmerken beschreven die kmen bvenp die van de vrgaande niveaus): Ad Hc Een instelling heeft geen fcus p identity management, maar wellicht wel een aantal praktische zaken geregeld, zals één instellingsaccunt vr meerdere diensten (misschien zelfs single sign-n), en autrisatie per applicatie. Fcused Een instelling heeft een duidelijke fcus p identity management. Dat wil zeggen dat helder is welke systemen leidend zijn vr het bestaan van identiteiten en vr aanvullende infrmatie bij identiteiten, dat de prvisining naar delsystemen is gerealiseerd en er een beleid is vr identity management waarin bijvrbeeld de vlgende zaken zijn benemd: regels vr life cycle management, regels vr tegang afhankelijk van lkatie en/f type werkplek, een rllenmdel uitspraken ver verantwrdelijkheden, beheer en nderhud van regels en rllenmdel, Vndellaan GH Utrecht The Netherlands T +31 (0) F +31 (0) E inf@igi.nl W B A N K I B A N NL37ABNA B I C ABNANL2A KVK B T W NL B01

2 rapprtages en auditing welke applicaties wrden aangeslten, he met federatief identity management wrdt mgegaan. Standardized Een instelling heeft als nderdeel van de ingerichte prvisining een systeem beschikbaar dat als Identity Prvider (IdP) kan dienen bij het aansluiten p een federatie (de SURFfederatie). Het beleid is vertaald naar ged beschreven prcessen en prcedures, die z ged mgelijk zijn geïmplementeerd. Integrated De prcessen en prcedures zijn niet alleen geïmplementeerd, maar er is k cntrle p de implementatie en ze kunnen wrden herzien waar ndig. De kwaliteit van de data uit de brnsystemen f via andere inver is gewaarbrgd dr checks en prcedures. De beveiliging van de identity managementsystemen krijgt de bendigde aandacht en er is aan de wettelijke eisen vldaan. Uitleg bij de aspecten Single lgn Autrisatie Geïdentificeerde brnsystemen Beleid Prcessen en prcedures Geschikt systeem IdP Kwaliteit van de identiteiten Implementatie van prcessen en prcedures Veiligheid Vr belangrijke applicaties bestaat er een generiek autenticatiemiddel Tegang tt applicaties is selectief Vr alle identiteiten is een brnsysteem aan te wijzen; Er is een beleid p het gebied van identity management waarin delen zijn beschreven, verantwrdelijkheden zijn aangegeven en is aangegeven welke systemen nderdeel uitmaken van identity management Prcessen en prcedures zijn beschreven en z ged mgelijk geimplementeerd Er is een systeem met gecnslideerde identiteiten beschikbaar, welke een integratiemgelijkheid heeft vr federatief identity management? Is het systeem vldende beschikbaar? Zijn alle identiteiten aanwezig, is vr alle identiteiten alle relevante infrmatie ingevuld. Is dit verifieerbaar? En wrdt het geverifieerd? Is alle infrmatie actueel? Zijn prcessen en prcedures geïmplementeerd? Wrden prcessen en prcedures geactualiseerd? Vertruwelijkheid en integriteit van identity management systemen en IdP-systeem. Bepaling van de scre De maturity wrdt bepaald dr het geven van een scre per vraag. Deze lpt van 0 tt en met 3. De vragen hebben een gewicht, waardr een gewgen scre per vraag wrdt bepaald. Deze gewgen scres wrden per aspect pgeteld en genrmeerd naar een scre vanaf 0 tt en met 10. Indien een scre per aspect hger f gelijk is aan 6 is de instelling p dat punt mature. Het eerste aspect (gerekend van bven naar beneden) waarp een instelling nder de 6 punten scrt bepaalt de verall maturity, die dan wrdt bepaald drdat alleen de bvenliggende aspecten meetellen vr de verall maturity. Dus als een

3 instelling veral 6 f meer scrt behalve vr beleid is de maturity ad hc. Als dan dit aspect wrdt verbetert is de maturity in één keer gewijzigd naar integrated. In de tabel hiernder zijn alle vragen weergegeven met de wegingsfactr per vraag en de manier waarp punten wrden tegekend.

4 Maturity scan A Simple sign n # Vraag Antwrd Bepaling scres 1 Is er een unieke instellingsidentiteit 1 scre is 0 f 3 gedefinieerd? 2 Vr welke systemen wrdt dit accunt gebruikt? a. b. gebruikersnetwerk c. ELO d. intranet e. tentamensystemen e.d. f. draadls netwerk g. verig 1 0 systemen = 0 punten 1-3 systemen = 1 punt 4 systemen = 2 punten 5 f meer systemen = 3 punten He meer systemen er gebruik van maken, des te grter de acceptatiegraad binnen de instelling en des te grter de kans dat een medewerker f student haar/zijn instellingsid regelmatig gebruikt; dat laatste is een pre vr federatief identity 3 Welke vrmen van authenticatie gebruikt u vr dit accunt? a. gebruikersnaam/wachtwrd b. ne time passwrds c. tkens d. certificaten 4 Zijn er ng andere identiteiten dan die instellingsidentiteit binnen de rganisatie? 5 Z ja, kan een van deze accunts duidelijk als hfdaccunt wrden aangewezen? 6 Kunt u meerdere / andere vrmen van authenticatie aanbieden afhankelijk van een rl? management 1 alleen zwakke authenticatie = 2 punten k sterke authenticatie = 3 punten zwak= userid/wachtwrd Met sterke authenticatie naast zwakke kunnen k systemen met gevelige infrmatie wrden gebruikt. Dit is k een pré vr federatief identity management 1 Nee = 3 punten Ja = 1 punt 1 Als er een hfdaccunt is dan 3 punten, als het antwrd p 4 nee is, dan autmatisch 3 punten

5 B Autrisatie 1 Vr welke applicaties gebruikt u autrisatie? a. b. gebruikersnetwerk c. ELO d. intranet e. tentamensystemen e.d. f. draadls netwerk g. verig 2 Is de autrisatie ad hc bepaald f gekppeld aan rllen en/f grepen? 3 Is de autrisatie centraal f decentraal (vanuit applicatiebeheer) geregeld? 4 Wat vr typen identiteiten heeft u? a. medewerkers b. studenten c. externen d. alumni e. anders 5 Kunt u vr applicaties en federatief identity management) nderscheid maken tussen deze identiteiten? 1 0 systemen = 1 punt 1-3 systemen = 2 punten 4 f meer systemen = 3 punten Het antwrd is slechts een indicatie vr het vlden aan autrisatievragen van diensten aanbieders p de SURF-federatie (het gaat dus m ervaring met het aanbrengen van autrisatie) 2 ad hc = 1 punt gekppeld aan rllen en grepen = 3 punten 2 centraal = 3 punten decentraal = 1 punt 2 3 typen = 1 punt 4 typen = 2 punten meer = 3 punten 2 ja = 3 punten C Brnsystemen 1 Wat vr brnsystemen gebruikt u? a persneelssystemen b studenteninfrmatiesystemen c handmatige inver d verig 2 Wie mgen bij handmatige inver gegevens muteren? 3 Is er per identiteit een leidend brnsysteem aan te wijzen? 4 Bent u in staat identiteiten te verrijken? (bijvrbeeld p verzek van een SP) 1 persneelssysteem + sis = 2 punten meer = 3 punten 1 verantwrdelijkheden belegd = 3 punten niet belegd = 0 punten 1 ja = 3; nee =0 1 verrijking mgelijk = 2 punten k verantwrdelijkheden belegd = 3 punten

6 D Beleid 1 Wat ziet u als het del van federatief identity management? 2 Heeft u een identity managementbeleid vr: a. Autrisatie b. Authenticatie c. Prvisinering d. Standaardisatie e. Federatief identity management f. Privacy 3 Wrden in dit beleid k verantwrdelijkheden belegd? a. Autrisatie b. Authenticatie c. Prvisinering d. Standaardisatie e. Federatief identity management f. Privacy 4 Besteedt u (delen van) identity management uit? 5 Gaat u uit van een identity management-architectuur? 0 altijd 0 punten (telt niet mee) 1 4 f meer = 3 punten 3 = 2 punten 1-2 = 1 punt 1 4 f meer = 3 punten 3 = 2 punten 1-2 = 1 punt 0 altijd 0 punten (telt niet mee) 6 Heeft u een beveiligingsbeleid? 7 Bevat uw beveiligingsbeleid een adequaat wachtwrdbeleid? 8 Is er een lifecycle beleid rndm accunts? 9 He vaak wrden uw identity management en beveiligingsbeleid ge-update? 1 is een termijn bepaald = 3 punten 10 He actueel is uw beleid? 1 indien in de pas met antwrd p vrige vraag = 3 punten 11 Wrdt het beleid nageleefd? 1 ged = 3 punten middelmatig =2 slecht = 0 punten 12 Is er cmmitment rndm het beleid? 13 Bent u bereid beleid aan te passen indien ndig m aan te sluiten bij Federatief Identity Management? 14 Is er een beleid rndm het evalueren en actualiseren van uw prcessen en prcedures?

7 E Prcessen en prcedures 1 Zijn er prcessen gedefinieerd vr het registreren van: a. nieuwe medewerkers b. nieuwe studenten c. externen die een accunt ndig hebben d. alumni e. nieuwe systemen 2 Zijn er vaste regels vr gebruikersnamen, e- mailadressen etc.? 3 Zijn er prcessen vr verrijking? a. dr ndersteunend persneel b. selfservice 4 Zijn er prcessen vr lifecycle management geïmplementeerd? 5 Zijn er prcessen vr beschikbaar stellen van identiteiten aan derden? 6 Zijn er prcessen vr genereren van nieuwe wachtwrden: a. via supprt b. via selfservice met het ude wachtwrd c. via een set van vragen d. sms/ 7 He vaak ververst u gegevens vanuit brnsystemen? 1 4 f meer = 3 punten 3 = 2 punten 1-2 = 1 punt 1 2 = 3 punten 1 = 1 punt geen = 0 punten 1 vr alle identiteiten = 3 punten deels = 1 punt geen = 0 punten (k vergeten wachtwrden) 1 real time = 3 punten (enkele minuten f minder) < 2 uur = 2 punten dagelijks = 1 punt

8 8 He vaak ververst u gegevens d.m.v. verrijking f selfservice? 9 He actueel zijn uw prcessen en prcedures? 10 He vaak wrden ze gereviewed? 11 Zijn er rapprtages beschikbaar ver: a. aantal identiteiten b. aantal wijzigingen p identiteiten c. aantal externen 12 Welke cnclusies wrden aan de rapprtages verbnden 1 real time = 3 punten (enkele minuten f minder) < 2 uur = 1 punt 1 laatste jaar = 3 punten 1-2 jaar = 2 punten 1 jaarlijks = 3 punten ad hc = 1 punt niet = 0 punten deels = 2 punten ad hc / p verzek = 1 punt 1 geen =0 punten wel = 3 punten F IdP systeem? 1 Welk systeem gebruikt u vr 0 altijd 0 punten (telt niet mee) authenticatie en autrisatie in federatief identity management? Bijvrbeeld: a. LDAP b. Active Directry c. Database (welke?) 2 Welk pakket gebruikt u vr identity management? 1 geen f hutje tuwtje = 0 punten anders 3 punten 3 Is dit systeem p een gestandaardiseerde manier aan te sluiten p federatief identity management? 2 ja = 3 punten 4 Welke standaard prefereert u? a. SAML b. A-select c. ADFS d. verig 5 Is uw IdP-systeem vldende beschikbaar? 6 Welke beschikbaarheid biedt u? 1 geen = 0 punten standaard = 3 punten 1 1 cntinu = 3 punten alleen 's nachts geen garantie = 2 punten business uren = 1 punt niet bepaald f lager = 0 punten

9 G Kwaliteit van de gegevens 1 Zijn uw gegevens accuraat? 2 Zijn uw gegevens vlledig? 3 He snel wrden uw gegevens aangepast na een wijzigingsverzek? 4 Wrden de gegevens geverifieerd tegen externe vertruwde systemen? (denk aan IB-grep, GBA) 1 real time = 3 punten (enkele minuten f minder) < 2 uur = 2 punten dagelijks = 1 punt H Implementatie van prcessen en prcedures 1 Zijn de prcessen en prcedures duidelijk mschreven? 2 Wrden de diverse prcessen en prcedures nageleefd? 3 Is er tezicht p het naleven van de prcessen en prcedures? 4 Zijn de prcessen en de prcedures bekend bij de juiste persnen? deels = 2 punten deels = 2 punten deels = 2 punten

10 I Veiligheid 1 Det u aan 'awareness' rndm beveiliging en met name wachtwrden? 2 Is de veiligheid te verifiëren dr een externe partij (audits)? 3 Laat u wel eens intrusin tests uitveren p uw identity managementmgeving 4 Is uw identity managementmgeving geclassificeerd? 5 En zijn de bijbehrende maatregelen getrffen? 6 Heeft u een delstelling bepaald vr de identity managementvrzieningen cnfrm de WBP? 7 Vldet uw dienst aan de delstelling (wrden geen neigenlijke gegevens geregistreerd)? 8 Wat wrdt er in lgfiles pgeslagen, he lang en wie heeft er inzage?