WHITE PAPER Verandering en complexiteit beheren met Identity & Access Governance Er is maar één ding constant en dat is verandering. Tegenwoordig is deze uitdrukking sterker van toepassing dan ooit tevoren. Bedrijven moeten hun systemen beheren onder steeds complexere en voortdurend veranderende omstandigheden. Identity & Access Governance (IAG) staat in de voorhoede van het voortdurende gevecht om effectief om te gaan met constante verandering. Welke invloed hebben verandering en complexiteit op uw benadering van identiteit, beveiliging en governance? Hebt u de noodzakelijke tools om deze uitdagingen aan te gaan? Is uw organisatie klaar voor de wereld van morgen? Als u naar de toekomst kijkt, moet u rekening houden met diverse aandachtsgebieden. IAG oplossingen lijken misschien een last die u wordt opgedrongen door toenemende regelgeving en complianceproblemen, maar als u ze effectief inzet, vormen IAG oplossingen de drijvende kracht waarmee u de uitdagingen van een complexe en veranderende wereld aankunt. Compliance met overheidsvoorschriften is een belangrijk corporate initiatief geworden, doordat de complexiteit en omvang van de regelgeving almaar blijft toenemen. Ook zoeken organisaties vanwege toenemende cyberaanvallen en bedreigingen van binnenuit naar een meer effectieve, meer duurzame en beter schaalbare aanpak. Een aanpak die doelstellingen op het gebied van compliance realiseert en tegelijkertijd het beveiligingsprofiel van de organisatie verhoogt. In deze white paper kijken we naar een aantal uitdagingen waarmee moderne organisaties te maken krijgen wanneer zij proberen een complianceprogramma te ontwikkelen en aan te passen voor vandaag maar ook voor de toekomst.
WHITE PAPER Inhoudsopgave Inleiding... 1 Verandering doorvoeren... 1 Definities... 1 Identity Management... 1 Access Governance... 2 Identity & Access Governance (IAG)... 2 Doelstellingen voor identiteit en beveiliging... 2 Externe drijfkrachten achter verandering en complexiteit... 2 Aanvallen en beveiligingslekken... 2... 3 Cloudcomputing... 3... 3 Mobiliteit... 4... 4 Budgettaire beperkingen... 4... 4 Verandering, complexiteit en IAG... 4 Over NetIQ... 5
Inleiding Identity & Access Governance (IAG) speelt tegenwoordig een centrale rol in alle organisaties als gevolg van strenger toezicht vanuit overheid, industrie én interne controlemechanismen. De behoefte aan IAG ontstaat bijna altijd door externe factoren. IT- en business managers moeten reageren op de druk van verandering en complexiteit in de huidige bedrijfsomgeving, beveiligingsvraagstukken, nieuwe technologieën en toenemende problemen op het gebied van voorschriften en compliance. Maar terwijl de behoeften en de druk toenemen, krimpen de budgetten. Het beheer van verandering en complexiteit door middel van governance kan geweldige kansen bieden als het op de juiste wijze wordt aangepakt. Het is van cruciaal belang om niet alleen over de juiste tools te beschikken, maar ook over de processen waarmee aan deze constant groeiende behoeften kan worden voldaan. Verandering doorvoeren Om verandering te kunnen beheren, moet het eerst worden begrepen. Verandering is geen eenmalige gebeurtenis, maar een doorlopend proces. Als blijkt dat verandering noodzakelijk is, hebben mensen de neiging om zich er zo lang mogelijk tegen te verzetten. De verandering vindt uiteindelijk pas plaats als pijnlijk duidelijk is dat het echt niet anders kan. Als de verandering uiteindelijk heeft plaatsgevonden, kunnen alle medewerkers weer overgaan tot de orde van de dag. Maar verandering is constant en al snel ontstaat de behoefte opnieuw. De obstakels die een organisatie moet overwinnen bij de transitie naar een nieuwe omgeving zijn moeilijk en kostbaar. Daarnaast begint het pijnlijke proces weer van voren af aan als een nieuwe verandering nodig is. Tegen de tijd dat een verandering volledig is doorgevoerd, heeft de behoefte aan een nieuwe verandering zich alweer voorgedaan. Om effectief om te gaan met de complexiteit en veranderingen die voortdurend opdoemen, moeten bedrijven beseffen dat ze niet zomaar een proces veranderen, maar dat verandering het proces IS. Verandering moet worden gepland, nagestreefd, omarmd en geïntegreerd in de bedrijfscultuur. Naast de instelling die voor het beheer van verandering en complexiteit is vereist, spelen effectieve tools een cruciale rol in het succes van een bedrijf dat aan de eisen die de markt stelt, wil voldoen en deze zelfs wil overtreffen. Systemen moeten zowel IT- als business managers in staat stellen om complexe systemen eenvoudig te visualiseren, gebieden van zorg of risico te monitoren en de nodige maatregelen in te zetten als beleidsregels, procedures of eisen de grenzen benaderen die zijn bepaald voor bedrijfskritische gebieden. Welke invloed hebben verandering en complexiteit op uw benadering van identiteit, beveiliging en governance als u naar uw eigen bedrijf kijkt? In dit document kijken we naar een aantal punten van zorg en naar de manier waarop IAG effectieve oplossingen kan bieden. Definities Voordat we dieper ingaan op de vraagstukken die vaak aanleiding geven tot verandering en complexiteit, zullen we eerst een aantal definities bespreken: Identity Management Vraagstukken op het gebied van Identity Management vallen binnen het IT-gebied. Ze hebben te maken met het toekennen van hardware en software en met het beheer van de identiteit van personen die de resources gebruiken, naast de identiteit van de resources en apparaten zelf. De identiteit van een persoon kan de volgende attributen omvatten: Wie bent u? naam, locatie, contactgegevens, etc. Rollen functieomschrijving, manager, etc. Relaties medewerker, aannemer, leverancier, etc. Als eenmaal een identiteit is vastgesteld, is de volgende stap het bepalen van de juiste reikwijdte van individuele toegangsmogelijkheden door relaties te leggen met resources. Het gaat hierbij om applicaties, systemen, gegevens, groepen, fysieke faciliteiten en andere bedrijfsresources. 1
Access Governance Een helder begrip van toegang is essentieel voor governance. Uiteindelijk is dit de verantwoordelijkheid van het business management en niet van het IT-management. De tools op dit gebied zijn ontworpen om te voldoen aan de vraag vanuit het bedrijfsleven door middel van een heldere, gebruiksvriendelijke interface die ook geschikt is voor personen die minder technisch zijn ingesteld. Vraagstukken op dit gebied zijn onder andere: Wie heeft toegang? Toegang op welk niveau en van welk type? Wie heeft toegang verleend? Is dit gecontroleerd en is de toegang passend voor elke identiteit? Is de toegang beveiligd? Kan ik monitoren wat er gebeurt met de toegang? Welke risico s zijn verbonden aan het verlenen van toegang? Flexibele invulling van de toegangsmogelijkheden? Kan ik toegang binnen zowel fysieke als cloudomgevingen toekennen? Kan ik toegang op basis van rechten en gedelegeerde toegang toekennen? Hoe krijg ik toegang? Kan ik aanmelding vanaf elk apparaat en overal vandaan voor iedereen mogelijk maken? Kan de toegang worden samengebracht? Identity & Access Governance (IAG) IAG vormt een combinatie van Identity Management en Access Governance. In een effectieve IAG oplossing moeten beide werkgebieden naadloos zijn geïntegreerd om de algemene doelstellingen van het bedrijf te verwezenlijken. Doelstellingen voor identiteit en beveiliging Verschillende ondernemingen hebben gemeenschappelijke doelstellingen wat betreft hun IAG oplossingen. Denk hierbij aan: 1. Beheersing van de risico s en uitdagingen van computerservices in meerdere omgevingen. Dit omvat uiteenlopende besturingssystemen, hardware, de cloud en mobiele apparatuur. 2. Gebruikers moeten passende en tijdige toegang krijgen tot de computerservices die ze nodig hebben om hun werk te kunnen doen. 3. Computergebruik moet beveiligd zijn en voldoen aan alle relevante beleidsregels, procedures en voorschriften, ook bij gebruik van mobiele apparatuur. Externe drijfkrachten achter verandering en complexiteit Aanvallen en beveiligingslekken Het aantal aanvallen neemt toe, zowel via interne als externe kanalen. Beveiligingslekken vormen een punt van zorg in de huidige markt. Het doel van alle marketingafdelingen is positieve publiciteit, maar als het om beveiligingslekken gaat, is het misschien nog wel belangrijker voor het succes en zelfs het voortbestaan van een bedrijf om absoluut geen aandacht in de pers te krijgen. Niets schaadt het vertrouwen van klanten en regelgevende instanties meer dan inbreuk op gevoelige informatie, of het nu gaat om een lek of om diefstal van het intellectuele eigendom van een klant. Verizon meldt dat 58%van alle gelukte aanvallen wordt gepleegd door de georganiseerde misdaad of door actiegroepen, vaak ook hacktivisten genoemd. 1 De meeste cyberaanvallen hadden echter kunnen worden voorkomen. In veel gevallen beschikte het betrokken bedrijf over de informatie en had het de aanval kunnen voorkomen als het bedrijf beter had opgelet, preventieve procedures had ingesteld en deze had nageleefd. De implementatie van een firewall alleen is lang niet voldoende om aanvallen af te slaan. In een recent onderzoek naar de manier waarop bedrijven hun netwerk hebben beveiligd werd vastgesteld dat een onderneming vaak meer over diens netwerkbeveiliging kan leren door te kijken naar het verkeer dat is toegelaten, dan naar het verkeer dat is geweigerd. 2 Aanvallen door eigen medewerkers komen ook steeds vaker voor. 2
Door de toenemende risico s van beveiligingslekken en de infiltratie van bedrijfssystemen door vervalste of frauduleuze gegevens wordt het bedrijfsleven geconfronteerd met allerlei nieuwe wetten en voorschriften. Enkele voorbeelden: PCI DSS Sarbanes-Oxley NERC-CIP FISMA GLBA HIPAA BASEL III J-SOX Solvency ll Een krachtig IAG systeem zoals NetIQ Access Governance Suite 6, gecombineerd met Identity Manager, zorgt voor systemen en controlemechanismen zodat managers zich bewust zijn van elke vorm van toegang en de juistheid daarvan. Het profiel of de identiteitskubus van elke gebruiker kan via één dashboard worden bekeken om te controleren of voor elke persoon de juiste rollen en toegangsrechten zijn gedefinieerd. Zogenaamde entitlement creep (ofwel toegang die in het verleden is verleend en die wordt meegenomen naar nieuwe werkzaamheden), hoewel daar soms geen goede reden voor bestaat, kan worden voorkomen door regelmatige certificering. Zo wordt ervoor gezorgd dat personen alleen de toegang krijgen die nodig is voor het vervullen van hun huidige taak. Een andere reden tot zorg zijn accounts zonder eigenaar die moeten worden uitgeschakeld. Als de betrekking tussen een medewerker, aannemer of leverancier en het bedrijf wordt verbroken, moeten er systemen aanwezig zijn die automatisch alle toegang tot de bedrijfsresources ontzeggen. Deze en nog veel meer functies van een krachtige IAG oplossing zorgen ervoor dat toegang wordt beperkt tot personen die dit echt nodig hebben. De monitoring van elk brokje gegevens kan een lastige opgave zijn. Effectieve scorebepaling van potentiële risico s, risicobeheer en risicobeheersing kunnen allemaal door middel van IAG worden aangepakt. Er zijn systemen aanwezig die business managers attenderen op specifieke punten van zorg en die hen in staat stellen om de zaken die er het meest toe doen effectief in het oog te houden. Cloudcomputing In de cloud doen zich nieuwe problemen voor. Het Amerikaanse National Institute of Standards and Technology (NIST) definieert de cloud als de levering van computerfuncties als een service, in plaats van een product, waarbij gedeelde resources, software en informatie via een netwerk (gewoonlijk het internet) als een nutsvoorziening (vergelijk gas en elektriciteit) aan computers en andere apparatuur worden verstrekt. 3 Omdat software-applicaties worden aangeboden via een SaaS model (Software-as-a-Service), vormt de beveiliging van bedrijfsgegevens een steeds groter wordend probleem. Hoe worden gegevens in de cloud beveiligd? Hoe zorgen bedrijven ervoor dat personen zonder de juiste bevoegdheid of toestemming geen toegang tot gevoelig materiaal hebben? Een effectieve IAG oplossing bewaakt de toegang tot alle bedrijfsresources, ook die in de cloud. Ook al bevinden de cloudresources zich misschien niet op dezelfde locatie, ze worden niet vergeten. De cloud biedt bedrijven een ongelooflijke schaalbaarheid, omdat aanvullende resources toegankelijk zijn wanneer ze nodig zijn, maar die toegang betekent tevens dat klanten een grotere vergoeding betalen. Een IAG oplossing bewaakt niet alleen of de toegang tot en het gebruik van cloudapplicaties correct zijn, maar zorgt er ook voor dat u niet meer gebruikt dan u nodig hebt, waardoor de gebruikskosten tot een minimum worden beperkt en u volledig de controle houdt. 1 Verizon Data Breach Report 2011: Attackers refining their targets. Searchsecurity.techtarget.com Robert Westervelt, News Director, publicatie: 19 april 2011. 2 Firewall logging: Telling valid traffic from network allows threats. Searchsecurity.techtarget.com Anand Sastry, correspondent, november 2010. 3 Website van National Institute of Standards and Technology. http://csrc.nist.gov/publications/nistpubs/800-145/sp800-145.pdf 3
Mobiliteit Toegang vanaf elke locatie, met alle apparatuur. Door de opkomst van laptops, smartphones en tablets nemen gebruikers er geen genoegen meer mee om alleen vanuit hun kantoor of werkplek toegang te hebben tot de bedrijfsresources. Ze willen onderweg toegang hebben tot gegevens. Het kan lastig zijn om veilige toegang te bieden, met name als er wordt gevraagd om gegevens offline te halen. Zou een bedrijf dat moeten toestaan? Is de compliance van het bedrijf nog intact als dit wel wordt toegelaten? Wat als een team besluit het systeem te omzeilen en probeert de benodigde gegevens te verkrijgen op een manier die niet aan de regels voldoet? Met IAG kunnen parameters voor toegang worden gedefinieerd op basis van allerlei factoren. Toegang kan behalve van rol en functieomschrijving ook afhankelijk zijn van het gebruikte apparaat. Mogelijk kunnen gebruikers op meer manieren toegang krijgen tot minder gevoelige gegevens, terwijl de toegang tot gevoeligere gegevens wordt beperkt om de compliance te handhaven. Als gebruikers mobiele toegang nodig hebben, kan deze worden verleend. De wachtwoordbeveiliging kan vervolgens met behulp van baanbrekende technologie worden beheerd op het IAG niveau, zodat, zelfs als onbevoegden iemand een wachtwoord zien invoeren, dit niet kan worden gebruikt om later toegang te krijgen met eigen apparatuur. De wereld van het mobiele computergebruik kent veel uitdagingen en IAG technologieën kunnen een veilige, betrouwbare oplossing bieden. Budgettaire beperkingen Terwijl de budgetten krimpen, groeit de vraag. In het huidige bedrijfsleven worden de financiële middelen beperkter, terwijl de behoeften en eisen op het gebied van Identity Management en beveiliging toenemen. De gemiddelde computergebruiker kan steeds beter met verschillende technologieën overweg, waardoor de behoeften toenemen en de snelheid van levering en toegang ook een probleem gaan vormen. Zo zijn managers niet meer bereid om een helpdeskticket in te dienen en af te wachten tot een nieuwe medewerker toegang krijgt. Tegelijkertijd moet voor zowel aflopende als startende projecten de toegang van teamleden snel kunnen worden gewijzigd. Identiteit en beveiliging moeten worden beheerd op topsnelheid, terwijl tegelijkertijd de werkdruk onder het IT-personeel toeneemt door het up-to-date houden van systemen en het implementeren van patches. IAG systemen zijn van essentieel belang voor de effectieve provisioning en het beheer van de toegang tot bedrijfsresources. Veel processen zijn routinematig en wederkerend en door middel van effectieve automatisering kunnen bedrijven de regelmatige, tijdrovende betrokkenheid van de IT-afdeling hierbij inperken. Zo kan het proces van het configureren van een nieuwe medewerker worden bepaald door de rol van de nieuwe medewerker. Als het systeem eenmaal is ingesteld, kunnen HR-medewerkers nieuwe medewerkersprofielen activeren met de juiste toegangsrechten, afhankelijk van de verantwoordelijkheden van de nieuwe medewerker. Als een medewerker vertrekt, kan HR ook het geautomatiseerde proces activeren waardoor ervoor wordt gezorgd dat accounts zonder eigenaar worden verwijderd. Met een dergelijke repetitieve taak hoeft de IT-afdeling en zelfs de manager zich niet bezig te houden. Eenvoudige processen zoals wachtwoordverificatie en het wijzigen van een wachtwoord kunnen ook eenvoudig worden beheerd door een IAG oplossing. Verder maakt een IAG systeem het bij toenemende complexiteit mogelijk om beveiligingsrisico s te identificeren en te beheersen. Dankzij een proactieve in plaats van een reactieve benadering van risicobeheer kunnen bedrijven zich tijdens hun beveiligingswerkzaamheden concentreren op gebieden en personeelsleden die een groter risico vormen. Bij beperktere financiële middelen is het vaak nodig om meer aandacht te besteden aan kritieke gebieden, terwijl systeemprotocollen worden gebruikt om ervoor te zorgen dat de compliance op kosteneffectieve wijze wordt gewaarborgd. Verandering, complexiteit en IAG Het vermogen om verandering en complexiteit te beheren wordt met de dag belangrijker. Een effectieve oplossing voor Identity & Access Governance vormt een integraal onderdeel van het verwezenlijken van die doelstelling. IAG biedt geautomatiseerde, gebruiksvriendelijke systemen die de bedrijfsdoelstellingen in een beveiligde omgeving ondersteunen. Identity & Access Governance doet veel meer dan de compliance van bedrijven bewerkstelligen en handhaven. In een complex en veranderend zakelijk klimaat is deze technologie onmisbaar bij het beschermen van het meest waardevolle kapitaal van een bedrijf. Denk daarbij aan intellectueel eigendom, gevoelige gegevens en natuurlijk het vertrouwen van de klant. 4
Over NetIQ NetIQ is een wereldwijd opererende, in enterprise software gespecialiseerde IT-organisatie die klanttevredenheid zeer hoog in het vaandel heeft staan. Klanten en partners kiezen voor NetIQ om uitdagingen op het gebied van gegevensbescherming op kosteneffectieve wijze op te lossen en om de complexiteit van dynamische, alom verspreide bedrijfsapplicaties te beheren. Onze portfolio omvat schaalbare en geautomatiseerde oplossingen voor Identity, Security & Governance en voor IT Operations Management waarmee organisaties computerservices in verschillende fysieke, virtuele en cloudcomputeromgevingen op veilige wijze kunnen leveren, meten en beheren. Deze oplossingen en onze praktische, klantgerichte benadering om aanhoudende IT-uitdagingen op te lossen, zorgen ervoor dat organisaties in staat zijn om de kosten, de complexiteit en de risico s te verlagen. Ga voor meer informatie over onze bekroonde softwareoplossingen naar www.netiq.com. Mogelijk bevat dit document technische onnauwkeurigheden en druk- en schrijffouten. De hier verstrekte informatie wordt van tijd tot tijd gewijzigd. Deze wijzigingen worden mogelijk verwerkt in nieuwe edities van dit document. NetIQ Corporation kan op elk moment verbeteringen of wijzigingen doorvoeren in de in dit document beschreven software. Copyright 2012 NetIQ Corporation en diens gelieerde ondernemingen. Alle rechten voorbehouden. 562-DU1005-001 DS 07-12 ActiveAudit, ActiveView, Aegis, AppManager, Change Administrator, Change Guardian, Compliance Suite, het ontwerp van het kubuslogo, Directory and Resource Administrator, Directory Security Administrator, Domain Migration Administrator, Exchange Administrator, File Security Administrator, Group Policy Administrator, Group Policy Guardian, Group Policy Suite, IntelliPolicy, Knowledge Scripts, NetConnect, NetIQ, het NetIQ logo, PSAudit, PSDetect, PSPasswordManager, PSSecure, Secure Configuration Manager, Security Administration Suite, Security Manager, Server Consolidator, VigilEnt en Vivinet zijn handelsmerken of gedeponeerde handelsmerken van NetIQ Corporation of diens dochterondernemingen in de Verenigde Staten. Alle overige bedrijfs- en productnamen worden uitsluitend voor identificatiedoeleinden vermeld en zijn mogelijk handelsmerken of gedeponeerde handelsmerken van de respectieve ondernemingen. EMEA Hoofdkantoor Raoul Wallenbergplein 23 2404 ND Alphen a.d. Rijn Nederland Tel: (+31) 0172-505550 info@netiq.com www.netiq.com http://community.netiq.com Voor een compleet overzicht van onze vestiginge in Europa of de rest van de wereld, ga naar: www.netiq.com/contacts. Volg ons: 5