White paper MobileAccess NetIQ s mobiele IAM-oplossingen In vrijwel elke organisatie lopen werknemers, net als hun partners en klanten, met krachtige mobiele devices rond. Tegenwoordig investeert elk soort bedrijf, van groot tot klein, in mobiele technologie; niet alleen voor hun buitendienst- en salesmedewerkers maar ook als belangrijke manier om met hun klanten te communiceren. Of het doel nu het versnellen van zakelijke processen door ze gemakkelijker te maken of het verhogen van het niveau van klantenservice is, organisaties begrijpen dat de ontwikkeling van apps een slimme strategie is. Sterker nog, bijna 8 van de 10 organisaties 1 hebben het verbeteren van mobiele interactie een kritieke of hoge prioriteit gegeven. 1 Forrester Recente IT-trends voor veilige mobiele samenwerking
Inhoudsopgave pagina De uitdaging van mobiele apps... 1 Bereid uw hele omgeving voor op mobiel; voorkom versnippering... 3 Vier tips om uw IAM voor te bereiden op mobiel... 4 Past uw oplossing bij uw probleem?... 5 NetIQ s mobiele IAM is krachtig... 6 Maak uw mobiele apps klaar voor IAM... 8 Snel resultaat nodig?... 8 De volgende stappen... 10
De uitdaging van mobiele apps De uitdaging zit hem in het feit dat mobiele apps normaal gesproken als standalone applicatie geen waarde toevoegen. Ze moeten gegevens ophalen van services die zich ergens anders bevinden, bijvoorbeeld in de cloud of op interne back-endsystemen. Het uitgangspunt van deze nieuwe mobiele initiatieven is samenwerken met partners en groepen werknemers en hen in staat stellen hun werk te doen. Echter het verbinden met backend-engines en gegevensopslagruimten is nog steeds even complex. Dit betekent dat het team dat uw mobiele apps ontwikkelt nog steeds tegen dezelfde problemen met betrekking tot beveiligde toegang tot de verschillende systemen aanloopt als de webapplicatieteams van een aantal jaar geleden. Sterker nog, de teams die nu mobiele apps ontwikkelen, krijgen te maken met extra uitdagingen zoals externe cloudsystemen die niet zijn geïntegreerd in bestaande Identity & Access Management-systemen. Welke configuratie ook wordt gebruikt, de uitdagingen blijven dezelfde: identificatiegegevens en, in het verlengde daarvan, de toegang tot de privégegevens die toegankelijk zijn met die identificatiegegevens veilig houden, zodat het gemak van mobiele toegang geen risico wordt voor het bedrijf. 1
White paper NetIQ s mobiele IAM-oplossingen Met NetIQ kunnen ontwikkelingsteams eenvoudiger de toegang tot de services beveiligen die de applicaties ondersteunen. Afb. 1 Ongeacht de app-strategie die de organisatie nastreeft, kunnen ontwikkelingsteams met NetIQ eenvoudiger de toegang tot de services beveiligen die de applicaties ondersteunen. Met NetIQ hebben organisaties ook opties om eerdere investeringen in te zetten die de ontwikkeling naar mobiel gebruik versnellen. In dit white paper bekijken we welke verificatieproblemen app-ontwikkelaars ondervinden bij het beveiligen van integratiepunten. Hieruit volgt ook een suggestie voor bedrijven over hoe zij het bijkomende risico van deze applicaties kunnen beperken. 2
Het pad naar een mobile first organisatie is in het beste geval onduidelijk en wellicht verwarrend. Door deze verwarring zal het op een gegeven moment duidelijk worden dat de tactische benadering van het toestaan van onsamenhangende projecten voor mobiele ontwikkeling bepaalde valkuilen heeft. Bereid uw gehele omgeving voor op mobiel; voorkom versnippering Organisaties weten dat mobiliteit ongeëvenaarde mogelijkheden biedt om hun bedrijfsvoering te veranderen, maar het is nog niet duidelijk hoe ze dat precies kunnen bereiken. Het pad naar een mobile first organisatie is in het beste geval onduidelijk en wellicht verwarrend. Door deze verwarring zal het op een gegeven moment duidelijk worden dat de tactische benadering van het toestaan van onsamenhangende projecten voor mobiele ontwikkeling bepaalde valkuilen heeft. De gevolgen hebben een grotere impact dan een inconsistent uiterlijk van de verschillende applicaties binnen een bedrijf. Bij verificatie voor back-endsystemen leidt een benadering van beneden af tot inconsistente en ongelijke beveiliging. Als gevolg van het uitbreiden naar mobiele toegang lopen organisaties steeds meer risico bij onbevoegd gebruik of gestolen apparaten. Wanneer bewezen veilige identiteits- en toegangsinfrastructuur wordt vervangen, neemt dat risico alleen nog maar meer toe. Afb. 2 3
White paper NetIQ s mobiele IAM-oplossingen Feit is dat dezelfde zakelijke drijfveren voor de noodzaak van Identity & Access Management (IAM)-infrastructuur die jaren geleden al golden nog steeds van toepassing zijn en nog verder zijn uitgebreid. Er zijn nu niet alleen meer soorten apparaten en toegangssituaties die moeten worden beveiligd, SaaS-leveranciers bieden vaak ook nog de vereiste services om deze apps te ondersteunen en te hosten in de cloud. Dus of uw belangrijkste IAM-drijfveren nu zijn om uw intranet te beveiligen, de waarde van uw keten te verbeteren of de interactie met klanten persoonlijker te maken, het blijft zinvol om uw bestaande investeringen in te zetten voor de beveiliging van uw mobiele apps. Hier is een lijst met de belangrijkste IAM-aanbevelingen. Vier tips om uw IAM klaar te maken voor mobiel Of uw belangrijkste IAM-drijfveren nu zijn het beveiligen van uw intranet, het verbeteren van de waarde van uw keten of het persoonljiker maken van de interactie met klanten, het blijft zinvol om uw bestaande investeringen in te zetten voor de beveiliging van uw mobiele apps. 1. Zorg ervoor dat uw organisatie geen mobiele app-projecten start in afzonderlijke teams of op ad-hocbasis. Snelle resultaten boeken moet in balans zijn met het hanteren van één gecombineerde set IAM-services die door iedereen wordt gebruikt. 2. Mobiele apps zorgen voor een groter risico voor uw bedrijf dus deze moeten in uw beveiligingsbeleid worden verwekt. Wanneer u nagaat welke risico s u aankunt met het oog op de interne doelstellingen, onthoud dan dat gebruiksgemak bij apps van het grootste belang is. Maak tijdens dit proces de afwegingen voor gebruiksgemak ten opzichte van potentiële verliezen en zelfs het vertrouwen van klanten. SaaS-services zijn zeer waarschijnlijk niet volledig in uw beleid opgenomen, dus dit is een goed moment om dat te doen. Mobiele apps maken namelijk doorgaans gebruik van deze services. 3. Controleer de huidige handmatige identiteitsprocessen om te zien of deze moeten worden bijgewerkt of geautomatiseerd voor mobiel gebruik. Zorg ervoor dat de handmatige processen degelijk en correct zijn. Het automatiseren van falende processen leidt alleen maar tot een mislukte automatisering. 4. Neem niet te veel hooi op uw vork. Zolang u globaal weet hoe mobiliteit binnen uw IAMinfrastructuur kan worden ingepast, gebruikt u de businesscase van elk mobiele app-project om deze waar nodig uit te breiden. Snelle resultaten zijn vaak essentieel voor het slagen van app-ontwikkeling. 4
Organisaties maken gebruik van mobile application management (MAM)-oplossingen voor het toepassen van beleidscontroles op en de provisioning van apps. Dit controleniveau is voornamelijk beschikbaar voor intern ontwikkelde apps. Past uw oplossing bij uw probleem? Gezien de verwarring bij veel organisaties is het de moeite waard eens te kijken naar de specifieke problemen in platforms en frameworks voor mobiel beheer. Mobile device management (MDM) bestaat uit tools voor configuratie en beleidsbeheer. MDM-oplossingen zijn apparaatspecifiek op basis van de application program interface (API) van het mobiele besturingssysteem, zoals Apple en Google, voor de bediening en het beheer van mobiele apparaten. De standaard MDMoplossingen voor hardware en applicaties bevatten: Geïmplementeerd beveiligingsbeleid zoals toegestane wachtwoorden, codering van apparatuur, WiFi-instellingen, signalering van apparaten met een jailbreak, enz. Uitvoering van acties zoals gedeeltelijk of op afstand wissen, op afstand vergrendelen, apparaatlocatie toewijzen en wachtwoord wissen Toegang tot zelfbedieningsportals waarmee gebruikers hun persoonlijke en zakelijke gegevens kunnen beveiligen Organisaties maken gebruik van mobile application management (MAM)-oplossingen voor het toepassen van beleidscontroles op en de provisioning van apps. Dit controleniveau is voornamelijk beschikbaar voor intern ontwikkelde apps. MAM-oplossingen hebben doorgaans een app store van de organisatie waarmee applicatiebeheer en levering naar mobiele apparaten kan worden uitgevoerd. MAM-oplossingen worden vaak gebruikt voor app-beheer door een software development kit (SDK) toe te voegen, maar dit kan ook door virtuele verpakkingen te gebruiken. Door het toepassen van een virtuele verpakking kunnen ook commerciële apps van Google Play en de Apple App Store worden beheerd, maar met de SDK kunnen ontwikkelaars extra beveiliging en configuratiefuncties integreren. Bij enterprise mobile management (EMM) worden normaal gesproken MDM- en MAMmogelijkheden toegevoegd, plus een container waarmee bedrijfsgegevens kunnen worden beveiligd. Met dat in het achterhoofd is het belangrijk om erop te wijzen dat deze technologieën mobiele apparaten en de applicaties erop goed beveiligen, maar dat er geen rekening mee wordt gehouden dat deze applicaties moeten kunnen verbinden met en verifiëren bij de systemen waarvan ze afhankelijk zijn. We nemen als voorbeeld een mobiele CRM-applicatie die toegang moet hebben tot gegevens over klantenservice en bestelgeschiedenis, interne relaties van de bedrijven onderling en productconfiguratie. Of denk aan een mobiele ERP-app die afhankelijk is van geverifieerde toegang tot de gedistribueerde gegevensarchieven voor verschillende soorten BI-informatie. Dit is simpelweg onhaalbaar voor de huidige EMM-technologie. 5
White paper NetIQ s mobiele IAM-oplossingen NetIQ s mobiele IAM is krachtig MDM- en MAM-technologieën beveiligen alleen maar services op het apparaat zelf, dus denken sommigen wellicht dat de beste benadering is om elk mobiele app-team de mobiele IAMproblemen zelf te laten oplossen. In eerste instantie lijkt deze versnipperde aanpak de meest praktische manier om mobiliteit mogelijk te maken voor uw organisatie. De complexiteit van mobiele integratie en beveiliging verschillen echter niet zoveel van traditionele platforms. Voor optimale resultaten moet de oplossing in de hele omgeving worden toegepast. Gartner stelt juist vast dat integratie vaak het meeste werk is bij een mobiele app-project. En kijkend naar de focus van de meeste app-ontwikkelingsteams, is het geen verrassing dat ze meestal onderschatten hoeveel tijd en werk er nodig is om alles veilig op elkaar te laten aansluiten 2. Kijkend naar de focus van de meeste appontwikkelingsteams, is het geen verrassing dat ze meestal onderschatten hoeveel tijd en werk er nodig is om alles veilig op elkaar te laten aansluiten. Gartner merkt op dat IT-teams ook vandaag de dag nog verbazingwekkend traag zijn in het uitbrengen van mobiele apps, en dat de complexiteit van integratie daarvan altijd een van de belangrijkste oorzaken is. Gartner heeft zelfs een verbazingwekkend aantal projecten voor zakelijke mobiliteit gezien dat nog nooit een gerichte mobiele app heeft afgeleverd 2. Uit deze trend valt een fundamentele fout op te maken, namelijk de gangbare praktijk waarin mobiele projecten afzonderlijk worden opgestart, waarin er geen algemeen toegepaste benadering is voor implementatie en waarin bestaande infrastructuur niet wordt ingezet. Er is geen planning voor het oplossen van ingewikkelde problemen rond het naleven van beveiligingsstrategieën die door de jaren heen tot stand zijn gekomen en die nodig zijn om de organisatie te beschermen tegen inbreuken. Het uitzoeken van deze problemen kost enorm veel tijd. Mobiele app-teams mogen geen tijd verspillen bij het oplossen van aan IAM verwante problemen. De leden van deze mobiele app-teams zijn meestal geen beveiligingsexperts, dus in dergelijke uitdagingen gaat onevenredig veel tijd zitten. Uiteindelijk loopt het bedrijf daardoor meer risico. Wanneer teams zelf het toegangsbeheer op zich willen nemen, moeten zij zelf de juiste beveiliging van identiteiten en tokens regelen, evenals federatie. Ze hebben alleen ruimte om uit te zoeken wat er moet gebeuren als identificatiegegevens niet recent zijn of wanneer gebruikers hun wachtwoord vergeten. De leden van uw mobiele team kunnen hun tijd wel nuttiger besteden. Gemak in mobiele apps begint met Single Sign-on (SSO). Dit betekent dat wanneer gebruikers zich eenmaal hebben aangemeld bij de app, ze niet meer worden lastiggevallen met verzoeken om zich aan te melden. De app werkt gewoon. Gebruikers moeten niet merken wat er op de achtergrond allemaal gebeurt om de app te laten werken. NetIQ heeft een uitgebreide set SSO-technologieën voor alle systemen die gebruikers openen. 2 Gartner-persbericht van 16 juni 2015 6
Met de op risico s gebaseerde verificatie van NetIQ kunt u een combinatie van contextafhankelijke factoren evalueren die gerelateerd zijn aan een toegangsverzoek. Vervolgens kunt u die factoren gebruiken om het type verificatie te bepalen dat voldoet aan uw bedrijfsbehoeften. Als er verificatie op basis van twee factoren nodig is om te voldoen aan de beveiligingseisen, bieden de IAM-oplossingen voor apps van NetIQ een scala van technologieën voor tweevoudige verificatie zoals smartcards, OTP, biometrie, tokens en meer. IT-beheerders kunnen kiezen uit een scala van apparaten met krachtige verificatie, of gebruiken wat ze al hebben. Afb. 3 De context wordt steeds belangrijker bij het bepalen van de eisen die aan verificatie van een gebruiker worden gesteld, en dit is zelfs nog belangrijker in situaties met mobiele gebruikers. Door de toenemende dreiging van criminelen en de gevolgen als ze in hun opzet slagen, is het essentieel dat u een beslissing neemt over hoeveel risico voor uw bedrijf u bereid bent te accepteren door gebruikers mobiele toegang te bieden. Met de op risico s gebaseerde verificatie van NetIQ kunt u een combinatie van contextafhankelijke factoren evalueren die gerelateerd zijn aan een toegangsverzoek. Vervolgens kunt u die factoren gebruiken om het type verificatie te bepalen dat voldoet aan uw bedrijfsbehoeften. Wanneer een gebruiker binnen een bekende context toegang wil tot persoonlijke gegevens, is de gebruiker naar alle waarschijnlijkheid de persoon die aan deze gegevens is gekoppeld, en kan de verificatie dienovereenkomstig worden aangepast. Toegangsverzoeken die buiten een als veilig gedefinieerde context vallen, kunnen dienovereenkomstig worden aangepast. Wanneer app-ontwikkelingsteams hun krachten 7
White paper NetIQ s mobiele IAM-oplossingen bundelen met de geavanceerde verificatie van NetIQ, kunnen ze een veel gebruiksvriendelijkere en veiligere gebruikerservaring creëren. En omdat NetIQ gecentraliseerd verificatiebeleid ondersteunt, kunt u voorkomen dat er door inconsequent beleid achterdeurtjes ontstaan. Het levenscyclusbeheer voor mobiele toegang omvat het tijdig kunnen opheffen van gebruikerstoegang zodat de gebruiker geen toegang meer heeft tot bedrijfsapplicaties (bijvoorbeeld cloudapplicaties). De geautomatiseerde provisioning en het accountbeheer van NetIQ zijn belangrijke onderdelen van het bieden en beveiligen van mobiele toegang, ongeacht of de gebruiker een werknemer, een partner of een klant is. De geautomatiseerde provisioning en het accountbeheer van NetIQ zijn belangrijke onderdelen van het bieden en beveiligen van mobiele toegang, ongeacht of de gebruiker een werknemer, een partner of een klant is. Maak uw mobiele apps klaar voor IAM Ontwikkelaars die gebruikmaken van de mobiele SDK van NetIQ hebben twee opties: OAuth/OpenID Connect en de ios SDK van NetIQ zelf. Voor teams die naar meerdere platforms kijken bij het ontwikkelen van applicaties is de geteste OpenID Connect SDK van NetIQ waarschijnlijk de beste keuze. Deze SDK bevat codering voor meerdere platforms en biedt tegelijkertijd support voor alle onderdelen van het OAuth 2.0-protocol. Deze biedt ook volledige integratie met het op rollen gebaseerde toegangsbeheer en het geavanceerde verificatieframework van NetIQ. Teams die specifiek eigen ios-applicaties ontwikkelen vinden waarschijnlijk de SDK van Access Manager sneller en gemakkelijker. Deze SDK verhult de complexiteit van correct beheer en correcte beveiliging van identiteiten en tokens, waardoor de applicatie in zijn geheel veiliger wordt. Naast de directe verificatie die wordt vereist door de applicatie, biedt de SDK natuurlijk ook rechtstreekse toegang tot de hele SSO van Access Manager, geavanceerde verificatie en autorisatiebeleid. Ontwikkelaars voor Android kunnen binnenkort ook van deze mogelijkheden gebruikmaken. Snel resultaat nodig? Zelfs met vereenvoudigd Identity & Access Management worden mobiele projecten nog niet snel genoeg opgeleverd. Gartner voorspelt zelfs dat de vraag naar mobiele apps tegen het einde van 2017 vijf keer zo hoog is als de capaciteit voor het ontwikkelen ervan. 8
Organisaties die hybride applicaties voor hun mobiele gebruikers implementeren hebben de mogelijkheid om deze apps gewoon in MobileAccess te zetten en ze geschikt te maken voor SSO bij andere systemen, of de OpenID Connect SDK te gebruiken. Vooruitlopend op de Gartner Application Architecture, Development & Integration Summit vertelde Adrian Leow, Principal Research Analyst bij Gartner, dat organisaties het lastig vinden om de vraag naar mobiele apps en het ontwikkelen, implementeren en onderhouden ervan bij te houden. Dit leidt ertoe dat de ontwikkeling van mobiele apps vooral tactisch is en niet strategisch. Mr. Leow vertelt verder dat organisaties manieren moeten vinden om hiermee om te gaan 3. Een groot deel van de vraag waarnaar Leow verwijst, bestaat uit het geschikt maken van webapplicaties voor mobiele apparaten, vaak op het bedrijfseigen systeem. De uitdaging voor werknemers die niet op kantoor werken is dat mobiele apparaten geen optimaal beeldscherm hebben en dat ze zelden een fysiek toetsenbord bij de hand hebben. Mobiele gebruikers staan juist vaak tijdens het werken. Wat u op een laptop snel even doet, is veel moeilijker uit te voeren op een tablet of smartphone. De NetIQ MobileAccess App (beschikbaar voor ios en Android) biedt een veilig en gebruiksvriendelijk startpunt met één druk op de knop voor zowel hybride apps als webapplicaties. Dit houdt in dat mobiele teams verschillende opties hebben naast het alleen maar maken van eigen apps, en NetIQ heeft een oplossing. Webapplicaties, ongewijzigd: MobileAccess kan startpunten maken die met één druk op de knop kunnen worden geactiveerd, van een pictogram tot specifieke functies binnen de webapplicatie, waarmee een gebruiker een zakelijk proces kan uitvoeren op zijn/haar mobiele apparaat. Voor elke applicatie kunnen meerdere pictogrammen (startpunten) worden gemaakt. Gebruikers zien de pictogrammen voor de applicaties die zij kunnen openen en met één druk op de knop zijn ze binnen. Ze hoeven geen tijdrovende of ingewikkelde taken uit te voeren, ze hebben gewoon toegang. Voor mobiele apparaten geschikte webapplicaties: Applicaties die zijn aangepast om op het scherm van een mobiel apparaat weer te geven, kunnen meteen geschikt worden gemaakt voor IAM. Hierdoor is SSO mogelijk en kan al het beleid voor verificatie en autorisatie worden toegepast. De gebruikers ervaren op hun apparaat dezelfde gemakkelijke toegang. Hybride apps: Ontwikkelingsteams die met hybride app-technologie aan de eisen voor hun mobiele platform voldoen, kunnen de apps geschikt maken voor IAM door ze eenvoudig toe te voegen aan MobileAccess. Eenmaal toegevoegd zorgt MobileAccess voor een beveiligd token en voor de integratie van de app in Access Manager. 3 Gartner-persbericht van 16 juni 2015 Zoals u kunt zien, heeft elke organisatie met een ios- of Android-strategie tegenwoordig tactische mogelijkheden voor het snel optimaliseren van de bestaande webapplicaties. Hierdoor wordt voldaan aan de mobiele eisen voor de korte termijn. Organisaties die hybride applicaties voor hun mobiele gebruikers implementeren hebben de mogelijkheid om deze apps gewoon in MobileAccess te zetten en ze geschikt te maken voor SSO bij andere systemen, of de OpenID Connect SDK te gebruiken. Ongeacht waar een organisatie voor kiest zijn er meerdere 9
mogelijkheden om apps snel geschikt te maken voor IAM. Wanneer organisaties dit doorvoeren, kunnen zij vandaag nog profiteren van de voordelen van Access Manager: Mobiele gebruikers profiteren van de snelheid en het gemak van Single Sign-on. Zowel bestaand als nieuw toegangsbeleid in Access Manager wordt toegepast. Apparaatbeheer kan worden geconfigureerd met de mogelijkheid om zelf een apparaat te registreren. Dit kan worden ingezet als een apparaat is gestolen of verloren, waardoor de kosten voor helpdeskbeheer lager worden. Met behulp van Access Manager kunnen organisaties verificatieniveaus configureren om de soort verificatietype aan het gewenste risiconiveau voor het bedrijf aan te passen. Organisaties hebben toegang tot het Advanced Authentication Framework van NetIQ waarmee zij aan de behoefte van verificatie op basis van twee of meerdere factoren kunnen voldoen. NetIQ staat bij IT-beheer en de IT-infrastructuurteams bekend om de krachtige IAMoplossingen, maar het is hen onbekend hoe eenvoudig het is om deze mogelijk heid te gebruiken voor mobiele apparaten. In de omgevingen waarin Access Manager is geïmplementeerd, zijn eenvoudig app-markeringen te maken waardoor smartphonegebruikers toegang kunnen krijgen door een pictogram aan te raken. Het enige dat nodig is om de applicatie van Access Manager bruikbaar te maken voor mobiele gebruikers is hen te vragen de MobileAccess-applicatie te downloaden en zich te registreren in uw omgeving. Daarna hoeft u alleen nog maar te beslissen welk pictogram gebruikers bij elke applicatie te zien krijgen. De volgende stappen NetIQ EMEA Hoofdkantoor Raoul Wallenbergplein 23 2404 ND Alphen aan den Rijn Nederland Tel: +31(0)172.50.55.55 info@netiq.com /communities Voor een compleet overzicht van onze vestigingen in Europa of de rest van de wereld, ga naar: /contacts. Elke organisatie heeft weer andere, specifieke behoeften wat betreft mobiliteit en daarom biedt NetIQ meerdere opties. In de meeste gevallen krijgen organisaties die een benadering van mobiliteit van beneden af hanteren te maken met aanpassingen, minder veilige producten en vaak ook minder krachtige producten. Het is niet meer dan logisch om Access Manager te gebruiken om mobiele omgevingen geschikt te maken voor IAM en daarvoor een methode te gebruiken die al jarenlang goed werkt voor desktop- en webomgevingen. Hierdoor kunnen organisaties uitbreiden wat ze hebben, in plaats van alles opnieuw maken. Er wordt minder tijd besteed aan ontwikkeling, het zorgt voor betere beveiliging en levert het gewenste gemak voor gebruikers. Het geeft mobiele teams binnen IT-organisaties de gelegenheid zich te richten op wat ze goed kunnen terwijl ook de risico s worden beheerd. Als u meer wilt weten over de mobiele Single Sign-on en het toegangsbeheer van Micro Focus gaat u naar: /accessmanager 562-DU1032-001 Q 11/16 2016 NetIQ Corporation en gelieerde ondernemingen. Alle rechten voorbehouden. NetIQ, het NetIQ logo en Access Manager zijn handelsmerken of gedeponeerde handelsmerken van NetIQ Corporation in de VS. Alle overige bedrijfs- en productnamen kunnen handelsmerken van de respectieve ondernemingen zijn.