Beheer

IT beheer

Nieuwe uitdagingen, passende oplossingen

7 maart 2014
Het immer veranderende IT-landschap schreeuwt om bijpassende strategieën voor identificatie en toegang. Een keur aan sprekers vertelt op het congres Access Update op 10 april aanstaande over de nieuwste ontwikkelingen rond zaken als technologie, privacy, controle en regelgeving. Hier blikken ze vooruit.
   

Bart Jacobs

Professor software security and correctness aan Radboud Universiteit Nijmegen

“Identity and access management (IAM) is cruciaal voor allerlei digitale ontwikkelingen, maar tot nu toe verwaarloosd. Het huidige systeem is te privacyonvriendelijk en inflexibel. Ik zie met verbazing dat veel mensen bij bedrijven achteloos inloggen met hun Facebook- of Googleaccount, zodat ze voortaan kunnen worden getraceerd en geprofileerd voor van alles. Ze weten niet wat ze weggeven! Er is een inhaalslag nodig met het groeiende gebruik van e-governance en e-commerce. Ik pleit voor het gebruik van Irmakaarten. Dat zijn chipcards waarop je persoonlijke eigenschappen kunt zetten zoals leeftijd, geslacht, burgerservicenummer, bankrekeningnummer, telefoonnummer of een mini-EPD. Vervolgens kun je daarmee bij verschillende transacties verschillende van die attributen laten zien. Als ik een fles drank koop hoef ik alleen maar te laten zien dat ik boven de achttien ben en niet wie ik ben. Dat is een belangrijke stap naar proportionele authenticatie. We doen nu een proef en het is aan een aantal grote bedrijven om het systeem te erkennen als het identitymanagement van de toekomst en er in te investeren.”


   

Hans Timmerman

CTO bij EMC

“Data is je kapitaal, dus die moet je in een beschermde omgeving hebben die je kunt controleren. Of het nu in de cloud is of in je eigen datacenter, je wilt je data alleen koppelen aan degene die er rechtmatig iets mee mag doen. Dat kan het best via identity management en authenticatie op het device. Je kunt op end-devices prima mobile device management tools loslaten. Daarnaast kun je biometrisch op veel manieren controleren of je de juiste persoon voor je hebt. Een iPhone kan bijvoorbeeld vragen: mag ik je hartslag even horen? Dan houd je je iPhone tegen je hart, een unieke fingerprint. Als hij je hartslag herkent kan hij zeggen: je mag het mailtje nu twee minuten zien en daarna pas weer op kantoor of thuis. Misschien is maar twintig procent van de bedrijfsinformatie relevant om te beschermen met authenticatie. De rest is consumptiedata en die kun je prima bij Amazon onderbrengen. Het is kiezen tussen een groothandel en een cateraar. Als het ijzelt en de cateraar kan je niet bereiken, moet je zelf een diepvrieskistje hebben en een magnetron om een paar dagen je eigen business te kunnen voortzetten. Dat besef moet het bestuur van een bedrijf of organisatie hebben en daar voorwaarden aan stellen. Tot welke data wil je nog toegang hebben in geval van calamiteit? Waardeer je data met een dataclassificatie en breng het op de juiste plek onder.”


   

Rachel Marbus

Security privacy officer bij NS

“Het is voor mij van belang dat je zo min mogelijk gegevens verwerkt van mensen en dat je hen zoveel mogelijk controle laat over hun identiteit. Dat is goed mogelijk, maar daarvoor moet je anders leren denken en aan alternatieve mogelijkheden werken. Wifi- en bluetooth­tracking zijn recent negatief in het nieuws geweest, daardoor vinden mensen privacy weer belangrijker. Je kunt zeer innovatief zijn in je bedrijfsvoering en ook privacy- en identiteitvriendelijk, ook met tracking. Als een telefoon bij een sensor komt kan het Mac-adres meteen worden versleuteld en niet meer herleidbaar zijn naar een persoon. Je kunt waarborgen inbouwen voor privacyvriendelijkheid en waar mogelijk anonimiteit, zoals dat zelfs het niet-herleidbare nummer na bepaalde tijd gewist wordt. En je moet transparant zijn over je werkwijze.”


   

Rob van der Staaij

Adviseur identity management, cybersecurity en privacy

“Je kunt veiliger toegang faciliteren vanuit mobiele apparaten tot cloudomgevingen. De meeste mobiele apparaten hebben als beveiligingsmechanisme niet meer dan een pincode of wachtwoord en gebruiken niet eens antivirussoftware of versleuteling. Dat is volstrekt onvoldoende als je met vertrouwelijke informatie te maken hebt. Belangrijk is enige vorm van sterke authenticatie, dus behalve een pincode of wachtwoord nog iets extra’s. Er zijn veel technieken in ontwikkeling. Er zijn biometrische methoden, zoals de vingerafdruksensor van de iPhone 5s, de irisscan of gezichtsherkenning. Een van de betere technieken is de bewegingssensor. Daarmee leert je smartphone aan de hand van jouw loopbewegingen jou kennen als rechtmatig eigenaar en geeft je automatisch toegang tot de diensten die je ermee wilt benaderen. Ondertussen verzinnen schurken bijzonder knappe dingen om smartphones te hacken. Dus het is zaak dat er snel iets gebeurt.”


   

Marten Voulon

Legal counsel bij ING

“Uiteindelijk bleek de elektronische handtekening toch niet zo vergelijkbaar met de handgeschreven handtekening als we destijds dachten. Het nieuwe pakket wetgeving dat eraan komt uit Brussel is beter. Het adresseert nu wél identificatie en authenticatie, maar voornamelijk voor overheidsdiensten en niet voor de private sector. We krijgen een elektronische tijdstempel en een elektronische bezorgingsdienst met een wettelijke status, dus de aangetekende brief per e-mail. Websitecertificaten waren een vrij domein, maar worden waarschijnlijk onderworpen aan toezicht. De vertrouwensdienstverleners die we al kennen kunnen hun service uitbreiden met identificatie en authenticatie, maar zodra ze het aanbieden ben je onderworpen aan toezicht. De volgende stap is dat we op grond van de nieuwe wetgeving nieuwe technische normen vaststellen, waarop organisaties hun bedrijfsvoering kunnen stoelen.”


   

Albert van Veen

CIO bij ING Insurance

“Veel bedrijven hebben een deel van hun data in-house opgeslagen en een deel in de cloud. Het is belangrijk dat je eenmalig inlogt en dan een service kunt benaderen, of die nou in de cloud staat of in je eigen datacenter. Daarbij is identity federation belangrijk. Dat zorgt ervoor dat jouw identiteit automatisch en op een veilige manier bekend is bij de access directory van de cloud provider. Anders moet je een login hebben voor het systeem binnen je eigen bedrijf en aparte log-ins voor je cloudoplossingen. Elke applicatie kan in een andere cloud staan dus straks heb je zes verschillende log-ins. Dat is lastig voor de gebruikers, maar ook een securityrisico.”


   

Jan Meijsen

Informatieadviseur bij gemeente Molenwaard

“IAM is nu veel te complex. Je kunt alles digitaal en eenvoudig regelen. Je geeft elke burger een unieke code op een bestaande kaart als je rijbewijs en die je laat je voor alle diensten gelden. Op de kaart staat een afgeschermde set data die je gedoseerd kunt gebruiken voor verschillende diensten, van overheid tot bijvoorbeeld Albert Heijn. Zo kan ik vanuit verschillende rollen als inwoner, kiezer, consument, vrijwilliger en werknemer op een eenvoudige manier digitale diensten kan gebruiken. Dus je moet naar een single point toe, zoals bij een bankpasbetaling, terwijl men in beveiliging vaak oplossingen ziet in gelaagdheden met verschillende functionaliteiten en pasjes. Ja, neem het serieus, maar voorkom dat je doorslaat en de achterliggende functionaliteit en toegankelijkheid ermee belemmert. Met mijn pinpas kan ik bij alle banken geld uit de pinautomaat halen. Daar hebben we lang over gedaan om het goed voor elkaar te krijgen. Met identity management is dat hetzelfde. Als de overheid optreedt als één overheid als het gaat om identity en access loopt de burger niet meer met een portemonnee vol pasjes en een boel wachtwoorden met alle risico’s van dien. Als dat goed voor elkaar is, kun je ook ondernemers erbij betrekken.”

   

Eefje van der Harst

Productmanager ­diensten bij SURFnet

“Onze dienst SURFconext is een samenwerkingsinfrastructuur die identitymanagementsystemen van hoger onderwijsinstellingen in Nederland verbindt met cloudapplicaties. Zo kunnen gebruikers met een gebruikersnaam en wachtwoord van hun onderwijsinstelling toegang krijgen tot cloudapplicaties van derden zoals Google Apps, Elsevier en wiki’s. Op die manier hoeven zij niet meer voor elke website een nieuwe gebruikersnaam en wachtwoord aan te maken. Het is veilig omdat er geen wachtwoorden meer worden uitgewisseld met cloudleveranciers. Het verschil met een systeem als DigiD is dat niet wij, maar de 120 onderwijsinstellingen zelf identity provider zijn. Via SURFconext hoeven deze onderwijsinstellingen alleen één technische koppeling met de centrale infrastructuur van SURFconext te beheren en geen een-op-een-koppelingen met honderden cloudleveranciers. SURFconext is bovendien een trustinfrastructuur, waarin we via contractuele afspraken met alle partijen privacy en security waarborgen.”

Lees meer over
Lees meer over Beheer OP AG Intelligence
Reactie toevoegen
De inhoud van dit veld is privé en zal niet openbaar worden gemaakt.