Tag Archives: IAA

Beleid voor IAA: Principes voor Identificatie

Deze blog is de tweede in de reeks over beleid, uitgangspunten en principes voor identificatie, authenticatie en autorisatie. De eerste is hier te vinden.

We verankeren onze identiteiten.

Het uitgeven van een digitale identiteit is altijd gebaseerd op een externe autoriteit die we vertrouwen:

De manieren voor digitale identificatie die wij zelf bieden (account) zijn verankerd in het tonen van een identiteitsbewijs zoals deze is uitgegeven door een overheid. Dit vindt plaats vóór het aanmaken ervan.
De middelen voor digitale identificatie die zijn uitgegeven door andere organisaties vertrouwen we indien deze zijn aangesloten bij dezelfde federaties als wijzelf. De eisen voor toegang tot de federatie dienen als waarborg.
De middelen voor digitale identificatie van geautomatiseerde processen (het domein van een server) zijn verankerd in het proces van certificering. Partijen die deze certificaten uitreiken kunnen dit alleen als ze voldoen aan de Telecommunicatiewet en aan specifieke eisen. De Autoriteit Consument en Markt ziet hier op toe en vormt zo een waarborg voor ons.

We onderhouden één Identiteit.

Een natuurlijke persoon heeft één identiteit. Het HR systeem (medewerker) of de deelnemersregistratie (cursisten, studenten en leerlingen) geldt als bronsysteem. Uitzonderingen kunnen gemaakt worden voor personen die zowel student als medewerker zijn.

Het aangewezen bronsysteem van een identiteit geldt als bron voor de levenscyclus. Zodra de persoon niet meer actief is bij de onderwijsinstelling wordt zijn/haar identiteit gedeactiveerd (incl. alle autorisaties). De bewaartermijn van (gedeactiveerde) identiteiten, accounts en autorisaties wordt bepaald door de applicatie-eigenaar in samenwerking met de proces-eigenaar. Wetgeving is hierin altijd leidend.

We onderhouden één account.

Een identiteit beschikt over één account voor onze ICT infrastructuur. Een uitzondering wordt gemaakt voor test-, beheer- en service-accounts, die echter wel te herleiden zijn naar een natuurlijk persoon of specifiek systeem.

Accounts voor applicaties worden geautomatiseerd aangemaakt en verwijderd. Voor risicovolle applicaties worden accounts direct gedeactiveerd. Indien dit niet geautomatiseerd kan, dan wordt dit conform een procedure handmatig ingeregeld.
Er worden geen ‘algemene’ accounts gebruikt, die niet gekoppeld zijn aan een persoon.

Context bepaalt autorisatie

De context van een identiteit bepaalt in eerste instantie de autorisatie. Voorbeelden zijn iemands functie en organisatieonderdeel, op basis waarvan basale autorisaties (account uitgifte en autorisaties binnen applicaties) worden toegekend. Naarmate er meer eigenschappen bekend worden (voor strikt organisatorische doeleinden), wordt het verlenen en muteren van autorisaties verder verfijnd en geautomatiseerd.

We gebruiken pseudoniemen in de educatieve contentketen

Om de persoonsgegevens van onze deelnemers te beschermen, als zij gebruik maken van digitaal lesmateriaal of digitale examens bij externe leveranciers, werken we op basis van pseudoniemen. Wij weten bij welke natuurlijke persoon het pseudoniem hoort, de leverancier echter niet.

Mijn volgende blog zal gaan over de principes voor Authenticatie.

Beleid voor IAA: Zeker weten wie wat mag

Afgelopen tijd heb ik samengewerkt met onze Functionaris Gegevensbescherming aan het IAA-beleid. Deze formuleert uitgangspunten en principes voor identificatie, authenticatie en autorisatie. Het bleek dat we best nauwkeurig mensen rechten geven binnen applicaties, maar zonder een onderlegger voor onze functioneel beheerders en zonder breed afgesproken standpunten. Komende blogs ga ik hier op in en deze is dus de eerste in de reeks.

Wat verstaan we onder IAA?

Identificatie, Authenticatie en Autorisatie zijn stappen in het proces voor toegangscontrole. Dit is het proces om toegang te krijgen tot ons netwerk, onze applicaties en functionaliteiten daarbinnen. Het ziet er op toe dat de juiste personen toegang hebben tot gegevens.

Identificatie

Identificatie is het kenbaar maken van de identiteit van een persoon of een systeem. Om de identiteit op een zinvolle manier te kunnen gebruiken, is het noodzakelijk dat elke toegepaste identiteit uniek is. In de regel gebeurt dat door aan iedere gebruiker van onze ICT-omgeving en aan elk geautomatiseerd proces een unieke gebruikersnaam toe te kennen.

Authenticatie

Authenticatie is het vaststellen van de juistheid van de opgegeven identiteit. Dat kan een persoon of systeem aannemelijk maken met:

Iets wat alleen jij kent (een wachtwoord).
Iets wat alleen jij hebt (een certificaat, een sleutel, een mobiel of token voor extra code, een pasje met een chip).
Iets wat alleen jij bent (biometrische kenmerken zoals vingerafdruk of iris).

Als een combinatie van bovenstaande manieren gebruikt wordt, dan spreekt men van sterke of meervoudige authenticatie. Idealiter wordt hier pas om gevraagd als er binnen een applicatie gevoelige gegevens opgeroepen worden of waardevolle transacties gedaan worden.

Bijvoorbeeld: het bekijken van een rooster van een student kan al na inloggen met alleen een wachtwoord, maar voor het bekijken van zijn begeleidingsdossier zou een extra code gevraagd worden. Dit wordt ‘step-up’ authenticatie genoemd.

Autorisatie

Autorisatie is het uitdelen van een recht op functionaliteit om met een set gegevens iets te doen: toegang om ze te lezen, te wijzigen of te beheren (het recht om rechten uit te delen). Bij dit proces hoort ook het muteren of intrekken van zo’n recht. In de praktijk worden deze rechten gekoppeld aan rollen en krijgt een individu een rol met de daarbij behorende rechten toegewezen.

Zie onderstaand model aan de hand van het motto: “Je identiteit kenbaar maken, aantonen en gebruiken.”

In hoge resolutie hier te downloaden.

Wat verwachten we van IAA nu en straks?

We verwachten nu al:

Dat IAA de vertrouwelijkheid van de informatie kan borgen en ervoor moet zorgen dat alleen de personen voor wie de informatie bedoeld is er toegang toe hebben. Hiermee wordt tevens het vertrouwen in de ICT-omgeving vergroot en in het geval van persoonsgegevens helpt het privacy realiseren.
Dat IAA beleid en de afgeleide richtlijnen gecontroleerde toegang tot applicaties en gegevens daarbinnen waarborgt. Soms impliceert dit ook toegangscontrole tot fysieke locaties (bijvoorbeeld het datacenter, ruimtes met netwerkcomponenten en stroomvoorziening, examenlokalen of de kantoren waar examens opgeslagen zijn).
Dat IAA hoge eisen stelt aan de houding en gedrag van onze medewerker.

We verwachten dat in de toekomst:

Het gebruik van pseudoniemen voor onze deelnemers toe zal nemen. Dit zijn lange reeksen karakters die uniek zijn per deelnemer en inschrijving. Als school weten wij welk pseudoniem bij welke deelnemer hoort. Externe partijen echter werken alleen met het pseudoniem zonder dat ze weten welke ‘persoon’ er achter zit. Tegelijkertijd hebben ze wel de zekerheid dat het een deelnemer van ons is. Deelnemers kunnen zo digitaal lesmateriaal gebruiken of examens maken zonder dat de leverancier ervan teveel persoonsgegevens krijgt.
We steeds strikter toezien op de naleving van het IAA-beleid. De bewustwording dat het onbeperkt gegevens verzamelen en koppelen negatieve gevolgen kan hebben voor een individu en dus de maatschappij, motiveert steeds meer om formeel om te gaan met IAA.
Dat we in breder verband meer diensten zullen leveren aan personen met een digitale identiteit van een andere organisatie. Nu doen we dat al voor externe studenten door ze te voorzien van wifi, middels Eduroam of ze in de regio op weg te helpen, middels Route35. Een ander voorbeeld is toegang tot onze publieke taken voor andere EU burgers.
Dat sterke authenticatie de standaard inlogmethode zal worden voor netwerktoegang en voor applicaties die geen ‘step-up’ authenticatie ondersteunen.

Scope van IAA

Dit beleid is van toepassing op alle toegang tot informatie. Doorgaans wordt informatie digitaal opgeslagen, maar dit beleid is ook van toepassing op papieren (analoge) informatie. De scope is daarom:

Alle applicaties en systemen van de onderwijsinstelling of diensten die informatie bevatten of transporteren. De applicatielijst zoals deze bij ons in TopDesk beheerd wordt middels de softwarekaarten geldt in deze als bron.
Alle ruimtes waar informatie bewaard wordt, aangezien soms fysieke toegang tot een ruimte impliciet toegang geeft tot (analoge) informatie.

Mijn volgende blog zal gaan over de principes voor Identificatie.

Volgende stap in identity- en accessmanagement

Ik ben vandaag te gast bij ROC Twente in de Gieterij voor de 38ste saMBO-ICT Conferentie. In ronde 3 praten Rick Ruumpol (Red Spider Vereniging) en Hendri Boer (Aventus) ons bij over Red Spider.

Technisch is RedSpider een identiteiten-oplossing gebaseerd op NetIQ. De koppelvlakken naar kernsystemen zijn van de vereniging, waar 19 scholen in zitten. Mijn eigen instelling gebruikt het ook. Het zit tussen onze systemen voor HR, leerling-administratie en studenten-administratie aan de ene kant (voedend) en alle andere systemen aan de andere kant (afnemend). Al onze accounts ontstaan doordat deze machine unieke gebruikers aanmaakt op basis van de gegevens uit de voedende systemen.

De vereniging heeft onderzoek gedaan naar ‘context-gebaseerde-toegang’. Tot nu toe regelen we daadwerkelijke toegang in alle afnemende systemen zelf. De context zegt dan niet alleen WIE je bent, maar ook WAT je bent en WAAR je bent. Vaak hangt dat samen met een soort registratie van je device (self-service).

In hun visie willen ze van één account voor toegang tot alle diensten naar gepseudonimiseerde toegang tot diensten. Ben ik helemaal voor, meer anonimiteit.

Ze pleiten voor samen optrekken met Surf, Kennisnet en saMBO-ICT om tot een sectorvoorziening te komen voor access-management.

IAA: Strijd om de identiteit

Vandaag was ik bij de Netwerkbijeenkomst MBO Informatiemanagers. Het thema is “Identiteiten en IAA”. Om even op gang te komen de definities:

Identificatie – Wie je bent – “Ik ben Henk de Boer”.
Authenticatie – Aantonen dat je bent wie je zegt – Kan ik aantonen met m’n rijbewijs.
Autorisatie – Toegang tot datgene waar je recht op hebt – Dus kan ik een auto huren.

IAA

Roel Rexwinkel opent met de vraag “De Digitale Sleutelbos” en hoe houden we deze zo klein mogelijk? Technisch kan dit door de zogenaamde “Federatie” waarmee anderen aansluiten op één systeem met je accountgegevens. De complexiteit wordt hoger als je rekening moet houden met privacy en extra authenticatie naast wachtwoord, zoals SMS etc. Voorbeelden:

DigiD: Tussen overheid/DUO en studielink voor HO/WO. Dit wordt gebruikt in het proces van inschrijven, bekostigen en diplomeren.
SurfConext: inloggen op ELO, digitaal lesmateriaal en andere diensten (nu zo’n 140 identiteiten-providers en 450 service-providers).
Entree: de Kennisnet-federatie, meer in gebruik bij VO/MBO.

Ondertussen is het IAA veld sterk in beweging:

DigiD (werkt vanuit een natuurlijk persoon) versus het ID van de instelling/KVK (eHerkenning) of van de banken (iDIN).
Wetgeving zoals GDI, AVG en eIDAS.

H.P. Köhler vervolgt met het onderdeel “Leermiddelen”, in dit verband logisch omdat het goed koppelen van identiteiten van studenten randvoorwaardelijk is voor makkelijke toegang tot lesmateriaal. Privacy en beveiliging zijn hier hot natuurlijk, helemaal als je wilt differentiëren tussen leerlingen. Daarnaast moet alles ‘het gewoon doen’ op ontelbare netwerken, devices en instellingen. Er zijn 2 belangrijke ketens:

Leermiddelen maken, verkopen, distribueren en uitleveren. Grotendeels commerciële wereld dus.
Leermiddelen samenstellen, plannen, gebruiken en verwerken. Grotendeels de wereld van het onderwijs zelf dus.

Om nou niet ongebreideld alles uit de onderwijs-wereld warm over te dragen aan de commerciële wereld (mijn woorden) is er een zogenaamde nummervoorziening bedacht. Zodat niet alles van de leerling overgedragen wordt maar een minimale set gegevens. Overigens best complex als meerdere leveranciers (uitgeverijen) samen één uitlevering verzorgen aan een leerling.

Aanvullend op wetgeving:

eIDAS: een europese verordering met als doel meer vertrouwen in elektronische transacties, een gemeenschappelijk kader en toezicht erop. Praktische toepassing is bijvoorbeeld die van het ‘zetten’ van digitale handtekeningen.
GDI: de Nederlandse invulling van eIDAS, waarvoor een internetconsultatie loopt. Het wordt in beginsel verplicht voor alle bestuursorganen, waarbij eerst het BSN domein aangehaakt wordt en die waarbij de burger te maken heeft met publieke diensten.

Overigens zijn de initiatieven, afspraken, wetten, regels en systemen voor publieke diensten, private diensten, werken vanuit bedrijven en vanuit de burger weer verschillend. Vandaar dat we met z’n allen veel expertise uitwisselen 😉