7 tips om de veiligheid van digitale identiteiten te beheren

Gepubliceerd op 05/01/2023 in Nieuws

7 tips om de veiligheid van digitale identiteiten te beheren

Beveiliging evolueert. Niet enkel in de perimeter vindt de beveiliging plaats, maar ook bij de identiteit van de gebruiker. Tot voor kort was identity management vaak een heel versnipperd verhaal, terwijl er juist behoefte is aan een holistische aanpak.

7 tips voor succesvol identity management van Bart Callens, Product Manager bij Proximus.

Een digital identity wordt gedefinieerd als het geheel van informatie over een persoon, organisatie of elektronisch apparaat dat online bestaat. Het is belangrijk dat een organisatie digital identities goed beheert, vooral in verband met de toegang die deze digital identities hebben tot het netwerk, de gegevens en de toepassingen van de organisatie.

1. De drie geboden: wie, wat, waar

Bedrijven als Google en Facebook zijn waarschijnlijk de grootste beheerders van identiteitsgegevens, al is de bruikbaarheid deze gegevens vrij beperkt. Een overheidsdienst zal nooit toestaan dat een burger zich enkel met zijn Facebook-ID registreert. Dat heeft te maken met de drie geboden van identity management: authenticatie (zeker weten wie het is), autorisatie (die persoon de juiste rechten geven) en audit (weten wat er met de gegevens is gebeurd).

2. Geïntegreerde aanpak is noodzakelijk

Een organisatie mag haar aanpak van identity management niet uitsluitend vanuit een IT-technisch perspectief bekijken. Alle afdelingen in de organisatie zijn betrokken. Human Resources is bijvoorbeeld verantwoordelijk voor de on- en offboarding van medewerkers, Marketing wil een soepele klantervaring bij registratie en wil het gebruik van digitale applicaties door klanten stimuleren. En Legal en Compliance wil digital identities beheren omdat zij onderworpen zijn aan strenge wet- en regelgeving zoals de GDPR. Daarom is het belangrijk dat alle relevante stakeholders geïdentificeerd en betrokken worden tijdens het digital identity-project.

Identity management is ook een belangrijke hoeksteen van een moderne Zero-Trust-architectuur. Het moet daarom worden geïntegreerd in uw algemene ZTNA (Zero-Trust Network Access)-architectuur en identiteitsgerelateerde gebeurtenissen correleren met andere beveiligingsgebeurtenissen in uw netwerk. Veel moderne aanvallen omvatten privilege escalation als onderdeel van de Kill Chain. Door identiteitsgerelateerde beveiligingsrisico's te detecteren kunt u aanvallen eerder opsporen en stoppen en de schade tijdens een aanval beperken.

3. Begin klein en leer

Een Big Bang-aanpak wordt niet aanbevolen voor succesvolle digital identity-projecten. Begin klein, met een beperkt aantal gebruikersgroepen, toepassingen en rollen. Leer van uw MVP (minimum viable product) op een wendbare manier om uw eerste project uit te breiden tot een continu Identity Security-programma.

4. Gebruikerservaring en communicatie zijn essentieel

Een gebruiksvriendelijke interface verhoogt de snelheid waarmee de digital identity-oplossing wordt aangenomen. Als de oplossing als te strikt wordt ervaren, kunnen gebruikers weerstand gaan vertonen. Eindgebruikers verwachten een efficiënte interface, ook voor mobiele apparaten. Integreer uw identiteitsoplossing daarom met communicatiekanalen die al door uw gebruikers worden gebruikt, zoals Microsoft Teams of Slack.

5. Werk op lange termijn

Identity management is geen project maar een programma. Zodra het platform is geïmplementeerd, is het essentieel dat het toezicht en de evolutie verdergezet worden. Identity management is dus een zaak van lange adem. Een organisatie moet altijd blijven nadenken over hoe zij in contact wil blijven met haar klanten, personeel en leveranciers.

6. MFA waar het kan, maar geen wondermiddel

Als dat nog niet het geval is, pas dan waar mogelijk multifactorauthenticatie (MFA) toe, ter bescherming tegen diefstal van credentials of brute-force-attacks. MFA is echter geen mirakeloplossing. Aanvalstechnieken zoals MFA-moeheid, ‘pass-the-hash’, ‘pass-the-token’ of ‘pass-the-cookie’ omzeilen multifactorauthenticatie.

Pas waar nodig wachtwoordloze authenticatie en FIDO2 (Fast Identity Online) toe en controleer uw endpoints en identiteitsinfrastructuur op verdachte activiteiten. Vergeet niet om ook uw mobiele toestellen te beschermen, want die zijn vaak de zwakste schakel en worden steeds aantrekkelijker voor hackers. In veel gevallen zijn ze de tweede authenticatievorm van MFA (denk aan authenticatie-apps zoals Microsoft of Google Authenticator).

7. De context mag niet worden vergeten

De manier om digital identities en hun toegang te beschermen en te beheren verandert afhankelijk van de context waarin de identiteiten worden gebruikt. Digital identities in een B2E-, B2C-, B2B- of G2C-context hebben elk hun eigen uitdagingen en oplossingen. Zo verschilt het beheer van de toegang van medewerkers tot uw bedrijfsapplicaties sterk van de manier waarop u de digital identities van uw klanten beveiligt en digitale fraude voorkomt. Personeel heeft soms toegang nodig tot platforms met gevoelige gegevens, dit vereist ook extra beveiliging.

Bij digital identities-modellen werd vroeger vooral in silo's gedacht, maar we zien nu steeds meer modellen met een gecentraliseerde aanpak. Het is belangrijk om de voor- en nadelen van elke aanpak te kennen en het model te implementeren dat geschikt is voor uw bedrijf of use case. Bovenal is het belangrijk het juiste evenwicht te vinden tussen privacy en beveiliging.

Vergeet tot slot niet om in uw identity managementplan verder te kijken dan de traditionele gebruikers. Toepassingen, platforms of bots hebben ook een digital identity die goed beheerd en beschermd moet worden.

Er bestaat een risico voor de beveiliging van uw bedrijfsgegevens. Dit komt doordat u meer mobiele werknemers hebt, u meer data opslaat in de cloud en uw werknemers een grotere digitale aanwezigheid hebben.

Beveilig uw bedrijfsgegevens

One

One is het ICT-vakblad van Proximus voor CIO’s en ICT-professionals van grote en middelgrote ondernemingen. 

Andere artikels van One