Identity en beveiliging bij gemeenten: toegang beheersbaar organiseren

Gemeenten hebben medewerkers, externen en ketenpartners met verschillende toegangsbehoeften. Identitybeheer moet toegang snel kunnen verlenen én intrekken, met voldoende logging om achteraf te controleren wat is gebeurd.

Van zoekterm naar concrete behoefte

Inventariseer gebruikersgroepen en bepaal welke bron leidend is voor identiteit, functie en organisatorische eenheid.

Breng ook uitzonderingen in kaart, zoals tijdelijke medewerkers, externe adviseurs en gedeelde dienstverlening.

De belangrijkste selectiepunten

Lifecyclebeheer en autorisatie zijn belangrijker dan alleen de inlogmethode.

• automatische instroom, doorstroom en uitstroomControleer dit met een eigen praktijkscenario en leg het antwoord vast voor de shortlist.
• fijnmazige rollen en functiescheidingVraag hoe dit wordt beheerd na livegang, niet alleen hoe het tijdens de demo werkt.
• MFA passend bij risico en gebruikerBeoordeel zowel de functie als de tijd die intern nodig is om deze goed te blijven gebruiken.
• auditlogging en periodieke toegangsreviewVraag welke afhankelijkheden bestaan van andere modules, partners of abonnementen.

Vraag hoe uitzonderingsrechten verlopen en hoe beheerders zien welke toegang buiten de standaardrol is toegekend.

Gebruik echte scenario’s in de demo

Simuleer een medewerker die van afdeling wisselt en een externe gebruiker van wie de opdracht afloopt.

• hoe snel vervallen oude rechten?Vraag wie verantwoordelijk is wanneer dit onderdeel niet werkt zoals verwacht.
• kan tijdelijke toegang automatisch verlopen?Laat de leverancier het antwoord onderbouwen met de werkelijke beheeromgeving.
• hoe worden gekoppelde applicaties bijgewerkt?Controleer of het antwoord ook geldt voor het pakket en serviceniveau dat je wilt afnemen.
• welke rapportage ondersteunt een toegangsreview?Vraag welke informatie je organisatie zelf kan controleren zonder supportticket.

Controleer ook herstelprocedures wanneer de centrale identitydienst niet beschikbaar is.

Let op verborgen beheerlast

Centrale identity vermindert beheerlast alleen als brongegevens en processen betrouwbaar zijn.

• oude rechten na functiewijzigingMaak dit onderdeel van contract- of beheerafspraken wanneer meerdere partijen betrokken zijn.
• tijdelijke accounts zonder einddatumGebruik monitoring of een vaste review om dit risico aantoonbaar te beheersen.
• losse lokale accounts buiten centraal beheerBepaal vooraf wie dit risico signaleert en welke herstelactie daarna volgt.
• onvoldoende zicht op uitzonderingsrechtenNeem dit mee in acceptatietesten zodat het niet pas na livegang zichtbaar wordt.

Maak periodieke controle onderdeel van het proces in plaats van een incidentele auditactie.

Plan migratie, adoptie en nazorg

Begin met duidelijke rollen en koppel daarna applicaties gefaseerd.

• bronsysteem voor identiteit vastleggenLeg bevindingen vast zodat dezelfde fout niet bij een volgende fase terugkomt.
• rollenmatrix validerenKoppel hier een concreet acceptatiecriterium aan vóórdat de volgende stap begint.
• pilot met enkele applicatiesPlan hiervoor voldoende interne capaciteit; de leverancier kan niet alle proceskeuzes overnemen.
• toegangsreview na eerste gebruiksperiodeEvalueer het resultaat na livegang en pas inrichting of werkwijze aan waar nodig.

Een gefaseerde aansluiting maakt fouten in rolmapping zichtbaar voordat ze veel systemen raken.

Selectiematrix voor je shortlist

Maak de vergelijking controleerbaar door per leverancier hetzelfde bewijs te verzamelen. Zo voorkom je dat een sterke presentatie zwaarder weegt dan de onderdelen die in de dagelijkse praktijk het verschil maken.

Beslisnotitie: leg vóór het besluit vast hoe je omgaat met oude rechten na functiewijziging, wie eigenaar wordt van bronsysteem voor identiteit vastleggen, en op welk moment je controleert of de gekozen oplossing de beloofde verbetering werkelijk oplevert.

Verder binnen Overheid