Wat is IAM?
IAM (Identity and Access Management) is het geheel van processen, beleid en technologie waarmee een organisatie digitale identiteiten van mensen, systemen en apparaten beheert en bepaalt wie welke toegang krijgt tot welke middelen, op welk moment en onder welke voorwaarden. IAM omvat twee samenhangende disciplines: identiteitsbeheer (Identity Management, IdM), dat de levenscyclus van een identiteit regelt van aanmaken tot verwijderen, en toegangsbeheer, dat bepaalt wat die identiteit mag doen. Samen vormen ze de basis van cybersecurity, compliance en traceerbaarheid in zowel IT- als OT-omgevingen.
IAM beantwoordt drie vragen: wie ben je, wat mag je, en hoe wordt die toegang gecontroleerd, bewaakt en weer ingetrokken.
🧠 Waarom is IAM belangrijk?
Gestolen of misbruikte inloggegevens zijn een van de meest gebruikte ingangen voor aanvallers. Een bekend voorbeeld is de ransomware-aanval op Colonial Pipeline in 2021: de aanvallers kwamen binnen via het wachtwoord van een oud VPN-account dat niet meer in gebruik was, maar nog wel werkte en geen meerfactorauthenticatie had. Het account had bij een goed ingericht identiteitsbeheer allang verwijderd moeten zijn.
| Reden | Toelichting |
|---|---|
| Beveiliging | Voorkomt ongeautoriseerde toegang tot systemen, data en installaties |
| Compliance | Ondersteunt eisen uit ISO 27001, BIO, AVG, NIS2 en IEC 62443 |
| Traceerbaarheid | Elke actie is herleidbaar naar één persoon of systeem |
| Efficiëntie | Nieuwe medewerkers krijgen direct de juiste rechten, vertrekkers verliezen ze direct |
| Risicobeheersing | Beperkt de schade van misbruik door minimale rechten en snelle intrekking, ook bij een insider threat |
🔄 Wat is het verschil tussen identiteitsbeheer en toegangsbeheer?
De termen worden vaak door elkaar gebruikt, maar ze beschrijven verschillende lagen van hetzelfde stelsel:
| Aspect | Identiteitsbeheer (IdM) | Toegangsbeheer |
|---|---|---|
| Kernvraag | Wie of wat is dit? | Wat mag deze identiteit doen? |
| Activiteiten | Aanmaken, wijzigen, deactiveren van accounts | Rechten toekennen, afdwingen en herbeoordelen |
| Technieken | HR-koppeling, directory, provisioning | RBAC, ABAC, policies, Least Privilege |
| Bron van waarheid | HR-systeem en centrale directory | Rollenmodel en autorisatiematrix |
| Typisch bewijs bij audit | Joiner/mover/leaver-registraties | Uitkomsten van periodieke access reviews |
IAM is de overkoepelende term: zonder betrouwbare identiteiten kan toegangsbeheer niets afdwingen, en zonder toegangsbeheer heeft een identiteit geen betekenis. Verwante termen als access control (toegangscontrole) verwijzen meestal naar het technische handhavingspunt, zoals een inlogscherm, een firewallregel of een badgelezer bij een deur.
🔧 Uit welke onderdelen bestaat IAM?
- Directory - centrale opslag van identiteiten, zoals Active Directory, Entra ID (tot 2023 Azure AD) of een LDAP-directory
- Authenticatie - vaststellen wie iemand is, met wachtwoord, token, certificaat of biometrie, liefst aangevuld met MFA
- Autorisatie - bepalen wat iemand mag, op basis van rollen (RBAC) of attributen en context (ABAC)
- Provisioning en deprovisioning - automatisch aanmaken en intrekken van accounts, gekoppeld aan het HR-systeem
- Federatie en single sign-on - één identiteit voor meerdere applicaties via standaarden als SAML en OpenID Connect
- Privileged Access Management (PAM) - extra bescherming, sessie-opname en tijdelijke rechten voor beheeraccounts
- Access reviews (recertificering) - periodiek laten bevestigen door managers dat rechten nog passend zijn
- Self-service - gebruikers resetten zelf hun wachtwoord of vragen toegang aan via een portaal met goedkeuringsstap
- Logging en auditing - vastleggen wie wanneer wat deed, vaak doorgestuurd naar een SIEM en soms gekoppeld aan SOAR om bijvoorbeeld een verdacht account automatisch te blokkeren
🔁 Hoe verloopt de levenscyclus van een identiteit?
De levenscyclus volgt het joiner-mover-leaver-model:
- Joiner (aanmaken) - bij indiensttreding maakt het HR-systeem een identiteit aan; het IAM-systeem kent automatisch de basisrollen van de functie toe.
- Mover (wijzigen) - bij een functiewissel krijgt de medewerker nieuwe rechten én verliest hij de oude. Juist dat laatste wordt vaak vergeten, waardoor rechten zich opstapelen (privilege creep).
- Gebruik en herbeoordeling - rechten worden per sessie afgedwongen en periodiek gereviewd op basis van need-to-know.
- Leaver (intrekken) - bij vertrek, projectafsluiting of afwijkend gedrag worden accounts direct gedeactiveerd en later verwijderd.
Ook niet-menselijke identiteiten horen in deze cyclus: serviceaccounts, API-sleutels, certificaten en apparaatidentiteiten. In OT gaat het bijvoorbeeld om de accounts waarmee een historian data uit een SCADA-server leest.
🏭 Hoe pas je IAM toe in OT-omgevingen?
In OT is identiteitsbeheer vaak minder volwassen dan in IT. Veel legacy systemen kennen alleen lokale of gedeelde accounts, standaardwachtwoorden en geen koppeling met een centrale directory. Bij de aanval op het waterbedrijf van Aliquippa (VS) eind 2023 misbruikten aanvallers een via internet bereikbare PLC/HMI van Unitronics waarop het fabriekswachtwoord nog actief was.
| OT-situatie | IAM-maatregel |
|---|---|
| Gedeelde operator-logins op HMI’s | Persoonlijke accounts, of snelle gebruikerswissel met badge zodat acties herleidbaar blijven |
| Engineering Station en PLC-software | Gescheiden accounts voor engineers en operators, PLC-wachtwoorden en projectbeveiliging aan |
| Toegang voor leveranciers | Remote Access via een Jump Server of bastion host met MFA, tijdgebonden accounts en sessie-opname (zie Supplier Security) |
| Legacy apparatuur zonder accountbeheer | Compenseren met Netwerksegmentatie, logging en fysieke toegangsbeveiliging |
| Eigen OT-directory | Een apart OT-domein in plaats van het kantoordomein, zodat een IT-compromittering niet direct doorwerkt |
| Fysieke toegang | Badgesystemen koppelen aan dezelfde identiteit als de digitale toegang |
Beschikbaarheid gaat in OT voor: een operator mag in een noodsituatie niet buitengesloten worden door een verlopen wachtwoord of een onbereikbare directoryserver. Ontwerp daarom gecontroleerde nood-accounts (break-glass) met strikte logging, en zorg dat authenticatie lokaal blijft werken als de verbinding met IT wegvalt.
🔐 Welke normen en wetten stellen eisen aan IAM?
- IEC 62443-3-3 - fundamentele eis FR 1 (identificatie- en authenticatiecontrole) en FR 2 (gebruikscontrole). SR 1.1 vraagt dat alle menselijke gebruikers worden geïdentificeerd en geauthenticeerd. Vanaf security level 2 moet dat uniek per persoon gebeuren (RE 1), vanaf security level 3 is meerfactorauthenticatie vereist voor toegang via onvertrouwde netwerken (RE 2) en op security level 4 voor alle netwerken (RE 3).
- ISO 27001:2022 - Annex A bevat onder meer de controls 5.15 (toegangsbeveiliging), 5.16 (identiteitsbeheer), 5.17 (authenticatie-informatie), 5.18 (toegangsrechten), 8.2 (speciale toegangsrechten) en 8.5 (beveiligde authenticatie).
- NIS2 - artikel 21 noemt beleid voor toegangsbeveiliging en het gebruik van meerfactorauthenticatie of continue authenticatie expliciet als zorgplichtmaatregelen. In Nederland is dit uitgewerkt in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden.
- BIO en AVG - vragen bij overheden en bij verwerking van persoonsgegevens aantoonbaar beheer van wie bij welke gegevens kan.
Principes als Security by Design, Zero Trust (elke sessie opnieuw beoordelen) en een vastgelegd beveiligingsbeleid vormen het kader waarbinnen IAM wordt ingericht.
🛠 Welke IAM-oplossingen worden veel gebruikt?
- Microsoft Entra ID en Active Directory - de meest voorkomende directory in kantooromgevingen, vaak ook in OT-domeinen
- Okta, OneLogin en Ping Identity (waarmee ForgeRock in 2023 is samengevoegd) - cloudgebaseerde identiteitsplatforms met single sign-on en federatie
- Keycloak - open source identity provider voor SSO en OpenID Connect
- CyberArk, BeyondTrust en vergelijkbare PAM-oplossingen - voor beheer van geprivilegieerde accounts
- OT-specifieke remote-access-oplossingen - combineren identiteitscontrole, goedkeuring per sessie en opname voor leveranciers
📋 Hoe richt u IAM stap voor stap in?
- Inventariseer alle identiteiten - personen, serviceaccounts, gedeelde accounts en standaardaccounts op apparaten; koppel dit aan de asset-inventaris of de CMDB.
- Koppel aan een bron van waarheid - laat het HR-systeem joiners en leavers automatisch doorgeven.
- Ontwerp een rollenmodel - bijvoorbeeld operator, engineer, onderhoud, leverancier en beheerder, met per rol de minimale rechten.
- Verwijder gedeelde en standaardaccounts of zet ze onder PAM-beheer met wachtwoordrotatie.
- Voer MFA in - eerst voor remote toegang en beheeraccounts, daarna breder.
- Log en monitor - stuur aanmeldgebeurtenissen naar een SIEM en signaleer afwijkingen zoals inloggen buiten werktijden of vanaf onbekende locaties.
- Herbeoordeel periodiek - laat leidinggevenden minstens jaarlijks, voor beheerrechten vaker, toegangsrechten bevestigen.
- Oefen het incidentscenario - neem accountblokkering en het intrekken van gecompromitteerde identiteiten op in het Incident Response Plan en in continuïteitsbeheer.
Leg de verantwoordelijkheid voor besluiten over rollen en uitzonderingen vast in de governance, zodat niet de beheerder maar de proceseigenaar bepaalt wie toegang krijgt.
❓ Veelgestelde vragen
Wat is het verschil tussen IAM en identiteitsbeheer?
Identiteitsbeheer regelt de levenscyclus van digitale identiteiten: aanmaken, wijzigen en verwijderen. IAM (Identity and Access Management) is breder en omvat daarnaast authenticatie, autorisatie, beheer van beheerrechten en de controle op toegang. Identiteitsbeheer is dus een onderdeel van IAM.
Waarom zijn gedeelde accounts in OT een probleem?
Bij een gedeeld account is niet vast te stellen welke persoon een actie heeft uitgevoerd, zodat incidenten en fouten niet herleidbaar zijn. Bovendien blijft het wachtwoord vaak bekend bij oud-medewerkers en leveranciers. IAM vervangt gedeelde accounts door persoonlijke accounts of dwingt bij gedeelde stations een herleidbare gebruikerswissel af.
Is MFA verplicht voor OT-toegang?
NIS2 en de Cyberbeveiligingswet noemen meerfactorauthenticatie of continue authenticatie als maatregel die organisaties moeten nemen waar passend. IEC 62443-3-3 vereist vanaf security level 3 MFA voor toegang via onvertrouwde netwerken. In de praktijk is MFA voor remote toegang tot OT de eerste prioriteit binnen IAM.
Wat is privilege creep?
Privilege creep is het opstapelen van toegangsrechten wanneer een medewerker van functie wisselt en nieuwe rechten krijgt zonder de oude te verliezen. Het ontstaat door een ontbrekend mover-proces in het identiteitsbeheer. Periodieke access reviews en rolgebaseerde toewijzing binnen IAM voorkomen dit.
Kan een OT-netwerk hetzelfde Active Directory-domein gebruiken als kantoor-IT?
Dat kan, maar het wordt meestal afgeraden: een gecompromitteerd kantoordomein geeft aanvallers dan ook toegang tot de productieomgeving. Een apart OT-domein of een eigen identity provider in de OT-zone beperkt die impact. Het IAM-proces kan wel centraal blijven, met één bron van waarheid voor joiners en leavers.
Hoe beginnen kleine organisaties met IAM?
Begin met een overzicht van alle accounts, verwijder standaard- en ongebruikte accounts en voer MFA in voor remote toegang. Leg daarna een eenvoudig rollenmodel vast en koppel het in- en uitdienstproces aan het aanmaken en intrekken van accounts. Zo levert identiteitsbeheer snel risicoreductie op zonder groot IAM-platform.
📌 Samengevat
IAM combineert identiteitsbeheer en toegangsbeheer tot één beheerst stelsel: elke persoon, elk systeem en elk apparaat heeft een unieke identiteit, krijgt alleen de rechten die nodig zijn en verliest die rechten zodra ze niet meer nodig zijn. In OT vraagt dat extra aandacht voor gedeelde accounts, leveranciers, legacy apparatuur en beschikbaarheid, en normen als IEC 62443, ISO 27001 en NIS2 maken het aantoonbaar verplicht.
IAM zorgt ervoor dat de juiste identiteit, op het juiste moment, precies de juiste toegang heeft, en dat elke actie in IT en OT herleidbaar is tot één persoon of systeem.