Identificatie

Identificatie is het proces waarbij een gebruiker, apparaat of applicatie zich kenbaar maakt aan een informatiesysteem door een specifiek kenmerk te presenteren zoals een gebruikersnaam, e-mailadres of personeelsnummer. Het is de eerste stap in het driestappenproces van Identity and Access Management (IAM): identificatie, authenticatie en autorisatie. Bij identificatie geef je aan wie je bent door een identifier in te voeren. Het systeem zoekt deze op in het identiteitenregister en herkent je digitale identiteit, maar verifieert op dit punt nog niet of je daadwerkelijk bent wie je beweert te zijn. Die verificatie vindt plaats in de volgende stap: authenticatie, waarbij je je identiteit bewijst met een wachtwoord, token of biometrisch kenmerk.

Waarom is het belangrijk?

Identificatie vormt het fundament van elk toegangsbeheerssysteem en daarmee van de gehele digitale beveiliging van een organisatie. Zonder correcte en betrouwbare identificatie is het onmogelijk om authenticatie en autorisatie toe te passen, wat betekent dat je niet kunt controleren wie toegang heeft tot welke systemen, applicaties en gevoelige data. In een tijd waarin identiteitsgebaseerde aanvallen zoals credential stuffing, account takeover, identity theft en session hijacking in aantal en verfijning toenemen, is robuuste identificatie essentieel voor de beveiliging van je organisatie en de bescherming van je klantgegevens en bedrijfskritische informatie.

Het onderscheid tussen de drie stappen is cruciaal voor het correct implementeren van toegangsbeveiliging. Identificatie is "wie ben je?", authenticatie is "bewijs het" en autorisatie is "wat mag je doen?". Veel security-incidenten ontstaan doordat deze drie stappen niet goed gescheiden of onvoldoende geimplementeerd zijn. Als de identificatiestap zwak is, bijvoorbeeld door voorspelbare gebruikersnamen, het ontbreken van unieke identifiers voor serviceaccounts, of het gebruik van generieke gedeelde accounts voor meerdere personen, wordt het aanvalsoppervlak voor brute-force aanvallen en credential stuffing aanzienlijk vergroot omdat aanvallers dan alleen nog het wachtwoord hoeven te raden of te stelen om volledige toegang te verkrijgen.

Microsoft noemt IAM een van de belangrijkste verdedigingslinies tegen cyberaanvallen. Met de explosieve groei van cloudservices, remote en hybride werken, BYOD-beleid en de toenemende adoptie van SaaS-applicaties is het aantal digitale identiteiten per organisatie enorm gestegen tot soms honderden per medewerker. Een gemiddelde medewerker heeft tientallen accounts bij verschillende applicaties, platforms en diensten die elk hun eigen identificatie- en authenticatiemechanismen hanteren. Elke identiteit die niet goed wordt beheerd, niet wordt gemonitord of niet tijdig wordt verwijderd na vertrek van een medewerker, vormt een potentieel toegangspunt voor aanvallers die zoeken naar de zwakste schakel in je beveiligingsketen.

Hoe pas je het toe?

Effectieve identificatie begint met het vaststellen van unieke identifiers voor elke gebruiker, elk apparaat en elke applicatie in je organisatie zonder uitzonderingen. Gebruik unieke gebruikersnamen die niet gemakkelijk te raden zijn op basis van publiek beschikbare informatie en vermijd generieke accounts waar dat mogelijk is. Niet-persoonsgebonden accounts zoals serviceaccounts en gedeelde beheeraccounts verdienen bijzondere aandacht en documentatie omdat ze vaak verhoogde rechten hebben, door meerdere personen worden gedeeld en daardoor moeilijker te traceren zijn bij een security-incident, forensisch onderzoek of compliance-audit.

Implementeer een centraal Identity Management systeem dat alle digitale identiteiten beheert vanuit een single source of truth als de autoritatieve bron voor alle identiteitsinformatie. Oplossingen als Microsoft Entra ID, Okta, OneLogin en Ping Identity bieden gecentraliseerd identiteitsbeheer met ondersteuning voor Single Sign-On (SSO), federatieve identiteit via standaarden als SAML en OpenID Connect, en geautomatiseerd levenscyclusbeheer van accounts van creatie tot deactivatie. Dit voorkomt dat identiteiten verspreid raken over tientallen of honderden systemen (identity sprawl) en vergemakkelijkt het offboarding-proces wanneer medewerkers de organisatie verlaten, zodat er geen zwevende accounts met actieve toegang achterblijven.

Zero Trust architectuur begint bij identificatie als eerste en meest fundamentele stap in het beveiligingsmodel. In een Zero Trust model vertrouw je geen enkele identiteit automatisch, ongeacht of deze zich binnen of buiten het bedrijfsnetwerk bevindt. Elke toegangspoging start met identificatie, gevolgd door strenge authenticatie en continue autorisatie gedurende de hele sessie op basis van context zoals locatie, apparaat en risiconiveau. Dit principe beschermt effectief tegen laterale beweging van aanvallers die eenmaal binnen het netwerk zijn en voorkomt dat een gecompromitteerde identiteit onbeperkte toegang krijgt tot alle systemen en data.

In de praktijk

In de praktijk worstelen veel organisaties met identity sprawl: het ongecontroleerd groeien van digitale identiteiten over tientallen of zelfs honderden applicaties en diensten. Zonder centraal beheer en governance ontstaan er zwevende accounts van ex-medewerkers die nog actieve toegang hebben tot bedrijfssystemen, dubbele identiteiten voor dezelfde persoon in verschillende systemen, en inconsistente toegangsrechten die niet meer overeenkomen met de actuele functie en verantwoordelijkheden van de medewerker. Dit vergroot het aanvalsoppervlak aanzienlijk en maakt compliance met regelgeving als de AVG en de aankomende Cyberbeveiligingswet bijzonder uitdagend voor het compliance-team.

De GEMMA-architectuur voor Nederlandse overheden schrijft voor hoe identificatie, authenticatie en autorisatie geimplementeerd moeten worden in publieke dienstverlening. DigiD is het bekendste Nederlandse identificatiemiddel voor burgers, terwijl eHerkenning hetzelfde doet voor bedrijven en organisaties. Deze nationale standaarden demonstreren hoe identificatie op landelijk niveau georganiseerd kan worden met verschillende betrouwbaarheidsniveaus die aansluiten bij het gevoeligheidsniveau van de dienst waartoe toegang wordt gevraagd. Het betrouwbaarheidsniveau bepaalt welke identificatie- en authenticatiemiddelen vereist zijn, van een eenvoudige gebruikersnaam tot een gekwalificeerd elektronisch identificatiemiddel.

De toekomst van identificatie verschuift steeds meer naar biometrische en gedragsgebaseerde methoden die de traditionele gebruikersnaam-gebaseerde identificatie aanvullen of zelfs vervangen. Vingerafdrukken, gezichtsherkenning en stemherkenning bieden een hogere mate van zekerheid over de identiteit van de gebruiker. Gedragsgebaseerde identificatie analyseert patronen in toetsaanslagen, muisbewegingen en navigatiegedrag om continu te valideren dat de persoon achter het toetsenbord daadwerkelijk de geidentificeerde gebruiker is. Deze technieken sluiten naadloos aan op het Zero Trust principe van continue verificatie en versterken de vertrouwelijkheid van de systemen die je beschermt.

Voor organisaties die hun identificatieprocessen willen verbeteren, is het raadzaam om te starten met een identity audit die alle bestaande identiteiten in kaart brengt over alle systemen heen. Identificeer zwevende en ongebruikte accounts die een risico vormen en implementeer lifecycle management zodat identiteiten automatisch worden aangemaakt, gewijzigd en verwijderd in lijn met de organisatorische werkelijkheid. Koppel dit aan je HR-systemen voor automatische provisioning bij indiensttreding en deprovisioning bij uitdiensttreding. Zo voorkom je dat vertrokken medewerkers nog toegang hebben tot systemen met gevoelige data, een veelvoorkomende risicofactor die bij audits regelmatig wordt aangetroffen en die je digitale veiligheid ondermijnt.

Veelgestelde vragen

Wat is het verschil tussen identificatie en authenticatie?

Identificatie is je kenbaar maken (wie ben je), authenticatie is bewijzen dat je opgegeven identiteit klopt.

Welke gegevens gebruik je voor identificatie?

Gebruikersnamen, e-mailadressen, personeelsnummers of apparaat-ID's zijn veelgebruikte identificatiemiddelen.

Waarom zijn unieke identifiers belangrijk?

Unieke identifiers voorkomen verwarring tussen gebruikers en maken audit trails betrouwbaar en traceerbaar.

Wat is identity sprawl?

Identity sprawl is het ongecontroleerd groeien van digitale identiteiten door gebruik van vele systemen.

Hoe voorkom je zwevende accounts?

Implementeer lifecycle management gekoppeld aan HR-processen voor automatische deprovisioning bij uitdiensttreding.

Wil je het identiteitsbeheer van jouw organisatie verbeteren? Vind IAM-specialisten via IBgidsNL.