Identity raakt iedereen in de organisatie
Bij de gemeente Rotterdam draait identity niet alleen om medewerkers.
Het gaat onder meer over:
- Medewerkers en externen
- Machine identities
- API’s
- Operationele technologie (OT)
- Burgers
- Bedrijven
- DigiD
- eHerkenning
- Europese digitale identiteit wallets
Dat maakt identity een onderwerp dat vrijwel iedere afdeling raakt. Volgens Stefan wordt IAM daarom vaak ten onrechte als een IT-vraagstuk gezien.
De techniek is belangrijk, maar niet de grootste uitdaging. De echte uitdaging zit in de organisatie. Wie is eigenaar van toegang? Wie bepaalt welke rechten iemand krijgt? Wie beoordeelt risico’s? Wie is verantwoordelijk voor governance?
Dat zijn geen technische vragen. Dat zijn organisatievragen.
Waarom IAM uiteindelijk een businessvraagstuk is
Veel IAM-trajecten beginnen vanuit IT. Dat is logisch. Nieuwe tooling moet worden geïmplementeerd, gekoppeld aan bestaande systemen en geïntegreerd in een vaak complex landschap vol legacy-applicaties. Maar zodra de techniek werkt, begint het echte werk pas. Autorisaties worden namelijk niet bepaald door IT. Die worden bepaald door de business.
De business weet:
- Welke functies bestaan
- Welke processen worden uitgevoerd
- Welke informatie nodig is
- Welke risico’s acceptabel zijn
Daarom kunnen IAM-projecten alleen succesvol zijn wanneer business en IT samen optrekken. Zoals Stefan het omschrijft: de techniek werkt uiteindelijk altijd wel. Het meenemen van de organisatie is vaak veel moeilijker.
Zonder grip op identity kun je geen organisatie besturen
Voor een gemeente ligt de lat extra hoog. Gemeenten beheren grote hoeveelheden gevoelige informatie van burgers en bedrijven. Daarnaast zijn zij verantwoordelijk voor essentiële dienstverlening die dagelijks moet blijven functioneren.
Wanneer identiteiten niet goed worden beheerd, ontstaat direct risico voor:
- Dienstverlening
- Privacy
- Compliance
- Cybersecurity
- Continuïteit
Volgens Stefan is grip op identity daarom een fundamentele voorwaarde voor een goed functionerende organisatie. Niet alleen voor medewerkers, maar ook voor alle systemen en processen die op de achtergrond draaien.
De grootste uitdaging? Machine identities
Wanneer organisaties over identity praten, denken ze vaak aan medewerkers. Maar de werkelijkheid verandert snel.
Machine identities groeien explosief. Denk aan:
- API’s
- Service accounts
- Workflows
- Devices
- IoT-apparaten
- AI-agents
- Cloud services
Bij de gemeente Rotterdam werken ongeveer 18.000 medewerkers. Het aantal machine identities ligt inmiddels vele malen hoger. En juist daar ontstaan nieuwe risico’s. Machine identities vragen vaak automatisch toegang aan systemen, wisselen gegevens uit en voeren zelfstandig acties uit.
Toch hebben veel organisaties nog beperkt inzicht in:
- Welke machine identities actief zijn
- Welke rechten zij hebben
- Wie eigenaar is
- Hoe deze rechten worden beheerd
Dat maakt machine identities één van de grootste uitdagingen binnen moderne IAM-programma’s.
Niemand is volledig in control
Een opvallende uitspraak uit de podcast is dat geen enkele organisatie volledig in control is. Dat klinkt misschien ongemakkelijk, maar het is tegelijkertijd realistisch. Nieuwe applicaties worden toegevoegd. Processen veranderen. Wetgeving ontwikkelt zich. AI introduceert nieuwe risico’s. Volledige controle bestaat niet.
De vraag is daarom niet:
“Zijn we volledig in control?”
Maar:
“Weten we welke risico’s we lopen en kunnen we die beheersen?”
Dat vraagt om inzicht, governance en continue verbetering. Niet om de illusie van perfectie.
Waarom awareness belangrijker is dan tooling
Veel organisaties investeren in technologie. Maar technologie alleen lost het probleem niet op. De gemeente Rotterdam heeft ontdekt dat succesvolle IAM-transformatie vooral draait om bewustwording. Stefan beschrijft hoe zijn team jarenlang heeft gewerkt aan relaties met de business. Niet door direct tooling te verkopen, maar door eerst te begrijpen waar afdelingen tegenaan liepen.
Welke risico’s ervaren zij? Welke processen kosten veel tijd? Welke problemen willen zij oplossen?
Pas daarna komt de technologie.
Dat vraagt om een andere rol voor IAM-teams. Minder focus op systemen. Meer focus op communicatie, samenwerking en verandermanagement.
IAM draait niet om compliance, maar om het mogelijk maken van de business
Natuurlijk spelen regelgeving en audits een belangrijke rol. NIS2, BIO en andere wetgeving zorgen ervoor dat organisaties meer aandacht besteden aan digitale toegang en beveiliging. Maar compliance zou niet de primaire drijfveer moeten zijn. Volgens Stefan ontstaat de meeste waarde wanneer IAM helpt om processen eenvoudiger, sneller en gebruiksvriendelijker te maken.
Denk aan:
- Selfservice voor autorisaties
- Geautomatiseerde goedkeuringen
- Minder handmatig beheer
- Betere auditrapportages
- Minder administratieve lasten
Wanneer gebruikers merken dat de veilige manier ook de makkelijke manier is, ontstaat draagvlak.
En juist dat maakt IAM een business enabler in plaats van een compliance-project.
De toekomst: Digitale Identiteit Wallets en digitale soevereiniteit
Een ander onderwerp dat tijdens de podcast aan bod komt, is de opkomst van digitale wallets. Binnen Europa wordt gewerkt aan een nieuwe generatie digitale identiteiten via de eIDAS 2.0-verordening. Het doel?
Meer controle voor burgers over hun eigen gegevens.
In plaats van telkens persoonsgegevens te delen, kunnen burgers straks via een digitale identiteit wallet aantonen dat zij bijvoorbeeld:
- Een bepaald diploma bezitten
- Ouder zijn dan 18 jaar
- In aanmerking komen voor een dienst
Zonder dat alle achterliggende gegevens hoeven te worden gedeeld.
Dat verschuift de controle over data steeds meer richting de burger zelf en vormt een belangrijke stap richting digitale soevereiniteit.
De belangrijkste les: IAM is mensenwerk
Technologie blijft essentieel. Zonder goede tooling wordt het onmogelijk om identiteiten op schaal te beheren. Maar technologie alleen is niet voldoende.
De ervaring van de gemeente Rotterdam laat zien dat succesvolle IAM-programma’s uiteindelijk draaien om:
- Governance
- Eigenaarschap
- Relatiemanagement
- Bewustwording
- Samenwerking tussen business en IT
Of zoals Stefan ontdekte tijdens zijn traject:
De grootste uitdaging is niet het implementeren van een tool.
De grootste uitdaging is het meenemen van mensen.
Beluister de volledige aflevering
In deze aflevering van de Identity Connect Podcast deelt Stefan van Ingen hoe de gemeente Rotterdam grip krijgt op digitale identiteiten, machine identities, governance en digitale identiteit wallets.
Een interessant gesprek voor iedereen die betrokken is bij IAM, digitale transformatie, cybersecurity of publieke dienstverlening.
Menu
