IGA???

• Immunoglobuline A (IgA)
• Independent Grocers of Australia
• International Geothermal Association

De afkorting IGA kan naar heel wat verschillende dingen verwijzen.

Maar heb jij al eens in een meeting gezeten waar iedereen het vol vertrouwen had over “de IGA”, terwijl jij je afvroeg waar het precies over ging?

Wanneer we het in cybersecurity over IGA hebben, bedoelen we uiteraard niet de supermarktketen, het antilichaam in je speeksel of een geothermische organisatie.

We bedoelen Identity Governance & Administration.

Heb je de term al eens gehoord, maar nog geen helder beeld van wat het precies inhoudt of hoe het jouw organisatie kan helpen? Dan is deze blog voor jou.

De traditionele manier van accountbeheer: waar loopt het mis?

Om IGA goed te begrijpen, kijken we eerst naar hoe veel organisaties vandaag nog toegangen beheren.

Het klassieke proces

In veel organisaties verloopt het zo:

1. Een kandidaat wordt aangeworven.
2. HR brengt IT op de hoogte.
3. IT maakt de nodige accounts aan.
4. Bij wijzigingen moet IT opnieuw geïnformeerd worden.

Op het eerste gezicht lijkt dat logisch.

Het probleem? Er is meestal geen geautomatiseerde koppeling tussen HR- en IT-systemen. Die verbinding is vaak menselijk.

En waar mensen betrokken zijn, sluipen fouten binnen.

De risico’s van manueel accountbeheer

1. Medewerkers vertrekken, maar accounts blijven actief

HR verwerkt het vertrek, maar IT wordt niet of te laat geïnformeerd.

Het gevolg?

Het account blijft actief.

Zo’n account kan:

• gebruikt worden door de ex-medewerker
• misbruikt worden door iemand die het wachtwoord kent
• ontdekt en ingezet worden door een aanvaller

Vergeten accounts zijn vaak de ideale instap in een aanvalsketen.

2. Eén persoon heeft meerdere accounts

We onderschatten vaak hoeveel accounts één medewerker heeft:

• een primair gebruikersaccount
• een admin-account
• een test- of serviceaccount

Wanneer enkel het primaire account wordt uitgeschakeld, blijft het risico bestaan.

3. Privileged accounts worden vergeten

Zelfs wanneer IT op de hoogte is van een vertrek, wordt meestal enkel het hoofdaccount gedeactiveerd.

Extra accounts blijven actief en worden vergeten. Dat creëert stille, maar ernstige beveiligingsrisico’s.

Het kernprobleem

Manuele processen leiden tot:

• Gebrek aan controle
• Gebrek aan overzicht
• Gebrek aan automatisatie

En uiteindelijk tot vermijdbare security-incidenten. Menselijke fouten blijven één van de grootste oorzaken van datalekken en security breaches.

Van accountbeheer naar identiteitsbeheer

IGA vertrekt vanuit een fundamenteel andere benadering. We beheren niet langer losse accounts, maar identiteiten.

Een digitale identiteit is de digitale representatie van een fysieke persoon. Alle accounts worden gekoppeld aan die ene identiteit.

De identiteit wordt de “master”. Alle accounts volgen de identiteit.

Wat levert dit op?

Volledig overzicht

Op elk moment zie je:

• Welke accounts iemand heeft
• Welke rechten daaraan gekoppeld zijn
• Over welke systemen dit gaat

Niet verspreid over meerdere platformen, maar centraal beheerd.

Automatische deprovisioning

Wanneer HR een vertrek registreert:

• wordt de identiteit op inactief gezet
• worden alle gekoppelde accounts automatisch gedeactiveerd of verwijderd
• inclusief admin- en testaccounts

Geen vergeten accounts. Geen manuele opvolging.

Van menselijke afhankelijkheid naar systeemintegraties

Traditionele processen zijn afhankelijk van communicatie tussen mensen. IGA vervangt dit door geautomatiseerde systeemkoppelingen.

Een IGA-oplossing koppelt:

• Bron systemen (meestal HR-systemen)
• Doel systemen (Active Directory, Entra ID, SaaS-platformen, enz.)

Wat maakt dit mogelijk?

1. HR-wijzigingen worden automatisch doorgevoerd

• Nieuwe medewerker → identiteit wordt automatisch aangemaakt
• Functiewijziging → rechten worden automatisch aangepast
• Vertrek → identiteit wordt gedeactiveerd in alle gekoppelde systemen

2. Automatische provisioning en deprovisioning

Op basis van HR-data en beleidsregels:

• worden accounts automatisch aangemaakt
• worden rechten automatisch toegekend
• worden toegangen automatisch ingetrokken

Geen e-mails. Geen Excel-lijsten.

3. Eén enkele bron van waarheid

In plaats van verspreide accounts geldt: “De digitale identiteit is leidend” en “Alle accounts volgen de identiteit”.

Je hoeft niet langer in meerdere systemen te zoeken om te weten wie welke toegang heeft. Alles is gecentraliseerd.

Waarom is dit zo krachtig?

IGA:

• elimineert vergeten accounts
• sluit security-gaten veroorzaakt door menselijke fouten
• automatiseert de volledige identity lifecycle
• creëert één centrale bron van waarheid
• maakt toegangsbeheer audit-proof

Kortom: IGA maakt van identiteitsbeheer een gecontroleerd, voorspelbaar en geautomatiseerd proces.

IGA en NIS2

Naast operationele voordelen speelt IGA een cruciale rol in compliance, zeker in het kader van NIS2. De NIS2-richtlijn verhoogt de eisen rond identiteits- en toegangsbeheer aanzienlijk.

IGA biedt structuur, automatisatie en bewijsvoering.

1. Versterkte toegangscontrole (Artikel 21)

NIS2 vereist strikte controle over wie toegang heeft tot welke systemen.

IGA ondersteunt dit door:

• Least privilege toe te passen (RBAC / ABAC)
• Privilege creep te voorkomen
• Consistente toegangsmodellen af te dwingen

2. Identity Lifecycle Management

NIS2 vereist duidelijke processen voor onboarding, functiewijzigingen en offboarding.

IGA zorgt voor:

• Automatische aanmaak en verwijdering van accounts
• HR-wijzigingen die onmiddellijk worden doorgevoerd
• Geen actieve accounts na vertrek

3. Periodieke toegangsreviews

NIS2 vereist regelmatige evaluatie van toegangsrechten. IGA automatiseert:

• Recertificatiecampagnes
• Bewijsverzameling
• Intrekking van niet-goedgekeurde rechten

Geen Excel-lijsten meer tijdens audits.

4. Segregation of Duties (SoD)

IGA detecteert en voorkomt:

• Toxische rolcombinaties
• Admin- en goedkeuringsrechten in één persoon
• Onverantwoorde high-risk privileges

5. Auditability & traceerbaarheid

IGA biedt:

• Volledige audit trails
• Identiteitshistoriek
• Goedkeuringsflows
• Toegangslogs

Precies wat auditors verwachten.

6. Derde partijen en leveranciers

NIS2 breidt de scope uit naar leveranciers en contractors.

IGA beheert:

• Tijdelijke identiteiten
• Vervaldatums op toegang
• Automatische verwijdering bij contracteinde

7. Governance en beleidsafdwinging

IGA zorgt voor:

• Gestandaardiseerde toegangsregels
• Gecontroleerde workflows
• Automatische handhaving van beleid

Over alle gekoppelde systemen heen.

Conclusie

IGA is geen puur technische tool. Het is een strategische bouwsteen voor:

• Security
• Compliance
• Operationele efficiëntie
• Cyber resilience

In een wereld van toenemende dreigingen en strengere regelgeving volstaat manueel toegangsbeheer niet meer. Identiteit is de nieuwe perimeter. En IGA zorgt ervoor dat die perimeter gecontroleerd, beheerd en toekomstbestendig is.

__

Wil je weten waar jouw organisatie vandaag staat en hoe je van manueel beheer naar gestructureerde identity governance evolueert? Let’s talk!