IAM   (Identify Access Management)

Här är vad man faktiskt görinom IAM:

1. Identifiera och hantera identiteter

• Skapa, uppdatera och avsluta användarkonton för anställda, konsulter, partners och ibland systemkonton.

• Hantera livscykelnför identiteter: Onboarding → Ändringar → Avslut(Joiner-Mover-Leaver-processer).

• Synka identiteter mellan system via katalogtjänster som Active Directoryeller Azure AD.

2. Styr åtkomst och behörigheter

1. Definiera roller(RBAC – Role-Based Access Control) eller mer granulära policyer (ABAC – Attribute-Based Access Control).

2. Se till att användare bara får den åtkomst de behöver (principen om minsta privilegium).

3. Hantera gruppmedlemskap, säkerhetsroller och applikationsbehörigheter

3. Autentisering (bevisa identitet)

• Sätta upp och underhålla autentiseringsmetoder:

  • Lösenordspolicyer

  • MFA(Multi-Factor Authentication)

  • Certifikat och smartkort

  • SSO (Single Sign-On)

• Integrera autentisering med både lokala system och molntjänster.

4. Auktorisering (ge tillgång)

• Säkerställa att system kontrollerar att användaren har rätt behörighet innan åtkomst ges.

• Implementera policyersom styr åtkomst beroende på t.ex. plats, enhet eller tid.

• Hantera tillfälliga åtkomster (just-in-time access).

5. Övervaka och revidera

• Köra access reviewsför att verifiera att användare fortfarande behöver sina rättigheter.

• Spåra och logga åtkomstförsök för revision och säkerhetsanalys.

• Automatisera avstängning av konton vid t.ex. anställningens slut.

6. Säkerställa efterlevnad (compliance)

• Säkerställa att åtkomsthanteringen följer regelverk som GDPR, NIS2, ISO 27001eller SOX.

• Dokumentera processer och rapportera till intern/extern revision.

Exempel på verktyg och plattformar inom IAM:

• Microsoft Entra ID (tidigare Azure AD)

• Okta

• Ping Identity

• SailPoint

• CyberArk (för privilegierad åtkomst)

• ForgeRock