Van technische IAM-basis naar organisatiebrede capability

Hoe een middelgrote organisatie Identity & Access Management professionaliseerde

Context en aanleiding

Een middelgrote organisatie met circa 1.000 medewerkers had flink geïnvesteerd in Identity & Access Management. SmartAIM was geïmplementeerd, kernapplicaties waren gekoppeld en Role Based Access Control (RBAC) stond operationeel. Op papier leek alles op orde, maar een interne IT-audit onthulde een ander beeld.

Het autorisatiebeheer vormde nog steeds een significant beveiligingsrisico. Rollen en verantwoordelijkheden waren versnipperd, veel autorisaties werden handmatig beheerd en niemand had echt overzicht wie toegang had tot welke systemen en waarom. Governance en procesdiscipline waren onvoldoende geborgd, waardoor compliance-risico’s dreigden rondom AVG, BIO en de aankomende NIS2-wetgeving.

De kern van het probleem? IAM werd nog te veel als technisch vraagstuk benaderd, terwijl het in werkelijkheid een organisatiebrede uitdaging is die bestuurlijke verankering vraagt. De technische basis stond, maar de strategische visie, heldere governance en procesmatige borging ontbraken om IAM écht tot leven te brengen.

Aanpak

De organisatie schakelde Solventa in om een Project Start Architectuur (PSA) te ontwikkelen die structuur en richting zou geven aan de professionalisering van IAM. In plaats van direct de techniek in te duiken, startte Solventa met gesprekken met directie, CIO, HR, applicatiebeheer, security en business om te begrijpen wat er speelde en welke ambities er waren.

Vanuit deze inzichten werkte Solventa de architectuur systematisch uit over vier samenhangende lagen: business, applicatie, informatie en infrastructuur. Daarbij werden heldere architectuurprincipes gedefinieerd die richting geven aan ontwerpkeuzes: Least-Privilege als uitgangspunt, open standaarden zoals OIDC, SAML en SCIM om vendor lock-in te voorkomen en het minimaliseren van maatwerk voor duurzame onderhoudbaarheid.

Een cruciaal onderdeel was de gefaseerde roadmap. In plaats van alles tegelijk te realiseren, ontwikkelde Solventa een vijf-fasen aanpak waarbij elke fase voortbouwt op de vorige: eerst het interne fundament op orde, dan aansluiten op wettelijke kaders zoals DigiD en eHerkenning, vervolgens attribuutgestuurde toegang, daarna interne applicaties breed koppelen via SSO en SCIM en uiteindelijk voorbereiden op ontwikkelingen zoals de Europese digitale identiteit.

Resultaten

Het resultaat was een PSA die veel meer is dan een technisch document. Het biedt een volledig uitgewerkte architectuur waarin de samenhang tussen business, applicaties, data en infrastructuur helder wordt gemaakt. De roadmap bevat niet alleen activiteiten en mijlpalen, maar ook onderlinge afhankelijkheden, zodat het projectteam precies weet in welke volgorde stappen gezet moeten worden.

Daarnaast bevat de PSA een grondige risico-analyse met concrete mitigatiestrategieën voor governance, datakwaliteit en legacy applicaties. Maar het belangrijkste resultaat is het strategische advies aan directie en management: een organisatiebrede IAM-visie vaststellen, IAM organiseren als permanente capability met een IAM-regisseur als schakel tussen business en IT, HR-datakwaliteit stevig borgen als fundament en standaardisatie hanteren als harde randvoorwaarde. Geen vrijblijvendheid, maar heldere keuzes die richting geven.

Impact

De impact is direct merkbaar. Waar voorheen iedereen zijn eigen beeld had van IAM, is er nu een gemeenschappelijk begrip: directie, IT, business en security spreken dezelfde taal en zien hetzelfde pad naar de gewenste situatie. Dat maakt besluitvorming eenvoudiger, omdat de architectuurprincipes houvast geven bij keuzes tijdens het project.

Op compliance-gebied is de organisatie veel beter beschermd. Wettelijke kaders zoals AVG, BIO, NIS2 en eIDAS 2.0 zijn systematisch verwerkt in de architectuur, waardoor compliance structureel geborgd wordt in plaats van een bijzaak te zijn. De gefaseerde aanpak voorkomt een big-bang implementatie en maakt tussentijdse waarderealisatie mogelijk: al in de eerste fase ontstaat tijdswinst voor HRM, applicatiebeheer en de servicedesk door gestandaardiseerde processen en meer automatisering.

Misschien wel de belangrijkste impact: de organisatie is nu toekomstbestendig. De modulaire architectuur met open standaarden maakt het IAM-landschap schaalbaar. IAM is getransformeerd van een technisch domein naar een organisatiebrede capability met eigenaarschap op directieniveau en vormt het fundament voor een stapsgewijze evolutie naar een volwassen IAM-landschap waarin compliance, efficiëntie en beveiliging structureel geborgd zijn.