Werken als IAM Engineer

Wat doet een IAM Engineer?

Een IAM Engineer bouwt en beheert de systemen waarmee een organisatie bepaalt wie wat mag: accounts, groepen, rollen, inloggen, meervoudige authenticatie en de koppeling met toepassingen. Een identiteit is het digitale bewijs dat iemand of iets, zoals een toepassing, bestaat. Toegang is wat die identiteit mag doen.

Twee situaties uit een werkweek laten zien hoe dat gaat. Een nieuwe medewerker begint op maandag. HR legt de functie vast in het personeelssysteem, en het IAM-systeem maakt op basis daarvan het account aan, met de groepen en toepassingen die bij die functie horen. De IAM Engineer heeft dat proces gebouwd en kijkt of het klopt: heeft de nieuwe collega niets te veel en niets te weinig? Wie een ander recht nodig heeft, vraagt dat aan, en de goedkeurder kijkt of het bij de functie past.

Een andere medewerker wisselt van de afdeling Inkoop naar Financiën en houdt de oude rechten naast de nieuwe. Zulke rechten stapelen zich op als niemand ze opruimt, en het NCSC noemt het voorkomen daarvan een onderdeel van het toegangsbeleid. De IAM Engineer zet een proces op dat de oude rechten bij een wisseling laat vervallen of laat herbeoordelen door de leidinggevende, en laat zien welke rechten niet meer gebruikt worden.

De IAM Consultant doet het adviserende werk: die beschrijft hoe het nu gaat en ontwerpt hoe het beter kan, en de engineer richt het in. Het werk hoort bij het vakgebied cybersecurity, en de skill Identity and Access Management komt terug in vacatures.

Wat is identiteits- en toegangsbeheer?

Identiteits- en toegangsbeheer zorgt ervoor dat de juiste personen toegang krijgen tot de juiste middelen op het juiste moment. Het Nationaal Cyber Security Centrum (NCSC) omschrijft het als bepalen wie en wat toegang heeft tot de systemen en gegevens van de organisatie.

Authenticatie en autorisatie zijn niet hetzelfde. Authenticatie stelt vast wie je bent, bijvoorbeeld met multifactorauthenticatie: meerdere onafhankelijke factoren, zoals iets wat je weet (een wachtwoord), iets wat je hebt (een pasje of authenticatorapp) en iets wat je bent (een vingerafdruk). Autorisatie komt daarna en bepaalt wat je mag doen.

Volgens het NCSC is een wachtwoord alleen niet genoeg voor gevoelige toegang, zoals beheeromgevingen. Het adviseert ook rechten te beperken tot wat de taak vraagt, per medewerker vastgelegd in een rechtenmatrix. Dat sluit aan bij Zero Trust, een strategie die niets vertrouwt, bij elke toegang opnieuw verifieert en minimale rechten verstrekt. Voor digitale identiteit bestaat ook het internationale kader NIST SP 800-63-4.

Welke taken horen bij de functie?

Het European Cybersecurity Skills Framework van ENISA beschrijft twaalf profielen, en daar zit geen profiel voor IAM Engineer of IAM Consultant bij. Het profiel dat volgens ons het dichtst bij de technische kant ligt, is de Cybersecurity Implementer. Dat profiel gaat over oplossingen veilig configureren, de werking bewaken, patches doorvoeren en documenteren, nauw samen met IT.

Voor een IAM Engineer komt dat neer op een aantal taken:

• accounts en rechten beheren, van binnenkomst tot vertrek
• toepassingen aansluiten op één plek om in te loggen (single sign-on)
• meervoudige authenticatie instellen, bij voorkeur phishingbestendig
• bevoorrechte accounts beheren
• rechten periodiek laten herbeoordelen
• logs bewaren, auditvragen beantwoorden en afwijkingen doorgeven aan het SOC

Een beheerder met een account met zeer ruime rechten is een aantrekkelijk doelwit. De engineer zorgt daarom dat zulke rechten alleen tijdelijk en na een extra stap worden gegeven.

Een incident begint soms met een overgenomen account, en een aanvaller met een geldig account valt minder op dan een aanvaller met malware. Welke taken er in een vacature staan, verschilt per organisatie.

Welke skills heb je nodig?

Technisch begint het bij inloggen: je begrijpt hoe wachtwoorden, tokens en federatie werken. Als een collega ondanks een bestaand account niet kan inloggen in een nieuwe toepassing, zie je of de koppeling klopt of het token verloopt. Je werkt met een directory zoals Active Directory of Entra ID, met gebruikers, groepen en beleid. Als een groep per ongeluk een recht meekrijgt, zoek je welke gebruikers er via die groep bij zitten. Je automatiseert taken met PowerShell of Python, en je leest logs om te zien wat er gebeurde.

Niet-technisch is het uitleggen van een besluit. Een collega die niet bij de financiële map kan, hoort welk recht bij zijn functie past en welke aanvraagroute er is, zonder dat het persoonlijk wordt. Verder werk je samen met HR, de bron van waarheid over medewerkers, en met afdelingshoofden die rechten goedkeuren. Dat vraagt geduld met processen die over meerdere afdelingen lopen. Je documenteert nauwkeurig, zodat later duidelijk is waarom een recht is gegeven.

De rol zit tussen twee belangen. Beveiliging wil minder rechten, en de medewerker wil snel aan het werk. Een goed ingerichte aanvraagroute geeft snel toegang tot wat bij de functie hoort en vraagt extra stappen voor wat afwijkt.

Welke tools en technologie gebruikt een IAM Engineer?

Elk stuk gereedschap doet een eigen onderdeel van IAM. Hieronder staan vijf voorbeelden.

• Active Directory is een directory waarin organisaties gebruikers en groepen op locatie beheren, met inloggen en toegangscontrole ingebouwd. Microsoft beschrijft het op Microsoft Learn.
• Microsoft Entra ID is de cloudgebaseerde dienst van Microsoft voor identiteits- en toegangsbeheer, met authenticatie en beleid voor gebruikers, apparaten, apps en middelen. Zie Microsoft Learn.
• Okta wordt gebruikt voor inloggen en meervoudige authenticatie voor meerdere toepassingen tegelijk. Het is een identiteitsplatform.
• SailPoint wordt gebruikt om rechten aan te vragen, goed te keuren en te herbeoordelen.
• CyberArk wordt gebruikt voor het beheer van bevoorrechte accounts.

Welke tools een werkgever gebruikt, staat meestal in de vacature. De vragen blijven hetzelfde, namelijk wie welk recht heeft en wie dat heeft goedgekeurd, dus wie één platform kent, leert een tweede meestal sneller.

Welke opleiding en certificeringen passen bij een IAM Engineer?

Een certificering is een manier om kennis aan te tonen en vervangt geen ervaring. CompTIA Security+ past als basis. CompTIA omschrijft het als een wereldwijd erkende cybersecurity-certificering die praktische vaardigheden voor kernfuncties in security opbouwt en aantoont. Op 5 november 2026 meldt CompTIA dat versie 7 beschikbaar is en dat versie 8 naar verwachting rond 17 november 2026 verschijnt. Kijk voor de actuele versie op de CompTIA-pagina. De skillpagina laat zien waar Security+ in vacatures terugkomt.

Het CISSP van ISC2 heeft acht domeinen, waaronder Identity and Access Management. Dat domein behandelt onder meer identificatie- en authenticatiestrategie, federatieve identiteit met derden en de levenscyclus van toegangsverlening (provisioning). CISSP is bedoeld voor wie al ervaring heeft. De eisen staan in het CISSP-artikel en op de skillpagina.

Het CCSP-artikel past bij wie vooral cloudomgevingen beveiligt, en de skillpagina laat zien waar het in vacatures terugkomt. Leveranciers hebben eigen certificeringen voor hun platform, en de vacature zegt of die gevraagd worden.

Hoe word je IAM Engineer?

Je kunt starten met een hbo-opleiding in ICT. Zij-instroom komt ook voor vanuit systeembeheer, de servicedesk of applicatiebeheer, omdat je daar al accounts en groepen beheert.

Wat je kunt laten zien, is praktisch werk:

• een testomgeving met gebruikers en groepen die je zelf aanmaakt
• een toepassing die je koppelt aan inloggen, met meervoudige authenticatie
• een rechtenmatrix voor een fictieve afdeling, met uitleg per rol
• een korte beschrijving van wat je doet als een medewerker van afdeling wisselt

Begin met de testomgeving. Zo praat je in een sollicitatiegesprek over iets concreets.

Waar werk je als IAM Engineer?

Toegangsbeheer loopt bij organisaties met veel medewerkers, toepassingen en externe partijen, zoals leveranciers en uitzendkrachten, over meerdere plekken tegelijk. Dienstverleners en consultancybedrijven werken voor meerdere klanten. Bij de rijksoverheid en in de zorg gaat het om een grote variatie aan rollen en om gevoelige gegevens.

Sectoren waar dit werk speelt, zijn onder meer financiële dienstverlening, zorg en life sciences, gemeenten en provincies en IT, SaaS en technologie. Werkgevers die een IAM Engineer of een IAM Consultant zoeken, staan op hun eigen pagina.

IAM Engineer of IAM Consultant?

Beide rollen gaan over dezelfde systemen, maar ze pakken het anders aan.

De grenzen verschillen per organisatie, en één persoon kan beide doen. De consultant spreekt vaak met HR, afdelingshoofden, de IT-afdeling en de Information Security Officer. De titel zegt weinig zonder de taken, dus lees de vacature op de taken.

Vanuit deze rol zijn er meerdere routes, al hangt de keuze af van de organisatie en van wat je laat zien. Een Security Engineer werkt breder dan identiteit. Een Security Architect ziet identiteit als onderdeel van het geheel, en in het ECSF heet dat profiel Cybersecurity Architect. Een Cloud Security Engineer richt identiteit en toegang in cloudomgevingen in. Een Information Security Officer gaat van uitvoeren naar beleid en controle. Wie van bouwen naar adviseren wil, kan de route naar de IAM Consultant nemen. Dit is een overzicht, geen belofte.

Vacatures en werkgevers

Op de vacaturepagina voor IAM Engineers en de vacaturepagina voor IAM Consultants zie je welke vacatures open staan. Op de werkgeverspagina voor IAM Engineers zie je welke werkgevers ze zoeken.