IAM en PAM uitgelegd: identiteits- en toegangsbeheer

Wat is IAM?

Het NCSC omschrijft IAM als het bepalen van wie en wat toegang heeft tot systemen en gegevens, en noemt het een fundamentele bouwsteen voor digitale weerbaarheid. In gewone taal bestaat het uit twee delen. Identiteitsbeheer gaat over wie er inlogt en omvat identificatie en authenticatie. Toegangsbeheer gaat over wat iemand daarna mag, en omvat autorisatie.

De NIST-woordenlijst omschrijft IAM breder als het beheren van individuele identiteiten binnen een systeem. Een identiteit is het digitale bewijs dat iemand bestaat, maar ook een toepassing of een service kan een identiteit hebben. Toegang is wat die identiteit mag doen. Een goede IAM zorgt dat beide kloppen met de werkelijkheid: het juiste account, met de juiste rechten, zolang het nodig is.

Dat doet ertoe, omdat een aanvaller met een geldig account minder opvalt dan een aanvaller met malware. Een overgenomen account, of een oud account met te veel rechten, is een doorgang.

Hoe werkt IAM? Identificatie, authenticatie en autorisatie

Drie begrippen houden het samen. Bij identificeren zeg je wie je bent. Bij authenticeren bewijs je dat. Bij autoriseren bepaal je wat je mag. Authenticatie controleert of iemand echt is wie die zegt te zijn, en autorisatie bepaalt daarna wat die persoon na het inloggen mag doen.

Voor authenticatie kun je drie soorten factoren gebruiken: iets wat je weet (een wachtwoord of pincode), iets wat je hebt (een pasje of een authenticatorapp) en iets wat je bent (een vingerafdruk of gezichtsherkenning). Multifactorauthenticatie combineert meerdere van die factoren. Het NCSC adviseert MFA waar passkeys nog niet mogelijk zijn. Passkeys beschouwt het NCSC als de veiligste techniek. Ze authenticeren volgens de FIDO2-standaard. Sommige MFA-methoden bieden vooral een extra drempel, dus de gekozen methode telt mee.

Met single sign-on (SSO) logt een gebruiker één keer in en heeft daarna toegang tot meerdere apps en diensten, zonder voor elke app een aparte set inloggegevens te onthouden.

Voor wie internationaal kijkt: NIST SP 800-63-4, gepubliceerd in juli 2025, is een richtlijnenkader voor identiteitsvaststelling, authenticatie en federatie. Het is een Amerikaans document en geen Nederlandse eis.

De levenscyclus van een account: komen, wisselen, vertrekken

Het NCSC onderscheidt de instroom, doorstroom en uitstroom van medewerkers, ook wel joiners, movers en leavers. Het beleid moet daar rekening mee houden, zodat accounts op tijd worden toegevoegd en verwijderd en rechten niet blijven hangen als iemand van rol wisselt. Gebruikersbeheer is het proces voor het aanvragen, wijzigen en verwijderen van gebruikers. Toegangsbeheer is een apart proces voor autorisaties, met de eigenaren van processen of gegevens als verantwoordelijken.

Het personeelssysteem is de bron van waarheid over wie er werkt. Microsoft beschrijft de levenscyclus van medewerkers als vaak gekoppeld aan de vastlegging van die persoon in een HR-systeem. Het aanmaken en verwijderen van identiteiten volgt dan automatisch op dat signaal.

Het volgende is een gedachte-experiment, geen beschrijving van één product. Sanne begint maandag als medewerker inkoop. HR legt haar functie en startdatum vast. Het IAM-systeem maakt op grond daarvan haar account aan en geeft de groepen en toepassingen die bij die functie horen. Voor wat standaard bij haar rol hoort, hoeft ze niets aan te vragen.

Een half jaar later gaat ze naar financiën. Haar nieuwe rechten komen erbij. De oude inkooprechten vervallen of worden door haar leidinggevende beoordeeld, anders stapelen de rechten zich op. Na twee jaar vertrekt ze. HR zet de uitdienstdatum, haar account wordt uitgeschakeld en haar toegang wordt ingetrokken, ook bij externe toepassingen. Bij elke stap hoort een spoor: wie het heeft aangevraagd, wie het heeft goedgekeurd en wanneer het is verleend. Dat spoor is ook wat een auditor vraagt.

Rollen, rechten en periodieke controle

Het NCSC adviseert mensen alleen toegang te geven tot de informatie, systemen en locaties die nodig zijn voor hun taak. Dat is het principe van least privilege, samen met need-to-know. Per medewerker leg je vast tot welke systemen en gegevens die toegang nodig heeft, in een rechtenmatrix. Bij een functiewisseling of uitdiensttreding pas je de rechten daarop aan.

Rolgebaseerde toegangscontrole (RBAC) kent rechten toe op basis van de functie en rol van de medewerker. Het NCSC noemt dit een veelgebruikte methode, die je kunt combineren met beperkingen zoals goedgekeurde apparaten, locaties of tijden. Rollen zijn overzichtelijk, maar ze kunnen uitgroeien tot een onoverzichtelijk aantal varianten. Sommige organisaties vullen rollen aan met regels op basis van gegevens uit HR, zoals afdeling of locatie. Dat is een inrichtingskeuze, geen standaard.

Het NCSC noemt ook periodieke herbeoordeling van rechten als bouwsteen. Microsoft spreekt van toegangsreviews, SailPoint van certificeringen: een aangewezen persoon, zoals een manager of systeemeigenaar, beoordeelt of de toegang van gebruikers nog past, en keurt die goed of trekt die in. Minimale rechten sluiten aan bij zero trust, waarin toegang steeds opnieuw wordt gecontroleerd.

Wat is PAM?

PAM beheert accounts met extra rechten. Volgens de NIST-woordenlijst is een privileged account een systeemaccount met de autorisaties van een bevoorrechte gebruiker.

Die accounts zijn bijzonder omdat wie ze in handen krijgt, veel kan. Het NCSC adviseert daarom aanpassingen van toegang goed te monitoren. Logging helpt om ongeoorloofde wijzigingen op te sporen, zoals het verhogen van rechten. Het NCSC adviseert persoonsgebonden accounts te gebruiken en gedeelde generieke accounts te vermijden. Voor toegang tot beheeromgevingen is een wachtwoord vaak niet voldoende; het NCSC noemt MFA, 2FA of inloggen met een token.

De bouwstenen van PAM zijn in gewone taal: een kluis voor wachtwoorden, wachtwoorden die automatisch worden gewisseld, tijdelijke toegang en het vastleggen van sessies. Microsoft beschrijft Privileged Identity Management in Entra als just-in-time toegang met goedkeuring en verplichte MFA bij het activeren, plus meldingen en een auditgeschiedenis. Een leverancier van PAM-oplossingen beschrijft kluisopslag, automatische rotatie van inloggegevens en, bij oudere toepassingen, het invoegen van inloggegevens zonder dat de gebruiker het geheim ziet.

Het volgende is een tweede gedachte-experiment. Een systeembeheerder heeft een account met zeer ruime rechten. In plaats van dat account altijd te gebruiken, werkt de beheerder dagelijks met een gewoon account en vraagt voor één specifieke taak tijdelijk verhoogde rechten aan. Daarvoor is een reden nodig, een tweede stap met MFA en eventueel goedkeuring. Na afloop vervallen de rechten, en de sessie of de handelingen worden vastgelegd. Het wachtwoord of de sleutel van het beheeraccount staat in een kluis en wordt niet door mensen onthouden of gedeeld. Dit is een patroon, geen vast protocol. Producten vullen het op hun eigen manier in.

IGA (identity governance) en PAM zijn verschillende dingen. Het volgende kopje zet ze naast elkaar.

IAM, IGA en PAM: wat is het verschil?

IAM is de paraplu, met daaronder meerdere onderdelen. De directory bevat de identiteiten, authenticatie en SSO regelen hoe je inlogt, IGA (identity governance and administration) regelt aanvragen, goedkeuren, herbeoordelen en de levenscyclus, en PAM beheert de bevoorrechte accounts. Microsoft omschrijft identity governance rond vier vragen, waaronder wie toegang mag hebben en of auditors kunnen controleren dat de maatregelen werken.

De productnamen zijn voorbeelden, geen vergelijking.

Welke tools en platformen zijn er?

Active Directory is een directoryservice die informatie over objecten in een netwerk opslaat, zoals gebruikersaccounts, servers en computers. De beveiliging is geïntegreerd met inloggen en met toegangscontrole tot die objecten. Microsoft Entra ID is een cloudgebaseerde dienst voor identiteits- en toegangsbeheer, die authenticatie, beleidshandhaving en bescherming biedt voor gebruikers, apparaten, apps en middelen. Entra ID Governance en Entra Workload ID zijn andere onderdelen van dezelfde productfamilie.

Okta is een cloudgebaseerd IAM-platform dat als centrale identity provider optreedt en standaardprotocollen als OIDC en SAML gebruikt. SailPoint beschrijft toegangsprofielen als bundels van rechten, en rollen als bundels van toegangsprofielen uit verschillende bronnen. Levenscyclusstatussen regelen de toegang op basis van de arbeidsstatus van iemand. Certificeringscampagnes laten aangewezen personen de toegang beoordelen. CyberArk is een voorbeeld van een PAM-product. De productpagina van CyberArk verwees op 5 november 2026 door naar een pagina van Palo Alto Networks waarop de PAM-oplossing "Idira" heet. Voor de actuele productnamen kijk je bij de leverancier.

Organisaties kunnen meerdere onderdelen combineren. Welke ze gebruiken, staat in de vacature.

Wat gaat er vaak mis?

Valkuilen zijn onder meer:

• Rechten stapelen zich op wanneer iemand van rol wisselt en niemand oude rechten intrekt.
• Accounts van vertrokken medewerkers en van leveranciers blijven bestaan.
• Gedeelde generieke accounts maken het lastig om te zien wie wat heeft gedaan.
• Serviceaccounts krijgen te veel rechten.
• Een toegangsaanvraag is zo traag dat mensen omwegen zoeken.

Ook toepassingen hebben identiteiten. Het NCSC adviseert serviceaccounts te beperken tot wat nodig is en ze alleen te activeren bij onderhoud. Microsoft noemt voor toepassingen en services Entra Workload ID.

NIS2 (Richtlijn (EU) 2022/2555, artikel 21, lid 2) noemt onder de ten minste vereiste maatregelen het toegangsbeleid, het beheer van activa en personeelsbeveiliging. Daarnaast noemt het waar gepast het gebruik van multifactorauthenticatie of continue authenticatie. ENISA citeert die lijst in een document uit juni 2025 over rollen en vaardigheden voor NIS2-entiteiten. Voor de Nederlandse stand van de Cyberbeveiligingswet verwijs je naar het kennisbankartikel over NIS2. NIS2 schrijft geen bepaald IAM-product voor.

Wie werkt met IAM en PAM?

De IAM Engineer bouwt en beheert accounts, groepen, koppelingen en inlogregels, zie de rolgids en de vacatures. De IAM Consultant adviseert over de inrichting, het rollenmodel en de toolkeuze, zie de vacatures. De Security Engineer en de Cloud Security Engineer richten identiteit en toegang in cloudomgevingen in. De Security Architect ontwerpt hoe identiteit in het geheel past. De Information Security Officer stelt beleid vast en controleert het. De IT-auditor toetst of rechten kloppen, bijvoorbeeld wie op een bepaalde datum toegang had. Een SOC-analist kijkt naar afwijkend inloggedrag in de meldingen uit het SIEM.

ENISA publiceerde in september 2022 het European Cybersecurity Skills Framework met twaalf rolprofielen, onder licentie CC BY 4.0. Een profiel voor IAM Engineer of IAM Consultant staat er niet bij. Titels verschillen per organisatie. Je kunt ook zien welke werkgevers deze functie hebben.

Als suggestie om het zelf te leren: zet een testomgeving op met een directory, maak gebruikers en groepen aan, koppel een toepassing aan inloggen, stel MFA in en schrijf een rechtenmatrix voor een fictieve afdeling. Zo zie je wat authenticatie, autorisatie en de levenscyclus in de praktijk betekenen. Het vakgebied cybersecurity geeft het bredere kader.