IDU: grip op rechten én middelen bij iedere personeelswijziging

IDU: grip op rechten én middelen bij iedere personeelswijziging

Een nieuwe medewerker komt in dienst. HR registreert de gegevens, accounts worden aangemaakt, toegangsrechten toegekend en de benodigde middelen aangevraagd. Op de eerste werkdag moet alles klaarstaan.

Bij uitdiensttreding gebeurt het omgekeerde: rechten moeten worden ingetrokken en bedrijfsmiddelen ingenomen. Maar tussen indienst en uitdienst zit een minstens zo belangrijk moment: een medewerker verandert van functie, afdeling of verantwoordelijkheid.

Juist daar blijkt hoe goed het Identity & User Management-proces (IDU) werkelijk is georganiseerd.

Een medewerker is meer dan een account

Bij IDU ligt de nadruk vaak op digitale toegang. Welke applicaties heeft iemand nodig en tot welke gegevens mag deze persoon toegang hebben?

In de praktijk hoort daar meer bij. Een functie kan bijvoorbeeld gekoppeld zijn aan een laptop, telefoon, toegangspas, specifieke applicaties, licenties, gedeelde mailboxen of andere bedrijfsmiddelen.

Het uitgangspunt zou daarom niet moeten zijn: welke rechten moeten we toevoegen?

De betere vraag is: wat heeft deze medewerker op basis van zijn of haar rol nodig om het werk te kunnen doen?

Daarmee kijk je naar het complete profiel van een medewerker: rechten én middelen.

Indienst: vanuit een profiel starten

Wanneer een nieuwe medewerker wordt geregistreerd, zijn afdeling, functie, locatie en andere kenmerken vaak al bekend.

Die informatie kan het startpunt zijn voor het IDU-proces. Op basis van een profiel kan worden bepaald welke rechten en middelen standaard bij de functie horen.

Een medewerker van Finance heeft immers andere voorzieningen nodig dan iemand van Sales of IT. Hetzelfde geldt voor een zorgmedewerker, docent of gemeenteambtenaar.

Door vanuit profielen te werken, hoeft niet voor iedere nieuwe medewerker opnieuw te worden bedacht wat nodig is. Afwijkingen blijven mogelijk, maar de standaard is duidelijk en beheersbaar.

Functiewijziging: het vergeten risico

Een functiewijziging is vaak ingewikkelder dan een indiensttreding.

Stel dat iemand van functie A naar functie B gaat. Het nieuwe functieprofiel vraagt om andere applicaties, rechten en mogelijk andere middelen.

Nieuwe rechten toekennen is meestal niet het grootste probleem. De vraag is vooral: welke oude rechten zijn niet meer nodig?

Wanneer alleen wordt toegevoegd, stapelen rechten zich gedurende het dienstverband op. Een medewerker kan daardoor toegang behouden tot informatie of systemen die niet meer bij de huidige functie horen.

Hetzelfde geldt voor middelen. Misschien hoort bij de nieuwe functie een ander type device, telefoon, toegangspas of licentie.

Een functiewijziging zou daarom geen losse wijziging moeten zijn, maar een gecontroleerde overgang van het ene profiel naar het andere.

Uitdienst: is alles daadwerkelijk afgesloten?

Bij uitdiensttreding lijkt het proces duidelijk: accounts blokkeren, rechten intrekken en spullen terugvragen.

Toch zijn juist hier meerdere afdelingen en systemen bij betrokken. HR kent de einddatum, IT beheert accounts en devices, facilitair beheert mogelijk passen en andere middelen en applicatie-eigenaren kunnen verantwoordelijk zijn voor specifieke toegangsrechten.

Een afgesloten account betekent dan nog niet automatisch dat het hele uitdienstproces is afgerond.

Is de laptop ingeleverd? Is de toegangspas geblokkeerd? Zijn licenties vrijgegeven? Zijn aanvullende rechten ingetrokken? Zijn bedrijfsmiddelen weer beschikbaar voor hergebruik?

Pas wanneer de volledige keten is gecontroleerd, is de uitdiensttreding werkelijk afgerond.

Service Automation Suite als regielaag over het IDU-proces

In veel organisaties zijn HR, Identity & Access Management, device management, servicemanagement en andere omgevingen al met elkaar verbonden. Toch blijven medewerkers nodig om te controleren of iedere stap daadwerkelijk is uitgevoerd.

Daar ligt de rol van Service Automation Suite.

Service Automation Suite kan de regie voeren over het proces dat door verschillende systemen en afdelingen loopt. Een wijziging vanuit HR kan bijvoorbeeld het startpunt zijn om het bestaande profiel te vergelijken met het nieuwe profiel en vervolgens de benodigde acties te orchestreren en te bewaken.

Daarbij gaat het niet alleen om toevoegen, maar juist ook om wijzigen en verwijderen.

Integratie verbindt systemen. Orchestratie geeft regie.

Van losse rechten naar lifecycle-regie

Een goed ingericht IDU-proces volgt de medewerker gedurende het hele dienstverband:

Indienst → profiel toekennen → rechten en middelen beschikbaar stellen → functiewijzigingen verwerken → profiel aanpassen → oude rechten en middelen intrekken → uitdienst → volledige afsluiting controleren.

Zo ontstaat niet alleen meer efficiency. Het geeft ook meer grip op beveiliging, continuïteit en governance.

De interessante vraag is daarom niet alleen of jullie IDU-proces geautomatiseerd is.

De vraag is: kunnen jullie bij iedere medewerker aantonen dat de huidige rechten en middelen nog passen bij de huidige functie?

Met een Service Automation Suite Assessment brengen we het volledige IDU-proces in kaart. Van HR-mutatie tot rechten, profielen en bedrijfsmiddelen. Zo wordt zichtbaar waar handmatige controles, uitzonderingen en risico’s zitten en waar orchestratie meer regie kan bieden.

Meer weten? Plan hieronder een Service Automation Suite Assessment.

Neem contact op voor meer informatie of het bijbehorende document.