HandboekIAM

schrijver Rob van der Staaij

Heeft behalve de dr. titel ook CPT, CISSP, CISA, CISM, CRISC, CEH achter zijn naam staan.

Handboek Identity & Access Management

https://www.academicservice.nl/kernproduct/709

Vragen aan Rob

Het Handboek is een meesterwerkje. Mijn complimenten. Dit is mijns inziens precies wat de IAM wereld nodig heeft, nu en in de toekomst, om mensen een duw in de rug te geven aan de voet van de steile helling die de acceptatie curve van een innovatie laat zien. Voor beginners denk ik wat taaie kost. Voor experts* een goed naslagwerk lijkt me, met veel historie ook, en je kunt in het boek je anker uit gooien waar je mee bezig bent of je expertise ligt in het werkveld.<br\> *maar ik kan als zodanig pas volgende week meepraten :-)

In gesprek

Ik heb een aantal vragen aan je geformuleerd. Zie maar of je daar wat mee kunt. Ik zou ze graag willen toelichten in een persoonlijke ontmoeting, dat gaat vaak makkelijker dan in proza.

Rob is op dit voorstel ingegaan en op 22 februari 2016 had een interview plaats van ca. een uur waarin een aantal vragen de revue kon passeren. Hartelijk dank daarvoor. De antwoorden van Rob zijn bondig weergegeven in schuingedrukte tekst.

Algemeen

1. Heb jij links naar goede recensies van het boek? Positieve en evt. ook Negatieve / (Opbouwende) kritische.

Antwoord Rob: Nee, wel op de voorloper van dit boek, recentie geschreven door Biblion

2. Heb jij links naar slechte recensies van het boek? En ik ben dan benieuwd waarom je ze evt. slecht vindt.

Ik kon met Google eigenlijk niks vinden dat de moeite waard was. Met alle respect voor de marketing inspanning van de diverse boekverkopers, die ik wel kan vinden.

3.Ik heb een soort recensie geschreven. Hij staat hier in draft klaar zodat ik op basis van jouw input nog wat kan aanpassen. Ik hoop dat ie je aan staat :-) Ik sta open voor je reactie zoals op evt. fouten en omissies.

4. Off topic: Hoe kan ik als kleine marktpartij (een bv met als achterban een twintigtal zzp'ers) betaalbaar / geoorloofd oefenen met en leren van feitelijk gebruik van een geavanceerde Federated Identity opstelling, liefst waar ik zelf als bedrijf identiteiten, authenticaties en autorisaties kan binden aan mijn medewerkers (de zzp'ers)?

Antwoord Rob: Kijk es naar de mogelijkheden bij Surfnet

5. Wat is jouw visie op de innovatieve invloed (al dan niet) van Blockchain technologie op het IAM vakgebied.

Door bordurend

4. Zijn er mensen die een proefwerk hebben gemaakt op basis van dit boek?

Een toets multiple choice of open vragen.

5. Is er een online glossary beschikbaar van alle begrippen in het boek?

Dus niet alleen de afkortingen, maar ook de begrippen die in een bepaalde context met een paar zinnen worden uitgelegd. Voorbeeld: 'step-up authentication'.

6. Heb je overwogen om het hele boek zelf niet grafisch te representeren, in een soort groot overzicht diagram?

Zo nee, is dat een haalbaar idee? Zo ja, waarom is dat overzicht dan gesneuveld?

7. Het boek heeft m.i. weinig detail informatie over (ervaringen met) het feitelijk draaien van IAM projecten zelf (wel algemeen in hoofdstuk 19 natuurlijk, veel voorwaarden scheppend werk ook elders in het boek gezien). Ik denk aan Agile versus traditionele aanpak, hoe houd je kikkers in de kruiwagen, DevOps, Staging van systemen, Testen lijkt me operationele uitdaging, geen beschouwingen over codemanagement in GIT e.d.

Vraag: zijn er goede boeken die jij kunt adviseren die (wel) over dergelijke onderwerp uit wijden?

8. IAM is complex en moeilijk. De kern van de problematiek in een bepaalde context weten te pakken is werk voor experts. Terwijl we juist de probleemhouders mee moeten hebben; zij die momenteel een zooitje in organisaties toe laten. Hoe kan het simpeler?

Specifiek over inhoud

1. Pagina 21 : Is het begrip 'Persona' dat dit boek gebruikt goed te matchen met één van de op Wikipedia genoemde Persona subarticles, of verdient de wikipedia pagina aanvulling met een IAM Persona? Antwoord Rob: Ik heb niet specifiek gekeken naar definities. Ik bedoel "een identiteit in een bepaalde context".
2. Pagina 22 : alinea 6 van boven: ...ISO/SEC niets zegt ... Waarom is daarvoor gekozen en wat betekent dat voor internationale standaardisatie inspanningen? Op pag 33 : de IAM definitie van ISO/IEC bevat toch de noodzakelijke verbijzondering "... in identities know in a particular domain." Why the fuzz?
3. Pagina 25 : Alinea 4 van boven: Het ongevraagd voorgeschoteld krijgen... identiteitsfraude. Zijn de rechten die we hebben op privacy (gegevens alleen koppelen met toestemming, voor het strikte doel etc) en gelijke behandeling zonder vooroordelen in "business rules" bewust niet aangehaald in dit hoofdstuk / deze paragraaf?
4. Pagina 26 : Alinea 3 van boven: ... ten einde vroegtijdig op het spoor te komen van... activiteiten. Zou het hier passen om ook aan te geven dat dit de reden is waarom PRISM tot stand kwam, maar dat inmiddels blijkt dat deze blijkbaar onvoldoende beschermde gegevens voor allerlei profiling doeleinden (kunnen) worden gebruikt. Nu lijkt het een soort vergoelijking van het feit dat het verzamelen gebeurt?
5. Pagina 33 : ISO/IEC, zie vraag over pag 22.
6. Pagina 52 : Hier staat in de 2de alinea een verwijzing naar EDPD in hfdstk 2.8. De gelinkte passage is echter mager zodat je als lezer van een kouwe kermis thuis komt. Waarom is deze verwijzing gemaakt in de context van hoofdstuk 4.4 die over wet- regelgeving gaat.
7. Pagina 55 : Hier wordt in 2 alinea's gemeld dat het EPD door de 1ste kamer is verworpen. Als je het 2 keer schrijft moet het wel belangrijk zijn. Waarom is het (unaniem) verworpen en wat was de impact? Ik kan vrij gemakkelijk politieke opinie vinden ([hier bijvoorbeeld) maar ik ben benieuwd wat jij er als schrijver resumerend in de context van IAM van vindt. Was het te vroeg? Welke grote fouten gemaakt? Kans op herhaling? Wat hebben we geleerd? Dat soort vragen. Antwoord Rob: Het komt in een klein vol land als het onze altijd weer terecht op de privacy - discussie, daar is het mis gegaan.
8. Pagina 59 : het IGF ligt stil blijkbaar. Waarom?
9. Pagina 71 : Zijn zaken als de yellow pages in een directory service by design toevoegd om context te creëren waar je in de definitie van Identity op pag 22 over had?
10. Pag 74 Alinea 3 waarom?
11. Pag 82 Alinea 1 waarom?
12. Pag 83 Alinea 2 Redactionele noot: 2 x wordt in 1 zin.
13. Pag 83 Alinea 4 is deactivatie nodig in rolgebaseerde archieven? Je wilt de informatie aan de rol gekoppeld kunnen blijven houden in bijv. een zaakvolgsysteem. De user staat 'blocked' of zo iets. Hoe gaat dat? Antwoord Rob: precies dat wordt met de- of inactief bedoeld. Je verwijdert niet, maar maakt inactief.
14. Pag 95 Een plaatje van SCIM zou wat verhelderen. Is dit een goede kandidaat? plaatje1?
15. Pag 102 Is er een RBAC project standaard: de manier waarop je een bestaande organisatie in moet, hoe je dit moet organiseren, hoe je commitment krijgt top down en bottom up, hoe je snel kunt auditen en een nulmeting doen van hoe 'de vlag erbij hangt' in een organisatie.
16. Pag 104 Alinea 2 Kun je een voorbeeld noemen?
17. Pag 107 Onderin; komt over als navelstaren en daarop de taken inrichten. Is een taakanalytische benadering mogelijk geschikt(er)?: kijk naar de centrale doelstellingen en het unieke karakter van de organisatie in de maatschappij en vooral: richting klanten. Antwoord Rob: je moet top-down op zoek naar de business drivers idd.
18. Pag 110 Hoe voorkom je ongewenste inbreng / overrule door een interne 'higher authority' in dit proces?
19. Pag 112 Role mining is grotendeels ongeschikt om te komen tot een goed stelsel RBAC. Waarom ga je er toch zo diep op in? Er moet iets fenomenaal aan zijn dat ik heb gemist.
20. Pag 118 Is er tooling om autorisatie spaghetti te screenen / determineren? Als onderdeel van nulmeting of audit. Antwoord Rob: Role mining tools kunnen dit.
21. Pag 146 Waarom is er geen DNA genoemd?
22. Pag 146 GPS lijkt me geen biometrisch gegeven, maar lokatie gegeven; 'waar je bent'. Dat kan in 3D x,y en z: de hoogte t.o.v. NAP. Ook 'binnen of buiten gebouw' is interessant begreep ik uit de later ESSO tekst.
23. Pag 166 laatste alinea / fig 32, dit oogt als Multiple Sign-On?!
24. Pag 176 Alinea 2 Zijn er benchmarks / stresstesten bekend? Waaraan moeten deze voldoen?
25. Pag 180 alinea 2 Ik ben benieuwd van de schrijver daarvan vindt. Is de benoeming van een feit of benoeming van de reden waarom WAM een noodzaak wordt.
26. Pag 184 laatste alinea Oei, en het zijn al van die sociale communicatief vaardige exemplaren, die IT'ers. Hokjesgeest en fanboys overal. Hoe wordt dit proces aangejaagd? Zijn er mediators die organisaties op gelijk niveau kunnen trekken? We need a dictator here :-) Zonder dollen: wat is het ei van Columbus dat deze organisaties zichzelf laat veranderen? ipv veranderd te worden, want dat gaat 'm echt niet worden. Zijn er blauwdrukken / geleerde lessen van succesvolle / mislukte federaties die IAM hebben (geprobeerd) te implementeren? Antwoord Rob: Vanuit de klantvraag wordt dit vaak gestuurd. Het is voor 3 uitgevers van online leermiddelen een overkoepelend belang dat studenten maar 1 keer hun identiteit hoeven aan te geven. Scholen blijven anders misschien wel op de traditionele boeken hangen.
27. Pag 196 Laatste alinea ID-FF en ID-WSF lijkt qua omschrijving wel veel op elkaar. Ik heb het even nagekeken en hier samengevat: IAM#ID-FF_en_ID-WSF. Wat ik begrijp is dat ID-WSF een verbijzondering is van de ID-FF standaard, alleen gericht op het assertions deel (het verstrekken van tokens) binnen de federatie. Wat vind jij?
28. Pag 200 de WS- handel. Jeetje, wat is dit? Zijn die eigengereide donders een standaard naast de standaard gaan maken? Hoe lang houden ze dit spelletje vendor-locking bij klanten als koekoeksjong voor al het veelbelovende open-source-gebroed vol :-) Zonder gekheid: ik snap als lezer niet goed waarom MS/IBM deze eer hier krijgt. Het WS-stuk komt hier uit de lucht vallen, na SAMLverhandeling waaruit blijkt dat Shibboleth en LA wel snappen hoe het verder moet. En MS dient doodleuk een eigen standaard in. Met eigen naamgevingen e.d. maar eigenlijk niets nieuws onder de zon, accentverschillen lees ik. Begrijp ik dat goed? Of mis ik dingen. Vervolgens gaat het hoofdstuk "gelukkig" met de juiste dingen verder: OpenID connect. Antwoord Rob: dit is deels al achterhaald. Microsoft e.a. hebben de SAML standaard omarmd, daarnaast doen ze nog wat eigen dingen.
29. Pag 202 Dit lijkt 'the way to go'?! Wat kunnen Social Networks op deze manier wel en niet voor / in Identity Federations gaan betekenen? Antwoord Rob: zeker deze Social Networks kunnen in ruil voor attributen van je identiteit deze dienst vervullen. Maar het gaat om de federatie die betekenis geeft aan je authenticatie middels rollen en rechten.

Losse artikelen

http://www.robvanderstaaij.nl/docs/Social_identity.pdf