Automatiseren waar het kan, grip houden waar het moet

Geen blackbox, wel volledige controle

Scalda automatiseerde het identiteits- en toegangsbeheer voor duizenden medewerkers en studenten met Oribi SmartID. Voor Marja Meijer, Informatie- en Security Architect bij de Zeeuwse school voor middelbaar beroepsonderwijs en volwasseneducatie, was daarbij één uitgangspunt leidend: grip houden op een proces dat cruciaal is voor de informatiebeveiliging. "Je wilt precies kunnen zien waarom iemand bepaalde rechten krijgt en hoe dat proces verloopt."

Home
Automatiseren waar het kan, grip houden waar het moet

"Bij Identity & Access Management wil je geen black box, maar volledige controle"

Bij Scalda is veilige digitale toegang tot systemen en data essentieel. De instelling voor mbo en volwasseneducatie telt ruim duizend medewerkers, meer dan achtduizend studenten en zeventien locaties. Dagelijks maken duizenden gebruikers gebruik van uiteenlopende systemen, van HR- en studenteninformatiesystemen tot Microsoft-omgevingen, elektronische leeromgevingen en systemen voor fysieke toegang tot printers, koffie- en vendingmachines.

"Juist in zo'n omgeving is goed Identity & Access Management onmisbaar", vertelt Marja Meijer. "Je hebt continu te maken met nieuwe studenten, afgestudeerden, medewerkers die in dienst komen, van functie veranderen of uit dienst gaan. Dat betekent dat er voortdurend accounts moeten worden aangemaakt, gewijzigd of beëindigd. Dat wil je niet handmatig blijven doen."

Van handmatig beheer naar automatisering

Voor studenten was een groot deel van het proces al geautomatiseerd, maar voor medewerkers gebeurde veel nog handmatig. Dat kostte niet alleen tijd, maar maakte het beheer ook kwetsbaar voor fouten. "Op deze schaal is handmatig toegangsbeheer eigenlijk niet meer verantwoord." Daar kwam nog een tweede ontwikkeling bij: Scalda stapte over op een nieuw studenteninformatiesysteem: OSIRIS. De bestaande IAM-oplossing kon daar niet mee worden gekoppeld, waardoor een nieuwe oplossing noodzakelijk werd.

Omdat Scalda een publiek gefinancierde onderwijsinstelling is, volgde een Europese aanbesteding. "Zo'n traject duurt behoorlijk lang", vertelt Meijer. "Je stelt eerst een uitgebreid programma van eisen op. Vervolgens worden alle aanbieders objectief beoordeeld op prijs en kwaliteit. Uiteindelijk rolt daar de leverancier uit die de beste totaalscore behaalt."

Geen black box

Tijdens de selectie viel één aspect voor Scalda direct op. "Voor ons was het ontzettend belangrijk dat het systeem geen black box zou zijn", zegt Meijer. "Er zijn oplossingen waarbij je gegevens invoert en vervolgens aan de achterkant iets gebeurt zonder dat je precies kunt zien waarom. Dat wilden wij absoluut niet." Volgens haar is juist transparantie essentieel bij een proces dat direct raakt aan informatiebeveiliging. "Identity & Access Management is veel te belangrijk om volledig uit handen te geven. Wij willen kunnen monitoren wat er gebeurt, begrijpen waarom iemand bepaalde rechten krijgt en zelf de controle houden. Dat gaf SmartID ons."

Daarnaast bood het platform volgens haar veel flexibiliteit. "Er zijn veel mogelijkheden om rapportages te maken en processen inzichtelijk te maken. Dat vonden wij echt een groot pluspunt."

Twee grote projecten tegelijk

De implementatie bleek allesbehalve eenvoudig. Niet alleen moest een nieuw IAM-systeem worden ingevoerd, tegelijkertijd werd ook het nieuwe studenteninformatiesysteem geïmplementeerd. "Dat maakte het best uitdagend", vertelt Meijer. "Je wilt een systeem koppelen aan een bron die zelf nog in ontwikkeling is. Daardoor moesten we sommige onderdelen anders plannen dan we oorspronkelijk hadden bedacht."

De implementatie werd daarom bewust opgedeeld in meerdere fasen. Eerst werden de processen rondom medewerkers ingericht en de koppelingen met een aantal essentiële systemen met het HR-systeem van AFAS als bronsysteem. Pas daarna volgden de koppelingen voor studenten en de overige systemen. "Die fasering was echt noodzakelijk. We hadden een harde deadline, omdat het nieuwe studenteninformatiesysteem op 1 januari 2026 live moest gaan. Dan moet je keuzes maken over wat absoluut als eerste moet werken."

Gelukkig kon Scalda voortbouwen op voorbereidend werk uit een eerder traject. "We hadden al veel processen in kaart gebracht en een functioneel ontwerp opgesteld. Daardoor hoefden we niet alles opnieuw te bedenken. Natuurlijk hebben we samen met Oribi nog verschillende zaken aangescherpt, maar de basis lag er al. Dat heeft enorm veel tijd bespaard."

Gecontroleerd live

Een belangrijk uitgangspunt tijdens de implementatie was dat niets in één keer automatisch zou worden aangezet. "We hebben ervoor gekozen om alles gecontroleerd live te brengen", vertelt Meijer. "Dus niet meteen duizenden accounts automatisch laten aanmaken, maar stap voor stap controleren wat er gebeurde."

Die aanpak gaf volgens haar rust. "Als er iets onverwachts gebeurt, kun je direct ingrijpen. Bij zulke aantallen gebruikers wil je geen risico nemen. We vonden het belangrijk om veiligheid boven snelheid te stellen."

Tijdens het traject waren vanuit Scalda meerdere functioneel beheerders betrokken, naast Meijer zelf als projectleider. Vanuit Oribi werkte een vaste technisch consultant via Teams mee aan het project. "Elke dinsdag begonnen we met een gezamenlijke dagstart waarin we de planning bespraken, knelpunten doornamen en acties verdeelden. Aan het eind van de dag maakten we de balans op. Tussendoor hadden we korte lijnen via Teams. Dat werkte heel prettig."

Samenwerking als succesfactor

Volgens Meijer zat de kracht van het project niet alleen in de techniek. "Zo'n implementatie doe je echt samen. Je hebt de beheerders van de verschillende systemen nodig, HR, het studenteninformatiesysteem en uiteindelijk ook de gebruikers. Iedereen levert een stukje van de puzzel."

Over de samenwerking met Oribi is ze positief. "Die verliep heel prettig. We hadden korte lijnen, duidelijke communicatie en veel wederzijds vertrouwen. Natuurlijk kom je onderweg verrassingen tegen, zeker omdat we tegelijk met een nieuw studenteninformatiesysteem werkten. Maar juist dan is het belangrijk dat je snel kunt schakelen."

Grip op toegangsbeheer

Inmiddels worden accounts automatisch aangemaakt, gewijzigd en beëindigd op basis van gegevens uit de bronsystemen. "Voor medewerkers en studenten verandert er eigenlijk nauwelijks iets. Dat is misschien wel het mooiste compliment. Alles werkt gewoon."

Voor de IT-afdeling is de winst juist groot. "We hebben veel meer standaardisatie en vooral veel meer grip op het proces. Als de gegevens in de bronsystemen kloppen, verloopt de rest automatisch. Bovendien kunnen we precies volgen wat er gebeurt."

Die transparantie was uiteindelijk precies waar Scalda naar op zoek was. "We kunnen monitoren welke stappen worden uitgevoerd, zien waar eventueel iets misgaat en tijdig ingrijpen. Dat geeft vertrouwen."

De volgende stap

Hoewel inmiddels veel processen zijn geautomatiseerd, ziet Meijer nog volop mogelijkheden voor verdere ontwikkeling. "Mijn volgende wens is role-based access management. Daarbij worden rechten niet meer individueel toegekend, maar automatisch op basis van iemands functie of rol. Dat maakt het beheer nog efficiënter en ondersteunt ook onze informatiebeveiliging."

Tot slot heeft ze nog een aantal adviezen voor organisaties die aan een vergelijkbaar traject beginnen. "Begin met het goed in kaart brengen van je processen. Betrek alle relevante stakeholders vanaf het begin, test uitgebreid voordat je live gaat en kies voor een gefaseerde invoering. En misschien wel het belangrijkste: zet zo'n systeem gecontroleerd live. Dat heeft ons enorm geholpen."

Terugkijkend is Meijer vooral trots op wat haar team heeft bereikt. "We hebben dit traject in minder dan een jaar gerealiseerd, terwijl er tegelijkertijd ook een nieuw studenteninformatiesysteem werd geïmplementeerd. Dat was best ambitieus. Dat het uiteindelijk zonder grote problemen is gelukt, daar ben ik echt trots op."