Czym jest IAM (Identity and Access Management)

IAM (Identity and Access Management), czyli zarządzanie tożsamością i dostępem, to dziedzina cyberbezpieczeństwa. Obejmuje polityki, procesy i technologie służące do zapewnienia, że odpowiednie osoby mają odpowiedni dostęp do odpowiednich zasobów w odpowiednim czasie. W skrócie, IAM odpowiada na pytania: „Kim jesteś?”, „Co możesz zobaczyć?” i „Co możesz zrobić?”.
Współczesne systemy IAM są kręgosłupem bezpieczeństwa w organizacji, zwłaszcza w dobie chmury i pracy zdalnej, gdzie tradycyjne granice sieci przestały istnieć. Systemy te zarządzają całym cyklem życia tożsamości cyfrowej – od jej stworzenia, przez modyfikację, aż po usunięcie.
Podstawowe filary IAM to:

• Zarządzanie tożsamością: Proces tworzenia, utrzymywania i usuwania tożsamości cyfrowych w centralnym repozytorium (np. Microsoft Active Directory). Kluczowy jest tu provisioning (automatyczne nadawanie) i deprovisioning (automatyczne odbieranie) dostępu, np. w momencie zatrudnienia lub odejścia pracownika.
• Uwierzytelnianie (Authentication): Proces weryfikacji tożsamości. Najprostszą formą jest hasło, ale nowoczesne systemy IAM kładą nacisk na uwierzytelnianie wieloskładnikowe (MFA).
• Autoryzacja (Authorization): Po pomyślnym uwierzytelnieniu, system IAM decyduje, do jakich zasobów użytkownik ma dostęp. Autoryzacja jest najczęściej oparta na modelu RBAC (Role-Based Access Control), gdzie uprawnienia przypisywane są do ról (np. „księgowy”), a nie do poszczególnych użytkowników.
• Audyt i Raportowanie: Systemy IAM rejestrują wszystkie zdarzenia związane z dostępem. Logi te są niezbędne do monitorowania bezpieczeństwa, wykrywania nieautoryzowanych działań oraz do spełniania wymogów zgodności z regulacjami.
  Wdrożenie dojrzałego systemu IAM jest kluczowe dla egzekwowania zasady najmniejszych uprawnień (Principle of Least Privilege).