attributenbeleid

Attributenbeleid is het beleid en de procedures die beschrijven welke kenmerken of attributen van personen of objecten binnen een organisatie worden verzameld, hoe deze attributen worden beheerd en hoe ze worden gebruikt voor processen zoals authenticatie en autorisatie. Attributen kunnen identiteitskenmerken (naam, rol, afdeling), toestemmingen, locatie en andere relevante kenmerken zijn. Het beleid richt zich op doel en noodzakelijkheid, privacy en datakwaliteit, beveiliging en verantwoording, en streeft naar eenduidige besluitvorming over het gebruik van attributen.

Een belangrijk onderdeel van attributenbeleid is de toelichting op attributendefinities, een attributencatalogus, en de bronnen waaruit attributen afkomstig zijn (HR-systemen, directorydiensten, externe partners). Ook staan eigenaarschap, verantwoordelijkheden, datakwaliteit en vervaldatums centraal, evenals privacy- en toestemmingsbeheer, beveiligingsmaatregelen en rapportage- en auditvereisten. Governance-structuren omvatten rolverdeling zoals data owner, data steward en data custodian, en de aansluiting bij beleid en standaarden en bij wijzigingsbeheer.

Toepassingsvelden van attributenbeleid liggen vaak in authenticatie en identiteits- en toegangsbeheer (ABAC/IAM), maar ook in personalisatie en dienstverlening aan gebruikers. Een uitgangspunt is gegevensminimalisatie en het waarborgen van nauwkeurige, actuele attributen. Het beleid moet interoperabiliteit faciliteren door aansluiting bij gangbare normen en systemen (bijvoorbeeld SAML, OAuth, OpenID Connect).

Implementatiegang vindt doorgaans plaats via het inventariseren en classificeren van attributen, het vaststellen van doeleinden en verantwoordelijken, het opzetten van een attributencatalogus, en maatregelen voor gegevenskwaliteit, privacy-by-design, toestemming en vervaldatering, beveiliging en periodieke audits. Uitdagingen zijn onder meer datakwaliteit, privacy, gegevensdeling over grenzen heen en de samenwerking tussen afdelingen en leveranciers. Zie ook ABAC, IAM, datakwaliteit en privacywetgeving.