Antwoorden op de vragen die we het vaakst horen

Het hybride model scheidt het managed control plane van het deel dat connectoren uitvoert. Dat deel is een kleine Python-agent die in uw eigen VPC of op uw on-premises infrastructuur kan draaien. Het control plane verzorgt het governancemodel, de taakplanning, de configuratie, de dashboards en de rapportering. De agent voert connectoren uit binnen uw netwerk en haalt geheimen lokaal op. Connectorcredentials blijven in uw VPC. Alleen configuratie en resultaten gaan heen en weer tussen de agent en het control plane. Voor SaaS-connectoren zoals Entra ID, Salesforce en SCIM-apps kan de connector in het control plane draaien of via de agent. Het gesynchroniseerde identiteitsmodel wordt bewaard in het managed control plane dat in de EU wordt gehost. U kiest per connector voor agentmodus, afhankelijk van de netwerktoegang en van waar de credentials moeten blijven.

De agent authenticeert zich met een ECDSA P-256-sleutelpaar. Bij de eerste start genereert hij het sleutelpaar op uw host en registreert hij de publieke sleutel met een eenmalige inschrijvingscredential. Vanaf dan bewijst hij zijn identiteit met een ondertekende challenge-response die tegen die publieke sleutel wordt geverifieerd. De private sleutel verlaat uw machine nooit. Sessies zijn kortlevend en worden opnieuw opgebouwd vanuit het sleutelpaar, zodat er geen langlevend gedeeld geheim is. Connectorgeheimen voor connectoren in agentmodus worden bewaard in een versleutelde opslag op de agenthost en worden nooit naar het control plane gestuurd. Zelfupdates worden op hun handtekening geverifieerd, en een update waarvan de handtekening niet klopt, wordt geweigerd.

De agent voert automatisch een rollback uit. Hij bewaart de vorige versie voordat hij een zelfupdate toepast, en een nieuwe versie wordt pas aanvaard zodra ze is opgestart en actief is gebleven. Als de nieuwe versie bij het opstarten crasht, detecteert de volgende start dat en voert die opnieuw de vorige versie uit. Een operator hoeft niets te doen, zolang de agent draait onder een servicemanager die hem herstart. De standaardinstallaties met systemd en met containers doen dat allebei.

Het standaard managed control plane van RapidValue draait bij Scaleway, een Franse cloudprovider, in de regio Amsterdam in de EU. Customer-managed cloud en on-premises zijn alternatieve deploymentmodellen voor wanneer uw architectuur of beleid om infrastructuur vraagt die u zelf beheert. Connectorcredentials voor connectoren in agentmodus blijven binnen uw eigen netwerk en bereiken het control plane nooit. Alleen configuratie en resultaten gaan heen en weer tussen de twee.

Ja, via een uitgaande webhook. Er is geen specifieke connector voor Splunk, Sentinel of QRadar. U configureert per tenant een HTTPS-endpoint en RapidValue stuurt events daarheen met een POST. Een voorinstelling Security events zet de hele securitycategorie in één klik aan: mislukte aanmeldingen, de afkoelperiode bij brute force, een persoon die wordt geblokkeerd en weer gedeblokkeerd, een kill switch voor een machine-identiteit die wordt geactiveerd en weer vrijgegeven, een noodactivatie, een break-glass-intrekking, een nieuwe SoD-schending, een risicoscore die kritiek wordt, en een synchronisatie die door een veiligheidslimiet wordt tegengehouden. Elke POST draagt het eventtype in een header en, als u een ondertekeningsgeheim instelt, een HMAC-SHA256-handtekening over de body. Elke poging wordt gelogd met haar status, de HTTP-code en een gestructureerde reden van falen, zoals verbinding geweigerd, timeout, DNS, TLS, 4xx of 5xx. Iedereen met auditrechten kan dat log lezen zonder admin te zijn, en het log toont nooit het endpoint of het geheim ervan. Er zijn twee beperkingen. Ten eerste is er vandaag geen automatische retry. Een admin verstuurt een mislukte levering opnieuw, en die retry wordt als nieuwe poging gelogd naast de mislukte. Ten tweede zijn de enige authenticatie-events in de feed mislukte aanmeldingen en de blokkering die daarop volgt. Er is geen stroom voor geslaagde logins, MFA of wachtwoordwijzigingen. Payloads van mislukte logins bevatten een redenklasse en laten het adres weg waarmee werd geprobeerd, zodat niemand de feed kan gebruiken om te achterhalen welke gebruikers u hebt.

In elke connectormodus ontvangt en bewaart het control plane het gesynchroniseerde identiteitsmodel: identiteiten, accounts, rechten en toekenningen. Reconciliatie, risicoscoring, certificeringen en audit draaien daar. De RapidValue-agent verandert waar credentials worden bewaard en hoe uw netwerk wordt bereikt. Hij verandert de datastroom niet. Connectorgeheimen worden lokaal op de agent opgehaald en worden nooit naar het control plane gestuurd. U beslist hoeveel data wordt geïmporteerd: in de onboardingwizard kiest u per object en per attribuut precies wat binnenkomt. Het geïmporteerde model wordt verwerkt en bewaard in het managed control plane dat in de EU wordt gehost. Het kan worden geëxporteerd onder GDPR-artikel 20 en gewist onder artikel 17, binnen de vermelde grenzen van wettelijke bewaring.

Dat hangt af van de modus waarin een connector draait, en er zijn drie modi. In agentmodus wordt de credential (LDAP-bindwachtwoord, AD-serviceaccount, API-token, OAuth-clientgeheim) bewaard in een versleutelde opslag op de agenthost binnen uw VPC. De agent haalt ze lokaal op wanneer hij draait, en ze wordt nooit naar het control plane gestuurd, zelfs niet versleuteld. In in-process-modus, die wordt gebruikt voor SaaS-doelsystemen die via internet bereikbaar zijn, wordt de credential bewaard in de vault van het control plane, of in uw eigen vault als u er een registreert. Met uw eigen vault bewaren wij een verwijzing en houdt u de waarde. In tunnelmodus wordt de credential ook aan de kant van het control plane bewaard, en de agent transporteert alleen het request over uw netwerk. U kiest per connector hoe uw netwerk wordt bereikt en waar de credential wordt bewaard. De credential-CLI beperkt de rechten op de opslag en haar hoofdsleutel tot de eigenaar op de host wanneer credentials worden toegevoegd. In productie is het gebruikelijk om de hoofdsleutel uit een secrets manager zoals HashiCorp Vault of Azure Key Vault te halen, en niet uit een lokaal bestand.

DORA (Digital Operational Resilience Act) verplicht financiële entiteiten om ICT-gerelateerde risico’s voortdurend te monitoren en te beheren, inclusief toegangsrechten voor kritieke functies. Deze mogelijkheden van RapidValue spelen in op DORA-vereisten. Geplande reconciliatie: een dagelijkse run over de hele tenant, een herberekening per identiteit na elke import, en runs op aanvraag. Elke run krijgt een tijdstempel en bewaart bewijs per toekenning dat de vraag beantwoordt waarom de toegang bestaat. Functiescheiding: u declareert SoD-regels over systemen heen één keer, en RapidValue blijft schendingen detecteren waar ze ook voorkomen. Governance van niet-menselijke identiteiten: serviceaccounts en bots worden bestuurd op basis van de reden waarom ze bestaan. Een persoon legt die reden vast, RapidValue leidt ze niet af uit het identiteitstype, en het eigenaarschap wordt bijgehouden. Governance van toegang door derden: identiteitsstromen voor contractors en partners met een einddatum op de toegang. Audit trail: een onveranderlijk auditlog per categorie dat u kunt exporteren voor een toezichthouder. Het sectorpakket Financial Services bevat SoD-regels met DORA-verwijzing (toegang als ontwikkelaar én tot productie bijvoorbeeld, met verwijzing naar art. 8) en goedkeuringsbaselines: een keten van drie goedkeurders voor resources met hoog risico en het vierogenprincipe voor geprivilegieerde aanvragen en noodaanvragen. De compliance-posture-engine geeft uw omgeving standaard een score voor de controles van DORA art. 9 en art. 28. Hij berekent de score uit de live dekking van certificering, geprivilegieerde toegang en eigenaarschap van machine-identiteiten. Hij gebruikt geen vragenlijst.

Ja. NIS2 verplicht essentiële en belangrijke entiteiten om beleid voor toegangscontrole, multifactorauthenticatie en continue monitoring van geprivilegieerde toegang te implementeren. RapidValue dekt dat op vier manieren. Continue toegangscertificering, die zowel door events als door de jaarlijkse planning wordt gestart. Governance van machine-identiteiten op basis van een vastgelegde reden van bestaan, zodat kritieke serviceaccounts geïdentificeerd zijn en een eigenaar hebben. Scoring van de impactradius voor niet-menselijke identiteiten en rollen, die toont wat een gecompromitteerde identiteit of rol zou kunnen bereiken. Auditklaar bewijs voor elke reconciliatierun, dat voldoet aan de vereiste van gedocumenteerd toezicht op toegang. Voor sectoren met kritieke infrastructuur bevat het pakket Manufacturing een vierogenbaseline voor OT/SCADA-toegang en het pakket Public Sector een goedkeuringsbaseline voor AI-agents. Beide verwijzen naar NIS2. De compliance-posture-engine geeft uw omgeving standaard een score voor de controles van NIS2 art. 21. Multifactorauthenticatie en geprivilegieerde toegang worden als twee afzonderlijke controles gescoord, omdat het twee verschillende zaken zijn. MFA-registratie komt uit wat uw IdP per account rapporteert, en geprivilegieerde toegang komt uit uw just-in-time-dekking. Waar een connector helemaal geen MFA-status rapporteert, tonen we die controle als niet-gemeten gat en laten we ze buiten de score. We ronden ze niet af op nul of op honderd procent.

Een rapport opent als een weergave die gepagineerd, gesorteerd en doorzoekbaar is. Het filter dat werd toegepast, staat op het scherm, en u kunt per cel doorklikken. Hetzelfde opgeslagen filter stuurt de export aan, zodat het bestand en het scherm dezelfde data tonen, inclusief maskering. Er is geen selfservice-rapportbouwer voor eindgebruikers. U krijgt de rapportcatalogus plus opgeslagen filters.

Ja. RapidValue ondersteunt de vereisten van SOX voor toegangscontrole, in het bijzonder Section 404 over interne controles. Het biedt beleid voor functiescheiding met geautomatiseerde detectie van schendingen, certificeringscampagnes voor toegang met goedkeuringssporen en tijdstempels, een onveranderlijk auditlog van alle toegangsbeslissingen en certificeringsresultaten, en rolgebaseerde toegangscontrole met een vastgelegde verantwoording per toekenning. U vraagt welke toegang persoon X had op tijdstip Z, en RapidValue reconstrueert die uit de onveranderlijke eventgeschiedenis. De goedkeuring en de verantwoording van elke toekenning staan ernaast in dezelfde audit trail, zodat geen engineer de situatie met de hand opnieuw hoeft op te bouwen. Er is één beperking die u moet kennen. De reconstructie leest die eventgeschiedenis, en toegang die een import rechtstreeks in een doelsysteem schrijft, loopt daar nog niet doorheen. Op een pas gesynchroniseerde omgeving rapporteert een reconstructie daarom minder dan er is, en ze somt op wat ze niet kan verklaren. RapidValue heeft geen SOX-, ISO 27001- of SOC 2-certificering, en een bewijspakket is geen auditoordeel. Wij leveren het bewijs waar uw auditor om vraagt, opgebouwd uit live data. Het oordeel is aan uw auditor.

Eén regel installeert de agent, en binnen ongeveer 30 seconden staat hij online in uw tenant. De eerste connector synchroniseert binnen het eerste uur. Een eerste resultaat ziet u in één ochtend: tegen de middag zijn uw HR-data en één applicatie gekoppeld en staan de hiaten op het scherm. De POC volgt de week erna en geeft u een werkende governanceomgeving, inclusief een eerste role mining en een eerste certificeringscampagne. Hoe lang een volledige productie-uitrol duurt, hangt af van het aantal connectoren en de omvang van het rolmodel. We ramen dat samen met u zodra de proof of concept heeft laten zien wat uw gegevens vragen. U begint de eerste namiddag ook niet met een leeg scherm. Vier starterpakketten (birthright, JML, toegangsreview, SoD) worden uitgeschakeld geïnstalleerd, zodat u bestaande governanceregels aanpast en ze niet van nul hoeft te schrijven.

Eén keer per week meldt een bot zich aan als zes verschillende persona’s en opent hij elke route die de eigen navigatie van die persona aanbiedt. Hij leest die routes uit de weergegeven pagina, dus wij houden geen lijst bij. Op elke pagina controleert hij vier zaken: de pagina laadt, de console is schoon, er staat geen onvertaalde sleutel op het scherm, en een pagina die de navigatie aanbood, antwoordt niet met “geen toegang”. Dat zijn zes persona’s en een paar honderd routes in elke run. De bot kan niet beoordelen of een scherm goed is. Dat moet een persoon nog altijd doen, en het testrapport zegt dat aan het einde van elke run.

Een typische POC verloopt als volgt. Ze bouwt verder op de eerste ochtend: de agent, uw HR-bron en de eerste applicatie zijn dan al gekoppeld, en Serge, de oprichter, werkt de hele tijd met u samen. Dag 1: de Quick Scan draait op de gekoppelde data, role mining genereert voorstellen en er wordt een meeneemrapport voorbereid voor uw CISO. De rest van de week: u koppelt meer doelsystemen, voert een volledige reconciliatie uit en configureert een eerste certificeringscampagne. Einde van de week: een debriefing met uw team, een prijsgesprek en een plan voor het pad naar productie. U hoeft geen infrastructuur op te zetten buiten het uitvoeren van de installer van één regel.

Nee. De agent is één Python-bestand dat op elke Linux-host draait, ook op WSL2 op Windows. Hij heeft heel weinig nodig: een kleine VM met 1 vCPU en 512 MB RAM is ruim voldoende, en in de praktijk gebruikt hij in rust ongeveer 200 MB. Hij vereist Python 3.12 of nieuwer en uitgaand HTTPS naar het control plane. Voor connectoren in agentmodus installeert hij ook een handvol pip-pakketten (httpx, cryptography, ldap3 en vergelijkbare pakketten) en downloadt hij onze connectorcode vanuit het control plane, versievergrendeld via een contenthash. “Eén bestand” beschrijft dus wat u auditeert, en de volledige installatie is iets groter. Voor productie raden we een aparte VM of container aan met persistente opslag voor de statusbestanden en de vault van de agent. De control plane is standaard managed SaaS. De agent is optioneel en alleen nodig voor connectoren die systemen in uw eigen netwerk bereiken.

De pauzeschakelaar bestaat uit drie onafhankelijke schakelaars, voor synchronisatie, reconciliatie en provisioning. Elke schakelaar legt die engine stil over de hele tenant. De schakelaars blijven behouden na een herstart en zijn zichtbaar voor alle admingebruikers. Dat is belangrijk omdat IGA-engines volgens planningen draaien. Als u om 23 uur een fout in het rolmodel ontdekt, moet u de juiste engine, of alle drie, kunnen stoppen terwijl u onderzoekt, zonder configuratiebestanden aan te raken of processen te beëindigen. Een pauzeschakelaar doet dat in één klik. Naast de pauzestatus wordt een reden vastgelegd, met wie pauzeerde en wanneer, en elke admin ziet die tot de engine wordt hervat.

Role mining analyseert uw bestaande toegangsdata om natuurlijke groeperingen te vinden: patronen van rechten die worden gedeeld door mensen in vergelijkbare rollen. RapidValue draait 8 algoritmen parallel (op basis van attributen, organisatie, jobfunctie, clustering van permissies, context en andere). De deduplicatiestap lost een veelvoorkomend IGA-probleem op. Dezelfde rol uit de praktijk, bijvoorbeeld “Finance Manager in de IT-afdeling”, wordt meermaals voorgesteld door verschillende algoritmen vanuit verschillende bronsystemen. Zonder deduplicatie zou u 7 voorstellen krijgen die allemaal hetzelfde zeggen. RapidValue detecteert overlappende voorstellen (vergelijkbare sets rechten, vergelijkbare groepen leden) en voegt ze samen tot één voorstel met een uitleg van de samenvoeging. U beoordeelt één voorstel en ziet waar het vandaan komt.

Elke niet-menselijke identiteit (serviceaccount, AI-agent, bot, IoT-apparaat, cloudworkload) krijgt bij registratie een lifecycle-driver. De driver zegt waarom de identiteit bestaat, en RapidValue leidt die niet af uit het soort identiteit. Er zijn vier drivers. Wijzigingsgedreven: gekoppeld aan een code-deploy of een configuratiewijziging, zoals een CI/CD-serviceaccount of een pipelinecredential. Runtimegedreven: bestaat omdat er op dit moment iets draait, zoals een geplande job of een workloadidentiteit. Assetgebonden: gekoppeld aan een stuk infrastructuur, zoals een apparaat of een certificaat. Doelgedreven: bestaat om een vastgelegde zakelijke reden die langer meegaat dan één systeem, zoals een integratie of een datafeed. Een persoon legt de driver vast bij registratie. Een waarde die RapidValue alleen voorstelt op basis van het identiteitstype, sluit nooit een governancebevinding. AI-agents hebben ook een tweede eigenschap: een autonomieniveau (ondersteund, onder toezicht, autonoom) dat bepaalt hoe vaak de agent opnieuw wordt geattesteerd. Dat staat los van de lifecycle-driver, die de vraag beantwoordt waarom de identiteit überhaupt bestaat. Eigenaarschapsdekking (het percentage machine-identiteiten met een benoemde eigenaar) is vanaf dag 1 een hoofd-KPI in het governancedashboard.

RapidValue behandelt zichzelf als een gekoppeld systeem. Elke gebruiker die zich aanmeldt, is gekoppeld aan een identiteit in uw directory. Platformrollen (admin, auditor, helpdesk, …) zijn groepslidmaatschappen die in hetzelfde securitymodel verschijnen als alle andere toegang. Wanneer u een collega uitnodigt met een rol, maakt RapidValue een echte, beheerste toekenning aan die in reconciliatie en toegangsreviews verschijnt. Beveiligingen voorkomen dat u uzelf buitensluit. Automatisering kan de laatste actieve admin nooit deactiveren of degraderen, en het rollidmaatschap van een actieve admin is beschermd tegen intrekking door een connector. Een noodblokkering van een gecompromitteerde admin haalt nog altijd onmiddellijk alles weg.

Ja, als standaardfunctie. Break-glass-profielen koppelen daartoe gerechtigde personen aan de noodrechten van uw kritieke systemen. De dekking wordt opgevolgd, en het aantal systemen zonder noodpad is een KPI. Activatie gebeurt in één klik en is beperkt in de tijd: ze vervalt automatisch en de toegang wordt bij het verstrijken ingetrokken. Elke activatie wordt met kritieke ernst vastgelegd in de onveranderlijke audit trail en blijft gemarkeerd tot er een verantwoording is ingediend. De event-reviewregel start daarna een review van precies wat werd gebruikt.

Reviewers delegeren hun wachtrij voor een periode, voor een afwezigheid of als permanente regeling. Beslissingen die namens iemand worden genomen, krijgen het label “namens” en kunnen afzonderlijk worden geauditeerd. De goedkeuringsketen blijft doorlopen terwijl iemand afwezig is, en de audit trail toont nog altijd wie heeft beslist. Een achterstallige wachtrij herinnert haar eigenaar ook automatisch, dus delegatie is alleen nodig bij afwezigheid.

De goedkeurder krijgt eerst een e-mail. Die gaat naar de goedkeurder die aan de beurt is. De e-mail kan één link naar de beslissingspagina bevatten. Hij toont nooit Goedkeuren naast Afwijzen. De link noemt het item en de ontvanger en bevat de beslissing niet, dus hem twee keer openen beslist niets. De beslissing zelf wordt genomen op een pagina die de SoD- en hoogrisicowaarschuwingen toont, en een afwijzing vereist altijd een schriftelijke reden. Dit wordt per tenant ingesteld en staat uit tot u het aanzet. Dezelfde e-mail en dezelfde enkele link gelden nu ook voor certificeringsrondes. Een nieuwe review kondigt zichzelf aan, en een herinnering aan een naderende deadline is een afzonderlijk bericht.

Nee. De goedkeurder van de openstaande stap krijgt een e-mail. Een geplande job stuurt met vaste tussenpozen herinneringen voor een achterstallige beslissing, en een vaste weergave toont wat het langst wacht en bij wie. U ziet ook een gemeten tijd “doorgaans goedgekeurd in”. Dat is de mediaan van de laatste negentig dagen van deze tenant zelf, en er wordt geen cijfer getoond wanneer er te weinig data is. U krijgt bericht wanneer de uitkomst bekend is, inclusief een bericht “uw toegang is actief” dat wordt verstuurd zodra de provisioning is voltooid.

Agents die gehost worden op Microsoft Entra Agent ID (inclusief agents gebouwd in Copilot Studio en AI Foundry), Amazon Bedrock en AgentCore, Google Vertex AI Agent Engine en Agentspace, Salesforce Agentforce, ServiceNow AI-agents en GitHub Apps. Op AWS en Google Cloud kunt u ook IAM-gebruikers als agent taggen of serviceaccounts als agent declareren. Discovery op GitHub blijft uitgeschakeld tot een organisatie-eigenaar ze inschakelt. Self-hosted agents worden via intake geregistreerd door een benoemde sponsor. Waar het platform een sponsor vastlegt, importeert RapidValue die als eigenaar. Deze AI-agents zijn iets anders dan de RapidValue-agent, die de eigen connectorruntime van RapidValue is.

Dat hangt af van het platform, en RapidValue zegt u wat het heeft gedaan. In Entra schakelt het de agent uit. Op AWS koppelt het een deny-all-policy en leest die terug, en een rol die met andere workloads wordt gedeeld, wordt als gedeeld gemeld. Op Google Cloud schakelt het een door de gebruiker beheerd serviceaccount uit en weigert het accounts die door Google worden beheerd. Voor GitHub Apps blokkeert het de agent in RapidValue en vermeldt het dat GitHub niet van daaruit kan worden gestopt. In elk geval wordt de identiteit in RapidValue geblokkeerd, worden de credentials die RapidValue uitgaf ingetrokken, is een getypte reden vereist en wordt de actie gelogd in de audit trail. Het vrijgeven van de schakelaar geeft ingetrokken credentials niet opnieuw uit.

Ja. De eigen MCP-server van RapidValue laat uw AI-assistenten vragen stellen, toegang aanvragen en de eigen taken van hun gebruiker beslissen, met alleen wat die gebruiker mag zien. Elke gekoppelde assistent wordt bestuurd als AI-agent met een eigenaar en een kill switch. In early access is de gateway van RapidValue voor uw MCP-servers en interne API’s. Elke tool wordt een recht dat langs aanvraag, goedkeuring, certificering en controle op functiescheiding gaat, en de gateway beslist elke aanroep en blokkeert wat niet mag. Hij houdt het credential van het systeem zodat de agent het nooit ziet, en elk systeem start in observatiemodus. Een gateway die u al gebruikt, kan RapidValue om dezelfde beslissing vragen in het OpenID AuthZEN-formaat. Beslissingen worden elk uur verzegeld. Een model krijgt nooit een directe weg naar een connector.

RapidValue registreert metadata van credentials en nooit het geheim zelf. De metadata komt uit app-registraties in Entra (geheimen en certificaten), access keys van AWS IAM, sleutels van serviceaccounts in Google Cloud, app-wachtwoorden in Google Workspace en Active Directory (wachtwoordleeftijd als rotatie, laatste aanmelding als gebruik), plus de API-credentials die RapidValue uitgeeft. Credentials die nooit vervallen, credentials die binnen 30 dagen vervallen, ongebruikte API-credentials en achterstallige rotaties worden bevindingen. Wanneer een bron geen gebruik rapporteert, wordt de credential getoond als “niet gerapporteerd”. Ze wordt dan niet getoond als “nooit gebruikt”.

IVIP staat voor Identity Visibility & Intelligence Platform. Het is de analyse- en risicolaag die in RapidValue is ingebouwd: een opgeslagen risicoscore per identiteit, SoD-detectie over systemen heen, detectie van slapende toekenningen, detectie van uitschieters binnen de peergroep en dagelijkse snapshots van de risicotrend. Het is belangrijk omdat het u laat zien waar u het eerst moet kijken. IVIP beantwoordt de vraag “naar welke 5 identiteiten moet ik nu kijken?” met een score die volgens vaste regels wordt berekend en in haar componenten wordt opgesplitst. Het gebruikt geen LLM, en u kunt zien hoe elke score is berekend. Het maakt het ook mogelijk om te observeren voordat u bestuurt. U kunt elk systeem of object alleen-lezen houden, vanaf dag één het volledige risicobeeld en de aanbevelingen krijgen, en provisioning per systeem inschakelen zodra u de waarde hebt gezien.

Ja, de score is volledig deterministisch en gebruikt geen machine learning. De score is een gewogen som van 0 tot 100 over 18 gedeclareerde componenten, waarvan er 16 meetellen in de score. Daartoe behoren: slapende toekenningen, waarbij slapende geprivilegieerde toekenningen afzonderlijk worden gewogen; SoD-schendingen over systemen heen, in de categorieën waarschuwing en kritiek; schaduwtoegang, dat wil zeggen permissies die via geneste groepen worden overgeërfd; uitschieters binnen de peergroep, dat wil zeggen meer toegang dan statistisch vergelijkbare collega’s; actieve toekenningen op een identiteit die uit dienst is; geprivilegieerde toegang zonder recente certificering; niet-menselijke identiteiten zonder eigenaar; openstaande reviewitems en identiteitswaarschuwingen, per ernst; en openstaande bevindingen van de platformadviseur, per ernst. Elke component heeft een configureerbaar gewicht. De opsplitsing is zichtbaar in het identiteitspaneel, zodat u altijd kunt zien waarom een score is wat ze is.

Het is een geplande detector die toekenningen van rechten markeert die de houder al N dagen niet heeft gebruikt. “Gebruik” wordt afgeleid uit gebruiksdata per doelsysteem, zoals aanmeldrecords, aantallen API-calls en tijdstempels van laatste activiteit. De detector oordeelt alleen over wat hij kan waarnemen. Een toekenning kan alleen als slapend worden gemarkeerd op een connector die gebruik rapporteert. Op een systeem waar RapidValue de activiteit niet kan zien, wordt inactiviteit als onbekend getoond, zodat een lijst met slapende toekenningen nooit toekenningen bevat die gewoon niet worden bijgehouden. Slapende toekenningen verhogen de risicoscore van de houder en verschijnen als aanbevelingen van Platform Advisor, bijvoorbeeld “Trek 23 slapende toekenningen in over 4 systemen. Verwachte impact: 0 gebruikers.” U klikt door om te valideren en in te trekken, één voor één of in bulk. Intrekking is altijd een expliciete actie van een admin. Er is geen automatische intrekking, omdat het weghalen van toegang een grote impact heeft en een persoon erover hoort te beslissen. Minder slapende toekenningen betekent directe licentiebesparingen en een kleiner aanvalsoppervlak.

Identiteiten worden gegroepeerd op afdeling en jobfunctie. De detector markeert identiteiten waarvan de toegang ver boven de mediaan van hun groep ligt. Hij gebruikt de mediaan, zodat één uitschieter de basislijn niet kan verschuiven. Een typische bevinding is “Bob heeft 3× de toegang van zijn peergroep”. Een uitschieter wordt kandidaat voor een van drie acties. Een gerichte certificering, waarbij de manager bevestigt dat de extra toegang gerechtvaardigd is. Een review van het rollidmaatschap, waarbij Bobs extra toegang overeenkomt met een rol die hij formeel zou moeten hebben. Of bijsnijden, waarbij Bob deze toegang in vorige functies heeft verzameld en ze wordt opgeruimd. Het resultaat is deterministisch, en de opsplitsing toont welke specifieke rechten de afwijking veroorzaken.

Het zijn twee woorden voor dezelfde engine. Een SoD-regel is de manier waarop u een toxische combinatie declareert: twee voorwaarden over systemen heen, zoals “leveranciersbeheer in Workday” en “betalingsgoedkeuring in SAP”, die niemand samen zou mogen hebben. De evaluator draait continu en markeert elke identiteit die beide kanten heeft, hoe ze die ook kreeg: via verschillende rollen, verschillende systemen of toekenningen die niemand wilde combineren. Schendingen verschijnen op drie plaatsen en komen uit dezelfde bron: de SoD-werkbank (met beide kanten per persoon benoemd), de weergave van de compliance-posture (als bevindingen over toxische combinaties) en de risicoscore van de identiteit (gewogen naar de ernst van de regel, kritiek of waarschuwing). We hebben bewust voor één engine gekozen, omdat twee afzonderlijke detectoren u twee antwoorden zouden geven die elkaar tegenspreken.

Auditpakketten zijn kant-en-klare bewijsbundels die op een framework zijn gemapt. U kiest een periode en klikt op “Genereren + downloaden”. U krijgt een ZIP met een HTML-index die per sectie de verwijzing naar de frameworkcontrole bevat, één JSONL-databestand per sectie, en een manifest met de periode en het aantal rijen per sectie. Er zijn vandaag tien templates. Dit zijn de op frameworks gemapte templates. SOX § Access Management: toegangsprovisioning, wijziging en review, gemapt op de controledoelstellingen van PCAOB AS 2201, met de onderliggende verwijzing naar het framework. ISO 27001 toegangsbeveiliging (Annex A.9 in de editie van 2013): registratie van gebruikerstoegang, beheer van privileges en review van toegangsrechten. HIPAA § 164.312 Technical Safeguards: toegangscontrole, auditcontroles, integriteit, authenticatie van personen/entiteiten en beveiliging van transmissie, bedoeld voor covered entities en business associates die systemen met PHI beheren. GDPR art. 32 Beveiliging van de verwerking: passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. DORA art. 9, NIS2 art. 21 en SOC 2 CC6. EU AI Act / ISO 42001 agentgovernance: het agentregister, de verantwoording en de attestatiegeschiedenis, met een eigen verklaring van wat het pakket niet beweert. Er zijn ook twee operationele pakketten: bewijs voor de levenscyclus van joiners, movers en leavers, en geprivilegieerde/just-in-time-toegang. De pakketten bevatten waar uw auditor om vraagt, zodat u ze kunt meebrengen naar de kick-off van de audit. Een pakket is een bundel records uit de met hashes geketende audit trail, die in de database niet kan worden gewijzigd. Het manifest bevat een hash van elk bestand in het pakket en herhaalt wat het pakket beweert, zoals de verwijzing en het aantal rijen per sectie, zodat een gewijzigd bestand of label de verificatie doet mislukken. Het manifest draagt één Ed25519-handtekening met een sleutel per tenant, en wij publiceren de publieke helft. Uw auditor kan het pakket daardoor zonder ons verifiëren, met de zelfstandige verifier die in elk pakket zit of met alleen OpenSSL. Uw auditor neemt de publieke sleutel uit uw gepubliceerde ondertekeningssleutels, niet uit het pakket zelf, en heeft verder niets van ons nodig. Pakketten die vóór oktober 2026 zijn ondertekend, blijven verifieerbaar. Ook de export van het ruwe auditlog draagt een Ed25519-handtekening.

Nieuwe connectoren starten met provisioning ingeschakeld, maar elke nieuwe toekenning wordt vastgehouden in een batch. Uitgaande toegangswijzigingen wachten op uw expliciete goedkeuring tot u de steunwieltjes weghaalt, per systeem. Om precies te zijn: de poort geldt vandaag voor aanmaken en toekennen. Intrekkingen en het terugschrijven van attributen vallen onder hun eigen policy per connector, en de batchpoort geldt daar niet voor. Identiteiten, accounts en rechten synchroniseren vanaf de eerste run, en het volledige IVIP-beeld (risicoscore, SoD, reconciliatie, adviseur) is meteen beschikbaar. Het resultaat is dat een nieuw doelsysteem in enkele minuten is gekoppeld, en dat u ziet wat RapidValue in uw toegang vindt voordat er iets in het doelsysteem verandert. Als u wilt observeren voordat u bestuurt, kunt u ook elk object op alleen-lezen zetten (een write_enabled-vlag per object) en het lezen zonder terugschrijven te configureren. Het pad is: koppelen met de poort aan, rollen minen en policies instellen, en de poort weghalen voor waardevolle doelsystemen (doorgaans eerst AD) zodra het reconciliatiebewijs u heeft overtuigd.

De catalogus bevat vandaag 20 connectoren: 14 leverancierstemplates plus zes generieke engines. Microsoft Entra ID (Azure AD), met volledige integratie met de Graph API. Exchange Online, voor governance van mailboxen en distributiegroepen. Google Workspace, met de Admin SDK-directory en een scan van ongestructureerde data in Drive. Active Directory en generieke LDAP, voor AD, OpenLDAP en IBM/Oracle Directory. ServiceNow, in beide richtingen: het provisioneert en het maakt tickets aan voor manuele taken. Salesforce, voor governance van profielen en permission sets. Workday, als HR-bron. SAP SuccessFactors, als HR-bron. Box, met een scan van mappen en samenwerking (ongestructureerde data). AFAS, TOPdesk, Nmbrs, Atlassian en GitHub, als leverancierstemplates voor de Nederlandse en Belgische mid-market. SMB/NTFS-bestandsshares, met een scan van ongestructureerde data door de agent achter de firewall. Generieke SCIM 2.0, voor elk SCIM-conform doelsysteem (Slack, GitHub Enterprise, Atlassian, …). Generieke REST, voor elke JSON-API, inclusief HR-feeds in CSV/JSON. Generieke SQL, voor applicatiedatabases op Postgres, MySQL en MSSQL. SFTP-CSV, voor HR-feeds als platte bestanden via SFTP/HTTPS. De scans van ongestructureerde data (Google Drive, Box, SharePoint, SMB/NTFS) zijn een preview. Ze zijn standaard uitgeschakeld en worden op aanvraag per tenant ingeschakeld, omdat ze zich nog niet hebben bewezen in een live klantomgeving. Nmbrs (Visma) is een template. De eenmalige OAuth-toestemming verloopt in de wizard: u registreert de app in uw Nmbrs-ontwikkelaarsportaal, klikt op Verbinden en meldt u één keer aan. Daarna draait hij zonder tussenkomst op zijn refresh token. Het is ook de enige connector die we niet zelf hebben gebouwd. Hij werd als pakket bijgedragen op basis van onze template-SDK, wat toont dat minder gangbare connectoren niet op onze roadmap hoeven te wachten. SOAP / WS-* staat gemarkeerd als binnenkort beschikbaar en hoort niet bij de twintig. Connectoren op maat worden gebouwd met de begeleide wizard, met REST-, LDAP- of SCIM-endpoints. De live discovery van de wizard vult het grootste deel van de mappingconfiguratie in, zodat u suggesties controleert en de mapping niet van nul hoeft te schrijven.

Met de wizard koppelt u een standaard REST- of SCIM-doelsysteem in ongeveer 15 minuten. U richt de wizard op het discovery-endpoint van het doelsysteem, hij geeft een mappingsuggestie terug, en u controleert ongeveer 10 velden waar u er anders 100 van nul zou definiëren. Voor complexe doelsystemen (authenticatie in meerdere stappen, niet-standaard schema’s, verouderde SOAP-API’s) is de ontwikkeling van connectoren op maat beschikbaar als dienst. Dat duurt doorgaans 3–5 dagen voor een connector van productiekwaliteit.

Dat hangt af van wat u migreert. Connectoren: de wizard bouwt connectorconfiguraties opnieuw op vanuit live discovery, wat doorgaans eenvoudiger is dan de connector-XML of -configuratie uit de oude tool te migreren. Rolmodel: role mining leidt het opnieuw af uit uw huidige toegangsdata. Zo hoeft u de roldefinities die de oude tool heeft opgestapeld niet te importeren, en elk voorstel komt met bewijs. Certificeringsgeschiedenis: u bewaart de bewijsexports van uw oude tool voor de bewaartermijn, en RapidValue start vanaf dag één een nieuw, onveranderlijk bewijsspoor. Workflows en policies: u declareert SoD-regels opnieuw in de regeleditor en bouwt goedkeuringsregels opnieuw op in de visuele builder. We ramen een migratie vanuit een bestaande tool samen met u na de eerste ochtend op uw eigen gegevens, en omgevingen met veel opgebouwd maatwerk één voor één.

U kunt alles zelf exporteren, op elk moment. Een volledige export per tenant (GDPR art. 20) levert een machineleesbare kopie van al uw data: identiteiten, accounts, rechten, configuratie en de volledige auditgeschiedenis. U krijgt een tar.gz met één JSONL-bestand per tabel, achter een ondertekende link die 24 uur geldig is. Het is een knop voor tenantadmins in uw eigen instellingen, dus u hebt geen ticket nodig en hoeft niet op ons te wachten. Bij beëindiging offboarden we in twee stappen. Uw tenant wordt eerst in een offboardingstatus gezet, waarin niets nieuws gebeurt en alles nog kan worden geëxporteerd. Definitieve verwijdering wordt pas uitgevoerd na een expliciete, getypte bevestiging en nooit als automatische achtergrondstap. De code dwingt een respijtperiode van 30 dagen af tussen de twee stappen. Voordat die verstreken is, wordt de verwijdering geweigerd. Die periode vroegtijdig opheffen is een adminactie die haar eigen auditevent schrijft. Het onveranderlijke auditlog is het enige dat na verwijdering wordt bewaard, op basis van de wettelijke bewaargrond van GDPR art. 17, lid 3, b. Voor connectoren in agentmodus hebben uw credentials uw netwerk sowieso nooit verlaten, en de lokale vault van de agent kunt u zelf vernietigen.