Microsoft Identity Manager online resources (#MIM2016)

1. Quick note on Microsoft Learn & Docs
2. Microsoft news and announcements
   1. Microsoft Product support lifecycle
   2. Feeds
3. Official documentation – Microsoft
   1. Getting prepared
   2. Best practices
   3. Deployment documentation
   4. MIM for developers
   5. MIM reference material
4. Github
   1. (Microsoft) MIM Configuration Documenter
   2. (Microsoft) Workflow Activity Library (WAL)
   3. MIM projects
5. Microsoft Community
   1. Forums (Active)
   2. Microsoft Answers
   3. Forums (Achive)
   4. Technet blogs archive
   5. Experts Exchange
   6. Microsoft Wiki
      1. FIM/MIM related content (check the tags)
      2. ILM/FIM/MIM article overview
      3. ILM/FIM/MIM Troubleshooting
   7. The FIM/MIM geek blogs & posts…
6. Social Media
   1. Facebook
   2. Twitter
7. Books
   1. Online Companion guide for MIM 2016 book
8. Visio Stencils
9. Archives
   1. Microsoft Learn – previous versions

Quick note on Microsoft Learn & Docs

A while ago Microsoft moved from Docs (Docs.microsoft.com) to Learn (Learn.microsoft.com), but still some older information might point to the Docs links. In case the redirect fails, replace the docs prefix in the URL to learn an try again.
If it still fails, Bing it and let me know.

Microsoft news and announcements

• https://learn.microsoft.com/en-us/microsoft-identity-manager/microsoft-identity-manager-2016
• https://support.microsoft.com/en-US/search/results?query=microsoft+identity+manager&isEnrichedQuery=false
• https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/version-history
• https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/microsoft-identity-manager-2016-connector-version-history

Microsoft Product support lifecycle

https://docs.microsoft.com/en-us/lifecycle/products/?terms=Identity

Feeds

• https://support.microsoft.com/en-us/rss-feed-picker
• Atom: https://support.microsoft.com/en-us/feed/atom/953e6581-605c-e03f-3595-5f98899c1d1d
• RSS: https://support.microsoft.com/en-us/feed/rss/953e6581-605c-e03f-3595-5f98899c1d1d

Official documentation – Microsoft

• Microsoft Learn- MIM landing page: https://learn.microsoft.com/en-us/microsoft-identity-manager
• Microsoft Identity Manager 2016 news and updates: https://learn.microsoft.com/en-us/microsoft-identity-manager/microsoft-identity-manager-2016
• Version History: https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/version-history

Getting prepared

Supported platforms: https://learn.microsoft.com/en-us/microsoft-identity-manager/microsoft-identity-manager-2016-supported-platforms

Best practices

https://learn.microsoft.com/en-us/microsoft-identity-manager/mim-best-practices

Deployment documentation

• Capacity planning: https://learn.microsoft.com/en-us/microsoft-identity-manager/capacity-planning-guide
• Deploy and use: https://learn.microsoft.com/en-us/microsoft-identity-manager/microsoft-identity-manager-deploy
• Deprecated features: https://learn.microsoft.com/en-us/microsoft-identity-manager/microsoft-identity-manager-2016-deprecated-features

MIM for developers

• •Microsoft Identity Manager 2016 developer reference: https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/microsoft-identity-manager-2016-developer-reference
• •Microsoft Identity Manager Cmdlets Reference: https://learn.microsoft.com/en-us/powershell/microsoft-identity-manager/overview?view=idm-ps-2016sp1

MIM reference material

• Developer reference: https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/microsoft-identity-manager-2016-developer-reference
• Functions reference: https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/mim2016-functions-reference
• Management agent run error codes: https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/maerrorcodes
• RCDC configuration XML: https://learn.microsoft.com/en-us/microsoft-identity-manager/reference/rcd-configuration-xml-reference

Github

(Microsoft) MIM Configuration Documenter

https://github.com/microsoft/MIMConfigDocumenter

(Microsoft) Workflow Activity Library (WAL)

https://github.com/microsoft/MIMWAL

MIM projects

https://github.com/search?q=mim2016

Microsoft Community

Forums (Active)

• Tech Community : https://techcommunity.microsoft.com/

• Microsoft Learn – Q&A : https://learn.microsoft.com/en-us/answers/search.html?type=question%20OR%20idea%20OR%20kbentry%20OR%20answer%20OR%20topic%20OR%20user&redirect=search%2Fsearch&sort=relevance&q=identity%20manager

Microsoft Answers

• •Microsoft Answers: https://answers.microsoft.com/en-us/search/search?SearchTerm=MIM%202016
• •FIM 2010: https://answers.microsoft.com/en-us/search/search?SearchTerm=FIM%202010

Forums (Achive)

• (archive) Technet forum FIM/MIM: https://social.technet.microsoft.com/Forums/en-US/home?forum=ilm2&filter=alllanguages
• (archive) Technet Forum ILM 2007: https://social.technet.microsoft.com/Forums/en-US/home?forum=identitylifecyclemanager&filter=alllanguages

Technet blogs archive

Technet blogs archive: https://learn.microsoft.com/en-us/archive/blogs/

• https://learn.microsoft.com/en-us/archive/blogs/iamsupport/
• https://learn.microsoft.com/en-us/archive/blogs/connector_space/
• https://learn.microsoft.com/en-us/archive/blogs/identitymanagement/
• https://learn.microsoft.com/en-us/archive/blogs/idaguys/
• https://learn.microsoft.com/en-us/archive/blogs/imex/

Experts Exchange

• Experts Exchange: https://www.experts-exchange.com/searchResults.jsp?searchTerms=MIM2016

Microsoft Wiki

• Microsoft Wiki: https://social.technet.microsoft.com/wiki
• Short URL: https://aka.ms/wiki

FIM/MIM related content (check the tags)

• MIM: https://social.technet.microsoft.com/wiki/tags/MIM/default.aspx
• https://social.technet.microsoft.com/wiki/tags/MIM+2016/default.aspx
• https://social.technet.microsoft.com/wiki/tags/MIM+2016/default.aspx
• https://social.technet.microsoft.com/wiki/tags/FIM/default.aspx
• https://social.technet.microsoft.com/wiki/tags/FIM+2010/default.aspx

ILM/FIM/MIM article overview

https://social.technet.microsoft.com/wiki/contents/articles/3610.fim-2010-mim-2016-related-wiki-articles.aspx

ILM/FIM/MIM Troubleshooting

https://social.technet.microsoft.com/wiki/contents/articles/3610.fim-2010-mim-2016-related-wiki-articles.aspx#FIM_Troubleshooting_Article

The FIM/MIM geek blogs & posts…

Below you’ll find some interesting and helpful articles and posts (some of the are old/archived… But still valid for MIM too.)

In alphabetic order (on last name)

• Bob Bradley: https://idm4real.com/
• Blain Checkly: https://identityminded.wordpress.com/
• Jorge de Almeida Pinto (MVP): https://jorgequestforknowledge.wordpress.com/
• Soren Granfeldt: https://github.com/sorengranfeldt
• Antony Ho (Microsoft) : https://learn.microsoft.com/en-us/archive/blogs/aho/
• Jeff Ingalls (https://ingallsdesigns.com/),
• Borys Majewski (http://idarchitect.net/)
• Ryan Newington (https://twitter.com/RyanLNewington): https://lithnet.io/products/mim
• Kent Nordstrom: https://konab.com/blog/
• Darren Robinson: https://blog.darrenjrobinson.com/identity-manager-management-agents/
• Carol Wapshere: https://www.wapshere.com/missmiis/rcdc-memberof-list
• …

Social Media

Facebook

• https://www.facebook.com/groups/MicrosoftIdentityManager/

Twitter

• https://twitter.com/search?q=%23MIM2016
• https://twitter.com/hashtag/fim2010r2

Books

• https://www.davidplundell.com/fim-best-practices-volume-1
• https://www.packtpub.com/product/microsoft-identity-manager-2016-handbook/9781785283925
• https://konab.com/fim-2010-r2-book/

Online Companion guide for MIM 2016 book

• https://social.technet.microsoft.com/wiki/contents/articles/34993.microsoft-identity-manager-2016-handbook-online-companion-guide.aspx

Visio Stencils

https://github.com/PeterGeelen/Microsoft-Identity-Manager/tree/main/FIM-MIM%20stencils

Archives

Microsoft Learn – previous versions

https://learn.microsoft.com/en-us/previous-versions/windows/desktop/forefront-2010/ee652263(v=vs.100)

10x times thank you for your support! #mvpbuzz

If you’re in my community and professional network you must have witnessed a wave of Microsoft MVP #mvpbuzz announcements and notifications, early july on the various social media, Twitter, LinkedIN, blogs… a bit later than usual this year.

I was part of it, but due to personal reasons and summer vacation early July, I only had time till now to process it…

Certainly this year is a special year for me, a lot of things have changed professionally.
And when another special award disk dropped in the mail box just a few days ago, I can proudly announce that I’m honored to be awarded the Microsoft MVP award for the 10th time.
You work hard for it, hope for it, but never know if you have met the tough expectations.

[If you want to know more about the Microsoft MVP award, check this page on the MVP site. It’s a reward for a select expert community with great passion for Microsoft technologies, for all community efforts for last year.]

Honestly, it’s not about these white and blue glass disks, but appreciation for the passion and effort in the Microsoft community, to be recognized for the passion in Microsoft Security, more specifically Identity & Access.

And I certainly welcome the program change where the group of MVP “Enterprise Mobility” now moved to MVP Security, which aligns better with reality, what I stand for.

But I could never have achieved this with the great help and support of you, my audience.
So want to thank you, more than 10x for this.

Thank you!

Why it’s not appropriate to ask for a copy of the identity card by default and systematically before you respond to a #GDPR data access request?

The EDPB guidelines on the data subject’s rights of access contain 60 pages of very useful instructions. This article is not elaborating all of it, but only highlights the topics relative to the use of ID card photocopies, as there has been a recent case at the Belgian Data Protection Authority strongly referring to the data access request guidelines by the European Data Protection board (EDPB).

Background

In a recent publication of a case (DOS-2020-05314), the Belgian Data protection Authority decided to classify the complaint itself without any consequences, but they explicitly confirmed that the use of a photocopy of the ID card is a very bad idea in general.

A very clear reminder that you shall not systematically request a copy of the identity card

In the motivation of the case it sets a very clear reminder that it’s considered illegal to systematically request for a copy of an identity card as a condition to respond to a GDPR data access request, in accordance with the EDPB (European Data Protection Board) guidelines on the right to access.

Why is a copy of an ID card a bad idea?

The copy of the ID card contains a lot of sensitive data like your national number, that can be abused to harm you, by stealing your identity.
Using your identity data, people can open bank accounts and credits, steal your many, empty your existing bank account, … so the impact is very personal, very real and very high when your identity is stolen.

EDPB guidelines Guidelines 01/2022 on data subject rights – Right of access

The highlights

The EDPB explains in the executive overview of their guidelines that “The right of access of data subjects is enshrined in Arti. 8 of the EU Charter of Fundamental Rights. It has been a part of the European data protection legal framework since its beginning and is now further developed by more specified and precise rules in Art. 15 GDPR.“

“There are no specific requirements on the format of a request. The controller should provide appropriate and user-friendly communication channels that can easily be used by the data subject.”

“The request for additional information must be proportionate to the type of data processed, the damage that could occur etc. in order to avoid excessive data collection.”

Do not excessively demand for personal data when validation of access request

In the guidelines, the EDPB says:

“65. /../ In general, the fact that the controller may request additional information to assess the data subject’s identity cannot lead to excessive demands and to the collection of personal data which are not relevant or necessary to strengthen the link between the individual and the personal data requested.”

Copy of ID card should generally not be considered an appropriate way of authentication

EDPB guideline:

“74. Taking into account the fact, that many organisations (e.g. hotels, banks, car rentals) request copies of
their clients’ ID card, it should generally not be considered an appropriate way of authentication.

Alternatively, the controller may implement a quick and effective security measure to identify a data subject who has been previously authenticated by the controller, e.g. via e-mail or text message containing confirmation links, security questions or confirmation codes.”

Information on the ID that is not necessary for confirming the identity should be hidden

EDPB guidine 75:
“In any case, information on the ID that is not necessary for confirming the identity of the data subject,
such as the access and serial-number, nationality, size, eye colour, photo and machine-readable zone,
may be blackened or hidden by the data subject before submitting it to the controller, except where
national legislation requires a full unredacted copy of the identity card (see para. 77 below).

Generally, the date of issue or expiry date, the issuing authority and the full name matching with the online
account are sufficient for the controller to verify the identity, always provided that the authenticity of
the copy and the relation to the applicant are ensured. Additional information such as the birth date
of the data subject may only be required in case the risk of mistaken identity persists, if the controller
is able to compare it with the information it already processes.“

Inform about data minimization and apply it.

EDPB guideline 76.

“To follow the principle of data minimisation

the controller should inform the data subject about the information that is not needed and

about the possibility to blacken or hide those parts of the ID document.

In such a case, if the data subject does not know how or is not able to blacken such information, it is good practice for the controller to blacken it upon receipt of the document, if this is possible for the controller, taking into account the means available to the controller in the given circumstances.”

Making the information available in a commonly used electronic form

Following EDPB guideline, paragraph 32, the controller must provide the answer in a commonly used electronic form.

“the event of a request by electronic form means, information shall be provided by electronic means
where possible and unless otherwise requested by the data subject (see Art. 12(3)). Art. 15(3), third
sentence, complements this requirement in the context of access requests by stating, that the
controller is in addition obliged to provide the answer in a commonly used electronic form, unless
otherwise requested by the data subject. Art. 15(3) presupposes, that for controllers who are able to
receive electronic requests it will be possible to provide the reply to the request in a commonly used
electronic form (e.g. in PDF). This provision refers to all the information that needs to be provided in
accordance with Art. 15(1) and (2). Therefore, if the data subject submits the request for access by
electronic means, all information must be provided in a commonly used electronic form.”

Some practical data protection life hacks

Protecting your identity card

• keep your ID card in your pocket or wallet as much as possible.
• do NOT hand over your identity card to any party, unless it’s a legal authority (police, … )
• Quickly showing your ID card for validation is fine, but resist to the requests to get a copy of your card.
• prepare to have a masked paper copy of your ID card,
  • make sure to hide all the irrelevant, sensitive information yourself
  • keep a paper copy in your wallet
• Prepare a masked digital photo copy of your ID card, yourself.
• mask all all the irrelevant, sensitive information on your identity card, do it yourself
  • eg, use tippex to wipe out info, but you can simply scratch tippex when an official authority needs to validate your sensitive information)
  • ‘accidental’ copies will still mask your data, and you can detect if an unauthorized party scratches your ID card

From a corporate perspective

• Do not request copies of identity cards by default, there are many more practical means to verify identity in a secure way
• Only authenticate ID cards, when there are no other options.
• use electronic authentication without disclosure of sensitive data
• use an alternative means of authentication, there are many ways to do this securely
• do not keep a copy of any identity card, there are virtually NO reasons to keep a copy, quick validation is mostly enough
• delete any copy of identity cards as soon as possible…

Reference information:

• (In French) – Claim at Belgian Data protection authority – case DOS-2020-05314: https://www.gegevensbeschermingsautoriteit.be/publications/zonder-gevolg-nr.-40-2022.pdf
• EPDB Guidelines 01/2022 on data subject rights – Right of access, Version 1.0, Adopted on 18 January 2022 §§ 74-78. Available at: https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf

This award is for you, because YOU are my most valuable professional who made this possible.

I’m honored and humbled that I’m part of the Microsoft Most Valuable Professional (MVP) community award for another year.

As explained on the program page “MVPs, are technology experts who passionately share their knowledge with the community.” It’s an award for your Microsoft community work of the past year… you can find more details on the MVP website mentioned earlier.

But building community is not a one-person activity, not a job, …

It’s a passion, it’s fun, sharing knowledge and best practices with many people over the world, all eager to build community.

And last year (or longer) has been very challenging to keep the community running without face-2-face events, shifting to online only. It was hard work. And the MVP award renewal cycle has been very special this year, taking into account the Corona conditions.

But nevertheless, I can’t keep up this work without support of you, my dearest colleagues, partners, technology experts, community fellows, my audience, …
I won’t list any specific person, because I would not do honor to all the rest… too many to list.

Therefor a big shout out of gratitude for your support.

Thank YOU for supporting me, making this possible.

I dedicate this award to you, to your support. This is your award.

In the world of security, cyber- and cloud security, sharing knowledge is one of the most important principles to win the battle against cybercrime. Learn from the mistakes others have made.

I’m doing my best to keep up the work and to meet the bar of excellence, to be an community lead, to build community and to share knowledge.

This award and your appreciation gives me the extra motivation to keep going and do better next year!

Thank you!

Note-to-self: #ZeroTrust #maturity model assessment by #Microsoft

Have you ever assessed the maturity of #cybersecurity implementation?

The #ZeroTrust #maturity model assessment by #Microsoft provides you with great insights, where to start or which part of your security needs improvement.

Easy to use, easy to understand, great results and great guidance.

You can find the assessment tool here:

https://www.microsoft.com/en-us/security/business/zero-trust/maturity-model-assessment-tool

And if you need more info, then bookmark this Zero Trust resources page: https://www.microsoft.com/security/blog/2021/05/24/resources-for-accelerating-your-zero-trust-journey

Note-to-self: (e)ID kaart als waarborg?

Updates

Update 2020-09-08: Links bijgewerkt met info nieuwe website GBA BE.

Update 2020-05-29: link toegevoegd naar advies van GBA (Gegevensbeschermingsautoriteit), over het gebruik van de identiteitskaart als waarborg en ook over het nemen van fotokopies van identiteitskaart.

Waarborg?

Hoewel je het in privé omstandigheden waarschijnlijk wat minder zal tegenkomen, zullen heel wat professionele collega’s (en zeker consultants en/of security specialisten) de situatie wel herkennen dat je bij het bezoek aan een organisatie door de receptionist of bewaker gevraagd wordt om je identiteitskaart af te geven in ruil voor een (tijdelijke) toegangsbadge. Bij het inleveren van die badge krijg je dan nadien je identiteitskaart (aka eID) terug, normaalgezien.

Naar aanleiding van een aantal weerkerende discussies die ik afgelopen tijd met verschillende klanten en collega’s had, over het gebruik van de (elektronische) identiteitskaart als onderpand of waarborg, ben ik bij het opzoekings-/onderzoekswerk een aantal interessante bronnen en referenties tegengekomen.

Die zijn relatief makkelijk te vinden, ware het niet dat de links van de vroegere ‘privacy commission” (NL/FR) niet meer correct doorverwijzen naar de Belgische GBA , waardoor heel veel oude publieke referenties jammer genoeg niet doorverwezen worden, maar stranden op een onbeschikbare pagina.

Bovendien heeft de vernieuwde website van de Gegegevensbeschermingsautoriteit er nog een schep bovenop gedaan, dus er is nog even werk om dit in de artikels aan te passen.

[Update]

Referentie materiaal

GBA dossier eID

https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/eid

Praktische toepassingen met eID

https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/elektronische-identiteitskaart-eid/praktische-toepassingen,

Dit bespreekt het gebruik van eID als getrouwheidskaart, lezen gegevens, gebruik certificaten, …

Het voorleggen van eId aan overheid of privé bedrijven

https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/elektronische-identiteitskaart-eid/eid-voorleggen

Gebruik van eID gegevens (rijksregisternummer, foto, vingerafdruk)

https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/elektronische-identiteitskaart-eid/eid-uitlezen

Dus ik hoop dat onderstaande info alvast interessant is en nuttig om te delen, al is het maar als geheugensteun voor toekomstige discussies [of om bepaalde discussies aan de receptie vanaf nu meteen kort te sluiten 🙂 ].

Wetgeving

Eerst en vooral, focus ik hier op de BELGISCHE eID en de Belgische wetgeving. Voor de buitenlandse identiteitskaarten is er wat meer opzoekingswerk nodig en wellicht is de wetgeving daar anders of heeft andere nuances in de toepassing…

De basis over het gebruik van de eID en het RRN/SSN (Rijksregisternummer, Social Security Number), vind je terug bij FOD Binnenlandse zaken.

Uiteraard vind je daar alle details in de wetgeving, maar hier voldoet de FAQ over de eID. Die vindt je hier: http://www.ibz.rrn.fgov.be/nl/faq/identiteitsdocumenten/eid/

Eerst en vooral, moet je een duidelijk verschil tussen

1. het overhandigen van de ID als waarborg en
2. het tonen van een identiteitskaart, en
3. het gebruik van de RRN/SSN

Als je in de FAQ de “Historiek” sectie overslaat, kom je meteen op de kern van de zaak, die aan de basis ligt van alle antwoorden op de kernvraag en de tweede vraag.

“Moet ik verplicht mijn identiteitskaart bij me hebben?”

“Het KB (koninklijk besluit) van 25 maart 2003 betreffende de identiteitskaarten bepaalt dat iedere Belg vanaf de leeftijd van 15 jaar, zijn identiteitskaart steeds bij zich moet hebben . “

Meer info: http://www.ejustice.just.fgov.be/eli/besluit/2003/03/25/2003000227/justel

De volgende vraag in de FAQ is ook uitermate interessant als we de oorspronkelijke vraag willen beantwoorden.

“Mag men bij het onthaal van een openbaar gebouw een identiteitskaart vragen en bijhouden?

/../. Dit is het geval bij elk verzoek van de politie, in het kader van haar wettelijke en reglementaire opdrachten, alsmede bij elke vraag naar certificaten en uittreksels door gemeentelijke of door andere openbare diensten.

Over het algemeen sluiten deze bepalingen de mogelijkheid niet uit om naar de identiteitskaart te vragen bij het onthaal van een gebouw dat tot de openbare of privésfeer behoort. Het spreekt voor zich dat voornoemde bepalingen niet toelaten dat het onthaalpersoneel, bijvoorbeeld, de identiteitskaart langer bijhouden dan nodig om kennis te nemen van de identiteit .

Wat de verplichting betreft om zijn identiteitskaart voor te leggen (zonder dat deze bijgehouden wordt), bepaalt het koninklijk besluit van 25 maart 2003 dat de identiteitskaart voorgelegd moet worden “als de houder het bewijs van zijn identiteit dient te leveren”, dit wil zeggen dat dit beoordeeld moet worden in functie van het algemene principe dat geldt voor de bescherming van de persoonlijke levenssfeer, namelijk dat het doel waarvoor de voorlegging van de kaart wordt geëist, wettig, bepaald en expliciet moet zijn. Het feit om zich te moeten verzekeren van de identiteit van de bezoekers in het licht van het eigendomsrecht en van de noodzaak om de veiligheid van een gebouw te verzekeren, lijkt aan deze criteria te voldoen . Het is echter niet gerechtvaardigd om de identiteitskaart bij te houden tijdens de duur van het bezoek . Het feit om aan een derde te vragen om zijn identiteitskaart voor te leggen, moet bepaald worden door een wet, een besluit of een intern reglement.”

Op de website van Agoria staat ook een goed artikel met meer praktische uitleg van deze situatie. (artikel dd 23 april 2015)

Bron: https://www.agoria.be/nl/Mag-een-onderneming-de-identiteitskaart-van-bezoekers-controleren

“Volgens het KB van KB van 25 maart 2003 betreffende de identiteitskaarten mag de identiteitskaart enkel door daartoe bevoegde personen en enkel in welbepaalde gevallen gecontroleerd worden.

In een onderneming mogen alleen bewakingsfirma’s waaraan de beveiliging van het bedrijf wordt uitbesteed of interne bewakingsdiensten voorlegging van identiteitsdocumenten vragen. Ze mogen deze documenten enkel laten voorleggen gedurende de tijd die nodig is om de identiteit te controleren bij toegang tot niet-publiek toegankelijke plaatsen.

Hoewel het opvragen van de identiteitskaart niet geregeld wordt door de privacywet, is voorzichtigheid geboden wanneer men de informatie op de identiteitskaart leest, kopieert en in een bestand opneemt. Dat is immers een “verwerking van persoonsgegevens”. In dat geval moet de privacywet dus worden nageleefd (informatieverplichting, recht op inzage, verbetering, …).”

En dan komen ze tot de kern van de zaak

“De noodzaak om een persoon te identificeren betekent niet dat een kopie moet worden gemaakt van de identiteitskaart. Een visuele controle van de identiteitskaart volstaat.

De commissie stelt vast dat in sommige gevallen aan personen wordt gevraagd hun identiteitskaart als waarborg af te geven (bijvoorbeeld gedurende de tijd waarin een audiogids wordt gehuurd voor het bezoek aan een tentoonstelling). Die praktijk is niet aanvaardbaar aangezien de houder van de identiteitskaart hierdoor zijn wettelijke verplichting om zijn identiteitskaart bij zich te hebben niet kan nakomen.”

Voor alle duidelijkheid, de paragraaf daaronder verwijst nog naar de oude links van de Privacy commissie :

“In afwachting van toekomstige koninklijke besluiten heeft de Privacycommissie in een themadossier ‘De elektronische identiteitskaart en onze privacy’ op haar website een aantal aanbevelingen geformuleerd. “

Dit moet zijn: https://www.gegevensbeschermingsautoriteit.be/eid

Agoria verwijst dus naar het artikel van de Belgische privacy commissie, correctie: tegenwoordig de GBA of gegevensbeschermingsautoriteit, die dit topic dus al eerder aangekaart heeft.

De gegevensbeschermingsautoriteit bespreekt het onderwerp hier: https://www.gegevensbeschermingsautoriteit.be/eid.

En ook op de thema pagina van eID: https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/elektronische-identiteitskaart-eid

Wetgeving

• GDPR
• Wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten
• Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen. 

In de vernieuwde versie (2020) van de thema pagina staat ook meer uitleg over het (juiste) gebruik van de eID (onder sectie Praktische toepassingen), en heel speciek het gebruik als waarborg (“+ Inhouding van uw identiteitskaart als waarborg”)

“Uw identiteitskaart kan niet als borg worden ingehouden. Deze praktijk is niet aanvaardbaar, omdat u hierdoor in gebreke blijft met uw wettelijke verplichting om uw identiteitskaart bij zich te dragen. Deze praktijk brengt ook risico’s van identiteitsdiefstal met zich mee.

Het nemen van een kopie van uw identiteitskaart levert in deze omstandigheden ook problemen op met betrekking tot de verenigbaarheid met de AVG. Indien nodig kan alleen uw identificatie worden uitgevoerd door u te vragen uw identiteitskaart te tonen en alleen de relevante gegevens te noteren, namelijk uw naam, voornaam en het nummer van uw identiteitskaart.”

Die wijkt uiteraard niet af van de Belgische wetgeving op de identiteitskaart, maar ze voegen er wel nog een aantal interessante voorbeelden aan toe, in het licht van privacy en data protection…

” Enkele voorbeelden van wat mag en niet mag:

• een videotheekuitbater mag je identiteitskaart vragen wanneer je een dvd huurt. Stel dat iemand de dvd niet terugbrengt, dan kan hij die persoon contacteren;
• wanneer je een verblijf in een hotel boekt, is de uitbater wettelijk verplicht om je te identificeren;
• bij een bezoek aan een tentoonstelling moet je soms je identiteitskaart afgeven als waarborg voor de audiogids. Dit is onaanvaardbaar: niet alleen moet je je identiteitskaart op elk moment bij je hebben (ook tijdens je bezoek aan de tentoonstelling), maar je loopt ook nog eens het risico dat je elektronische handtekening en je pincode gestolen worden;”

Dus in het kort, de conclusie over het gebruik van de eID als waarborg is daarmee: nee, niet toegelaten.

Trouwens, ter info: als je de GBA website doorzoekt op ‘eid’ krijg je nog een hele hoop extra informatie, met bespreking van praktische situaties.

Zoek even op: https://www.gegevensbeschermingsautoriteit.be/search/site/eid

Het laatste voorbeeld dat de GBA in het voorgenoemde artikel geeft, verwijst naar een ander interessant onderwerp: het gebruik van het RRN/SSN nummer…

“Het rijksregisternummer dat op elke eID staat, mag enkel verwerkt worden als de verantwoordelijke voor de gegevensverwerking daartoe gemachtigd is door het Sectoraal comité van het Rijksregister. Meer informatie hierover is beschikbaar op de specifieke pagina over de machtigingsprocedure bij het Sectoraal comité van het Rijksregister . In het algemeen geldt wel dat een verantwoordelijke die geen taak van openbaar belang heeft, het rijksregisternummer niet zal mogen gebruiken”

De uitleg over de machtigingen staan nu op de website van IBZ

• Machtigingen: https://www.ibz.rrn.fgov.be/nl/rijksregister/machtigingen/
• Algemene machtigingen: https://www.ibz.rrn.fgov.be/nl/rijksregister/algemene-machtigingen/

Waarmee we belanden bij het gebruik van het RRN (Rijksregisternummer) or “SSN (social security number)” in het Engels.

Dit is een onderwerp op zichzelf en het is niet m’n bedoeling de details te bespreken. Te meer ook omdat GDPR belangrijke bepalingen bevat hierover.

Kort door de bocht, in essentie (*):

“Het verwerken van het rijksregisternummer is bij wet verboden.”

… tenzij machtiging, volgens de wet (http://www.ejustice.just.fgov.be/eli/wet/2003/03/25/2003000234/justel):

• “Het identificatienummer van het Rijksregister mag niet worden gebruikt zonder machtiging of
• voor andere doeleinden dan die waarvoor die machtiging is verleend.”

En die machtigingen zijn onderworpen aan strikte regels en worden niet zomaar toegekend. Wat dus enige inventiviteit vergt om dit op te lossen in het operationeel gebruik voor identity and access management, IT Security of data protection voor burgers.

Meer info (*) kan je in dit interessant artikel (dd 26 feb 2018) vinden: https://gdpr.wolterskluwer.be/nl/nieuws/rijksregisternummer-en-privacy/.

Overzicht Referenties

Wetgeving

• KB 25 maart 2003 (identiteitskaarten): http://www.ejustice.just.fgov.be/eli/besluit/2003/03/25/2003000227/justel
• Wet 28 maart 2003 (Rijksregister): http://www.ejustice.just.fgov.be/eli/wet/2003/03/25/2003000234/justel

eID

• FAQ: http://www.ibz.rrn.fgov.be/nl/faq/identiteitsdocumenten/eid/

bij GBA

• [GBA BE] Welke wetgeving is van toepassing?
• Dossier eID : https://www.gegevensbeschermingsautoriteit.be/eid
• Zoek overige eID topics: https://www.gegevensbeschermingsautoriteit.be/professioneel/zoeken?q=eID
• Aanbeveling uit eigen beweging over het nemen van een kopie van de identiteitskaart en over het gebruik en de elektronische lezing ervan (CO-AR-2010-008) https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_04_2009.pdf

Privacy:

• https://overheid.vlaanderen.be/magda-privacy verwijst naar de pagina “algemene machtigingen” van de GBA.

Rijksregisternummer:

• https://gdpr.wolterskluwer.be/nl/nieuws/rijksregisternummer-en-privacy/
• Machtigingen: https://www.ibz.rrn.fgov.be/nl/rijksregister/machtigingen/
• Algemene machtigingen: https://www.ibz.rrn.fgov.be/nl/rijksregister/algemene-machtigingen/

En ook:

• Agoria: Mag een onderneming de identiteitskaart van bezoekers controleren?
• https://radio2.be/de-inspecteur/je-identiteitskaart-voor-een-gocart

Microsoft MVP for another year…

Today I received some exciting news: I was re-awarded the Microsoft MVP award for Enterprise Mobility (Identity & Access).

https://mvp.microsoft.com/en-us/PublicProfile/5002204?WT.mc_id=ES-MVP-5002204

“Microsoft Most Valuable Professionals, or MVPs, are technology experts who passionately share their knowledge with the community.“

It’s my 6th award since 2008 (with a break as Microsoft Employee from 2012 to 2016).

But what is more important: I couldn’t achieve this without the help of the Microsoft Community, more specific with the help of the highly motivated TechNet Wiki Ninja’s 

To all who made this possible: thank you very much for supporting me.

Highly appreciated!!

Updated: 2012-12-29

I’m speaking at the #HIPConf Hybrid Identity Protection Conference in New York

Next week, I have the honor of participating as speaker at the Hybrid Identity Protection Conference in New York, NY.

Let me quote Sander Berkouwer: “For those who attended The Experts Conference (TEC) and NetPro’s Directory Experts Conference (DEC) events previously, the Hybrid Identity Protection Conference promises to be at least as much fun as these events, where you’ve seen the likes of Gil Kirkpatrick, Sean Deuby, Darren Mar-Elia, Brian Desmond, Joe Kaplan, “, of course Sander Berkhouwer,   and not to forget Tomasz Onysko.

For quite a while, the TEC/DEC conference has been the landmark for the MS Identity & Security community, and I would be happy to let the HIPConf take that place.

About the Hybrid Identity Protection Conference

The Hybrid Identity Protection Conference is Semperis Inc.’s event in the spirit of The Expert Conference (TEC) to bring together the leading experts in the field of Identity and Access Management. The event offers a unique opportunity to spend two days on-site in New York with peers, whose day-to-day job is to architect, manage, and protect identity management in the hybrid enterprise.

Attendees are able to meet face-to-face with the leading experts of their field, acquire in-depth technical knowledge, and be exposed to the latest innovation.

(And that’s where the TEC/DEC and HIPConf make the difference with other conferences, which not always allow to meet with the presenters/experts.)

The 2017 Hybrid Identity Protection Conference takes place on November 6th and November 7th at the famous 7 World Trade Center in New York City’s Tribeca neighborhood. Just minutes’ walk from famous landmarks, attractions, museums, and famous restaurants in Manhattan, and with astounding views of the New York skyline.

About my session

As you might notice, my session is taking a bit of a different view on Hybrid Identity, but as important as the technical view.

Tuesday 7/nov: “04:00-05:00 pm – Forget about compliance! Only the GDP mindset will keep you alive”

“With the 2018 GDPR deadline in focus, many businesses with EU customers are feeling like a rabbit frozen in the GDPR headlights… But it’s not the ‘R (regulation) that matters, the GDP does. In this fast moving era of cloud and data centers, information is flowing like water, and perimeter security is so Y2000. Join this presentation to learn how you can leverage best practices to build an end-to-end, layered security, and avoid information spills. “

Join the HIPConf!

There is still time to register.

And as Sander mentioned,  with the Global MVP Summit moved from the November timeframe to March, this is the opportunity to hang out with a group of people and MVPs that have built the Microsoft community for Identity & Security for years…

And I’m looking forward to see them again, after all these years!

Thanks Semperis Inc. to offer this opportunity!

Note-to-self: MVA Learning Path – Security for the Chief Security Officer (CSO)

From a LinkedIn connection (thx Jeff and congratz on the achievement) I received an interesting pointer to a set of courses on MVA, Microsoft Virtual Academy.

An MVA ‘learning path’ is a combination of learning courses.
Just recently MVA published the ‘Security for the Chief Security Officer (CSO)’ learning path.

Check it out at : https://mva.microsoft.com/learning-path/security-for-the-chief-security-officer-cso-21

It combines 6 courses (better make sure to access them from the learning path):

1. How to Harden Your Enterprise in Today’s Threat Landscape
2. Cybersecurity Reference Architecture
3. Planning for a Security Incident
4. Cloud Security from the Field
5. Securing Privileged Access
6. Introduction to Azure Security Center

BTW: have a look on the ‘security’ based content on Microsoft Virtual Academy, you’ll be surprised how much you can (continue to) learn.

See: https://mva.microsoft.com/search/SearchResults.aspx#!q=security

Last Updated: 2020-12-29

Thank you!

This weekend I’ve received some pretty exciting news that I was awarded the 2016 MVP award (Microsoft Most Valuable Professional) for Enterprise Mobility (Identity & Access).

I’m extremely proud to receive the award, but I never could have achieved this award without your support. So, in the first place I want to thank YOU for supporting me and making it possible. With your help I certainly will continue to support and build the Microsoft and security community with great pride.

A great thanks to Ed Price, Ronen Ariely, Gokan Ozcifci and Jorge de Almeida Pinto for the support and recommendations. (I sincerely hope I haven’t forgotten anyone…) I owe you Belgian beer.

I had the honor to be part of the program earlier, and never have stopped to build and maintain the community with passion for Identity and Access management, but as combining Microsoft FTE with MVP is not possible… I had a break for the years at MS… still it was different.

I’m also extremely thankful that my wife Katrien and my 2 kids can cope with my crazy passion for TechNet Wiki and MS community obsession. This addiction is just so much fun…but I’ll never admit that. (oh ships, just did…)

Updated: 2020-12-30