Just-in-Time (JIT)

Wat is Just-in-Time (JIT)?

De betekenis van Just-in-Time is dat producten en halffabricaten pas worden geleverd wanneer ze nodig zijn. Je bespaart zo onder andere op voorraadkosten. In dit artikel leggen we eerst dit efficiënte bedrijfsconcept en haar achtergronden wat verder uit. Daarna tonen we aan dat dit JIT-mechanisme ook nuttig kan worden ingezet binnen IT-omgevingen. We zoomen daarbij uitgebreid in op de specifieke mogelijkheden van JIT-Access en JIT-Provisioning om je Identity en Access Management te verbeteren.

Ontstaan van de Just in time methode

Just-in-Time (JIT) is van oorsprong een managementstrategie die is ontwikkeld binnen Japan en als eerste werd toegepast bij industriële concerns als Toyota. JIT wordt vaak samen gebruikt met concepten als Kaizen en Lean Management. Het zijn stuk voor stuk methodes die erop zijn gericht de bedrijfsvoering en productie van organisaties te optimaliseren en zoveel mogelijk waarde toe te voegen tegen minimale kosten.

Hoe werkt Just in time in een bedrijf?

JIT is specifiek ontwikkeld voor het minimaliseren van verspilling en het optimaliseren van efficiëntie in productie- en logistieke processen. Doel is om de hele productieketen zo te organiseren dat grondstoffen en halffabricaten vlak voor de daadwerkelijke productie worden afgeleverd. Vervolgens worden ook de eigen producten op het juiste moment geproduceerd zodat ze direct kunnen worden doorgestuurd richting afnemers. Dat heeft belangrijke voordelen, al zijn er ook risico’s waar je rekening mee moet houden:

Voordelen Just in time: alle nodeloze opslag van materialen kost geld. Magazijnruimte is duur, er gaan spullen kapot en je loopt het risico dat er restpartijen overblijven. Met JIT optimaliseer je je voorraden en dat heeft een positieve invloed op je winstgevendheid.
Nadelen JIT: tegelijkertijd kun je dit alleen organiseren als er nauw wordt samengewerkt met alle toeleveranciers, afnemers en logistieke bedrijven. Dat is enorm complex en als er ergens iets misgaat, kan direct de hele keten vastlopen; de hele bedrijfsvoering kan als het ware stilvallen omdat er één onderdeeltje ontbreekt.

Is JIT rendabel?

Dat betekent dat het niet op voorhand zeker is of een JIT aanpak altijd het gewenste rendement oplevert. Dit verschilt per onderneming en is afhankelijk van de bedrijfsdoelstellingen en de wensen van klanten. Vanuit kostenoogpunt zal JIT vaak de ideale keuze zijn. Maar als leverbetrouwbaarheid cruciaal is, kies je wellicht voor een ander bedrijfsmodel.

Just-in-Time IAM

Just-in-Time heeft z’n roots dus in de industriële sector waar het de productie kan optimaliseren. Tegelijkertijd kun je diezelfde JIT-filosofie ook toepassen in andere vakgebieden. Variërend van de gezondheidszorg, retail en supermarkten tot en met de horeca, fastfood ketens en de bouw. Zelfs binnen de automatisering kun je JIT-concepten toepassen, en in het bijzonder bij het verstrekken van licenties, accounts en toegangsrechten.

Organisaties gebruiken Identity en Access Management systemen om te zorgen dat hun IT-gebruikers worden voorzien van de juiste digitale accounts en de benodigde toegangsrechten.

Principle of Least Privilege en lagere licentiekosten

Daarbij is meestal het uitgangspunt dat mensen alleen toegang mogen krijgen tot functionaliteit en gegevens die ze nodig hebben om hun werk te kunnen doen. Dit noemen we het ‘Principle of Least Privilege’. En je wilt bovendien dat gebruikers die accounts en rechten pas krijgen als ze die ook echt nodig hebben, niet eerder. We willen toegangsrechten dus ‘just in time’ verstrekken en ook weer tijdig intrekken. Zo verbeteren we de informatiebeveiliging en bovendien voorkomen we dat dure licenties nodeloos in gebruik blijven. Hiervoor zijn twee concepten relevant:

Just-in-time Provisioning. Dit is erop gericht gebruikersaccounts zoveel mogelijk pas aan te maken als ze echt nodig zijn. We hebben liever geen ongebruikte licenties en accounts die al ongebruikt ‘klaarstaan’ in onze systemen.
Just-in-time Access. Dit is een vervolgstap. We willen gebruikers met een account sommige gebruiksrechten alleen geven gedurende een afgebakende periode als ze echt nodig zijn. Mocht iemand anders dan onbedoeld toegang krijgen tot zo’n account, beperken we alsnog de schade.

We geven hieronder wat voorbeelden.

Just-in-Time Provisioning

Met behulp van de geautomatiseerde user provisioning van moderne IAM-oplossingen zoals HelloID zorgen we dat accounts en de bijbehorende rechten pas worden verstrekt als die daadwerkelijk nodig zijn. We gebruiken daarvoor gebruikersattributen zoals iemands functie, afdeling en andere eigenschappen. Die gegevens worden up-to-date gehouden in bijvoorbeeld het HR-systeem en worden via een rechtstreekse koppeling doorgegeven aan het IAM-platform.

Zo kunnen we een nieuwe medewerker automatisch op de contractdatum voorzien van gebruikersaccounts en toegangsrechten die passen bij diens functie en afdeling. En als hij of zij later een andere functie of afdeling krijgt, worden de accounts en rechten direct aangepast. Je IAM provisioning functionaliteit verwerkt zo alle wijzigingen ‘just in time’. En verlaat iemand de organisatie? Ook dan zorgt het platform dat accounts en rechten weer tijdig worden geblokkeerd.

JIT provisioning via Identity Provider en SSO

Je ziet dat we zo het ideaal van Just-in-Time provisioning al behoorlijk benaderen. Soms zoeken organisaties echter een nog striktere JIT provisioning aanpak. Bijvoorbeeld bij gastaccounts voor partners of klanten. Zulke accounts worden vaak vrijblijvend aangeboden en het is niet op voorhand zeker of en wanneer de gast ze gaat gebruiken. Je wilt dan niet op voorhand al een gebruikersaccount aanmaken.

Daarom bieden Identity Providers als Entra ID een JIT Provisioning oplossing waarbij pas een account wordt aangemaakt als de gebruiker zich voor het eerst aanmeldt op het systeem. In de Single Sign-On instellingen is al aangegeven dat de betreffende gebruiker recht heeft op deze applicatie, maar de account wordt nu pas aangemaakt. Zo voorkom je dat er langere tijd ongebruikte accounts aanwezig zijn in je systemen.

Just-in-Time Access

In de voorbeelden hiervoor ging het erom accounts en de bijbehorende basisrechten op het juiste moment te verstrekken. Er kunnen daarnaast ook specifieke rechten zijn die je slechts op afgebakende momenten beschikbaar wilt stellen. Ook daarvoor zijn oplossingen beschikbaar.

JIT Access bij Privileged Access Management

Zo wil je vaak bij admin accounts (ook wel privileged accounts genoemd) de beveiligingsrisico’s beperken door beheerders steeds slechts tijdelijk beheerrechten te geven tot servers, databases, cloudomgevingen en applicaties. Heeft zo’n beheerder een taak uitgevoerd dan worden de verhoogde rechten weer ingetrokken. Deze vorm van Just-in-Time Access of JIT-access wordt bijvoorbeeld gebruikt door zogeheten Privileged Access Management (PAM) systemen.

Deze systemen helpen om ongeautoriseerde toegang en misbruik van zulke privileged accounts te voorkomen. Voorbeelden zijn CyberArk, BeyondTrust, en Microsoft PIM, en binnen zulke systemen worden verhoogde rechten steeds tijdelijk verstrekt en automatisch na een bepaalde tijd weer ingetrokken.

Conditional Access

Een andere optie om te voorkomen dat gebruikers altijd en overal toegang hebben tot applicaties en gegevens, is Conditional Access. Iemand heeft dan wel een permanent account en vastgestelde rechten, maar bij die rechten zijn extra condities toegevoegd. Ze gelden bijvoorbeeld alleen tijdens diensturen of vanaf het bedrijfsnetwerk. ’s Avonds of als je remote inlogt, heb je automatisch slechts beperkte toegangsrechten.

Rechtenbeheer bij flexkrachten

In veel organisaties werken medewerkers en inhuurkrachten die steeds wisselende diensten draaien op verschillende locaties en afdelingen. Zo’n medewerker heeft dan vaak bij iedere dienst andere toegangsrechten nodig. Als je een verpleegkundige voor verschillende diensten inroostert, zal deze binnen het Elektronisch Patiënt Dossier steeds de gegevens van andere afdelingen en patiënten moeten kunnen inzien.

Gelukkig plannen de meeste organisaties zulke diensten in met een planningstool. Door die planningsapplicatie te koppelen als extra bronsysteem aan je IAM-platform, kunnen we zorgen dat iedere gebruiker automatisch voor iedere dienst automatisch wordt voorzien van de juiste rechten. Standaard beschik je als medewerker dan over je basisaccounts en rechten, en steeds worden ‘just in time’ de aanvullende rechten toegevoegd die nodig zijn om de komende dienst te kunnen draaien.

Just in time account- en rechtenbeheer?

Met de HelloID Provisioning module zorg je er dus voor dat iedere medewerker automatisch op het juiste moment toegang krijgt tot de benodigde accounts en toegangsrechten. We vertellen er hier meer over. En in deze case vertellen we meer over de koppelingen met online planning applicaties om ook je flexkrachten bij iedere dienst automatisch te voorzien van de juiste gegevens.