SIEM vs CIEM vs CIAM

Drie afkortingen die op elkaar lijken, maar drie verschillende problemen oplossen. SIEM, CIEM en CIAM duiken allemaal op in securitygesprekken, en het is niet gek als ze door elkaar gaan lopen. Toch gaat het om andere technologie, andere teams en andere risico's.

Voor wie investeringsbeslissingen neemt is dat onderscheid belangrijk. Je koopt geen SIEM om cloud-permissies op te ruimen, en een CIAM-oplossing gaat je SOC niet helpen met threat detection. Dit artikel zet de drie naast elkaar, laat zien waar ze elkaar raken en geeft een praktisch uitgangspunt om te bepalen wat je organisatie nu nodig heeft.

Wat is SIEM?

SIEM staat voor Security Information and Event Management. Het verzamelt logdata uit je hele IT-omgeving, van firewalls tot endpoints tot cloudapplicaties, en correleert die data om afwijkend gedrag te signaleren.

De kernfunctie is detectie. Een SIEM ziet dat een gebruiker om 3 uur 's nachts inlogt vanuit een land waar hij nooit werkt, of dat er ineens grote hoeveelheden data naar buiten gaan. Die signalen worden omgezet in alerts die een SOC-team kan onderzoeken.

SIEM is daarmee vooral gericht op events en gedrag. Het systeem kijkt naar wat er gebeurt in je netwerk, niet naar wie standaard toegang heeft tot welke resource. Naast detectie speelt SIEM ook een rol bij compliance-rapportage: veel regelgeving vereist dat je kunt aantonen wie wanneer wat heeft gedaan in je systemen.

Veel organisaties hebben inmiddels wel securitytools in huis, maar missen de capaciteit om er 24/7 op te reageren. Nomios Guardian xMDR is daarop een antwoord: een managed detection and response dienst met Cortex XDR als kernengine, 24/7 beheerd vanuit ons eigen SOC. Voor omgevingen met logbronnen die buiten de standaarddekking vallen, zoals OT-systemen of maatwerkapplicaties, wordt dit aangevuld met een EU-gehost en beheerd SIEM-systeem, zodat er geen blinde vlekken ontstaan. De dienst is opgebouwd in vier oplopende niveaus, van een operationele basis tot een strategisch partnerschap met een vaste analist.

Wat is CIEM?

CIEM staat voor Cloud Infrastructure Entitlement Management. Waar SIEM naar gedrag kijkt, kijkt CIEM naar rechten: wie heeft toegang tot welke cloudresources, en is die toegang eigenlijk nodig.

In multi-cloudomgevingen met AWS, Azure en GCP groeit het aantal identiteiten en permissies snel. Elke nieuwe service, elk nieuw account en elke tijdelijke rol voegt rechten toe die zelden weer worden opgeruimd. Het resultaat is permission sprawl: gebruikers en workloads met veel meer rechten dan ze gebruiken.

Dat is een risico, want een gecompromitteerd account met overbodige rechten geeft een aanvaller meteen veel meer bewegingsruimte. CIEM brengt deze rechten in kaart, signaleert overprivileged accounts en helpt op basis van least privilege bij te sturen. Handmatig beheer werkt hier niet meer, daarvoor is de schaal en dynamiek van cloudomgevingen te groot.

Wat is CIAM?

CIAM staat voor Customer Identity and Access Management. Dit gaat niet over medewerkers, maar over externe gebruikers: klanten, partners of leden die inloggen op een portaal, app of website.

De focus ligt op registratie, login en single sign-on, met eisen die anders zijn dan bij interne identiteiten. Een CIAM-oplossing moet schaalbaar zijn naar honderdduizenden of miljoenen gebruikers, moet voldoen aan privacywetgeving zoals de GDPR, en moet vooral een soepele gebruikerservaring bieden. Een klant die drie keer een wachtwoord moet resetten voordat hij kan inloggen, haakt af.

Waar interne IAM-systemen vaak uitgaan van een beperkt aantal rollen binnen een organisatie, moet CIAM omgaan met een grote, diverse en minder voorspelbare gebruikersgroep. Denk aan social login, multi-factor authenticatie die niet als drempel aanvoelt, en consentbeheer voor persoonsgegevens.

Binnen de Nomios-groep richt Intragen zich specifiek op dit vakgebied, met consultancy, implementatie en managed services rond CIAM-platforms zoals Okta (Auth0) en One Identity. Dat maakt CIAM een vraagstuk waar we met specialistische kennis in kunnen ondersteunen.

De drie naast elkaar

Waar ze elkaar raken

Dit zijn geen concurrerende oplossingen. In de praktijk werken ze vaak samen. Een CIEM-tool die een overprivileged account signaleert, kan die bevinding doorsturen naar een SIEM, waar het als onderdeel van een breder dreigingsbeeld wordt meegenomen. Loginactiviteit vanuit een CIAM-omgeving kan op zijn beurt weer gemonitord worden door een SIEM voor fraudedetectie, bijvoorbeeld bij een opvallend patroon van mislukte inlogpogingen.

De vraag is dus niet welke van de drie je moet kiezen. De vraag is welk probleem op dit moment het grootste risico vormt, en welke laag van je securitylandschap daarmee nog niet is afgedekt.

Welke heb je nodig?

Een paar vuistregels om te bepalen waar je moet beginnen:

• Veel cloud-adoptie en onduidelijkheid over wie toegang heeft tot wat: begin bij CIEM.
• Klantgerichte applicaties met externe gebruikers en aandacht voor privacywetgeving: kijk naar CIAM.
• Behoefte aan overzicht over de hele IT-omgeving en snellere detectie van incidenten: SIEM is het startpunt.

Grotere organisaties hebben op termijn vaak alle drie nodig, maar niet gelijktijdig en niet in dezelfde volgorde. Het heeft weinig zin om te investeren in geavanceerde threat detection als je cloudrechten al jaren niet zijn opgeschoond, en andersom is een perfect opgeruimde cloudomgeving weinig waard als je klantportaal een makkelijk doelwit blijft voor account takeover.

Benieuwd waar je moet beginnen?

Breng in kaart welk risico op dit moment het meest acuut is voordat je investeert in een van de drie oplossingen. Praat met je SOC-team over detectiegaten, met je cloudteam over rechtenbeheer, en met je productteam over hoe klanten inloggen.

Ligt de prioriteit bij detectie en respons, maar ontbreekt de operationele capaciteit om dit dag en nacht te bemensen? Dan is Nomios Guardian xMDR een logische eerste stap: een gestandaardiseerde MDR-dienst die endpoint protection, 24/7 SOC-monitoring en waar nodig een beheerd SIEM-systeem in één service combineert. Neem contact op met Nomios om te bespreken welk niveau van dekking bij jouw organisatie past.

The three side by side

Where they overlap

These are not competing solutions. In practice, they often work together. A CIEM tool that flags an overprivileged account can pass that finding to a SIEM, where it feeds into a broader threat picture. Login activity from a CIAM environment can in turn be monitored by a SIEM for fraud detection, for example when there is an unusual pattern of failed login attempts.

So the question is not which of the three you should choose. The question is which problem currently poses the biggest risk, and which layer of your security landscape is not yet covered.

Which one do you need

A few rules of thumb for deciding where to start:

• Heavy cloud adoption and unclear visibility into who has access to what: start with CIEM.
• Customer-facing applications with external users and privacy regulation to consider: look at CIAM.
• Need for visibility across the entire IT environment and faster incident detection: SIEM is your starting point.

Larger organisations often need all three eventually, but not at the same time and not in the same order. There is little point investing in advanced threat detection if your cloud permissions have not been cleaned up in years, and conversely, a perfectly tidy cloud environment is worth little if your customer portal remains an easy target for account takeover.

Wondering where to start

Map out which risk is currently the most acute before investing in any of the three. Talk to your SOC team about detection gaps, to your cloud team about entitlement management, and to your product team about how customers log in.

If detection and response is the priority, but you lack the operational capacity to staff it around the clock, Nomios Guardian xMDR is a logical first step: a standardised MDR service that combines endpoint protection, 24/7 SOC monitoring and, where needed, a managed SIEM in a single service. Get in touch with Nomios to discuss which level of coverage fits your organisation.