IAM, Identity and Access Management, definierar vilka digitala identiteter som får åtkomst till vilka system, data och applikationer, under vilka villkor och med vilken spårbarhet inom cybersäkerhet.
För den som arbetar i Sverige är IAM sällan en renodlad teknisk nisch. Rollen hamnar ofta mellan säkerhet, IT-drift, HR, juridik och verksamhet, eftersom identiteter skapas när någon anställs, ändras när ansvar förändras och ska avvecklas när personen slutar. En IAM-specialist behöver därför förstå både protokoll och processer: SAML, OIDC, OAuth2, SCIM och multifaktorautentisering på den ena sidan, policyer, åtkomstrecensioner och regelefterlevnad på den andra.
Valet mellan IAM och en bredare cybersäkerhetsroll handlar om arbetsvardag. Den som trivs med identitetsprotokoll, behörighetsmodeller, governance och automatisering kan hitta en tydlig riktning i IAM. Den som hellre arbetar med incidentrespons, sårbarhetshantering, logganalys och blue-team-arbete kan passa bättre i en bredare säkerhetsroll. Båda vägarna överlappar, men IAM kräver en ovanligt stark förmåga att översätta verksamhetsregler till tekniska åtkomstkontroller.
Varför IAM har blivit en tydlig karriärväg
När applikationer flyttas till molnet, anställda arbetar från flera platser och leverantörer får åtkomst till interna system blir identitet en central säkerhetskontroll. Organisationer kan inte längre förlita sig på att nätverksgränsen avgör vem som är betrodd. I praktiken blir inloggningen, användarens roll, enhetens status och åtkomstens risknivå viktigare än var användaren befinner sig.
I Sverige påverkas IAM-arbetet dessutom av en särskild kombination av regelverk och digital identitet. GDPR och IMY:s tillsyn gör att organisationer behöver kunna visa varför en person har åtkomst till personuppgifter och hur åtkomsten följs upp. NIS2 skärper förväntningarna på säkerhetsstyrning i fler sektorer, medan DORA ställer höga krav på digital operativ motståndskraft i finanssektorn. Samtidigt används BankID och i vissa sammanhang Freja eID i kundnära flöden, vilket gör att IAM-specialister ofta behöver förstå hur extern e-legitimation samspelar med interna identitetsplattformar utan att blanda ihop konsumentautentisering med intern behörighetsstyrning.
Efterfrågan ska inte tolkas som en garanti om jobb eller lön, men den visar varför kompetensen är relevant. Den som vill bedöma marknaden bör läsa flera källor i stället för att lita på enstaka löneartiklar. SCB kan ge bred yrkesstatistik, Arbetsförmedlingen kan visa efterfrågemönster och fackliga källor som Unionen kan ge kontext om roller, ansvar och förhandlingsläge. För IAM-roller är arbetsbeskrivningen ofta viktigare än titeln, eftersom samma titel kan betyda drift av konton i en organisation och arkitekturansvar i en annan.
IAM-specialistens arbete i praktiken
En IAM-specialist ser till att identiteter hanteras genom hela livscykeln. Det börjar ofta med joiner, mover, leaver-processen, där nyanställda får rätt åtkomst, rollbyten leder till justerade behörigheter och avslutade anställningar snabbt stänger åtkomst. Den processen verkar administrativ på ytan, men den är en av de viktigaste kontrollerna i modern säkerhet. Om leaver-flödet är långsamt, eller om mover-flödet bara lägger till nya behörigheter utan att ta bort gamla, byggs risk upp tyst över tid.
En annan vanlig arbetsuppgift är att införa enkel inloggning till en ny applikation. I ett modernt scenario konfigureras SSO med SAML eller OIDC, grupper och attribut mappas från identitetskällan, och behörigheter kan automatiseras med SCIM om applikationen stöder det. När stödet saknas blir arbetet mer komplext: äldre on-premises-applikationer i Active Directory-miljöer har ofta egna behörighetsmodeller och begränsat stöd för moderna protokoll. Det är en vanlig svensk verklighet i kommuner, myndigheter, industri och äldre företagsmiljöer.
IAM omfattar också autentiseringspolicyer och privilegierad åtkomst. I Microsoft-miljöer kan det handla om Entra ID, Conditional Access, moderna autentiseringsmetoder och Privileged Identity Management. I andra miljöer kan motsvarande funktioner finnas i Okta, Ping, CyberArk, SailPoint eller andra plattformar. Verktygsnamnet är mindre viktigt än principen: stående privilegierad åtkomst ska minska, känsliga åtgärder ska kräva starkare kontroll och åtkomst ska kunna granskas i efterhand.
| Rollområde |
Typiskt ansvar |
Vad arbetsgivaren ofta vill se |
| IAM-administration |
Konton, grupper, MFA, användarsupport och grundläggande åtkomstflöden. |
Noggrannhet, förståelse för katalogtjänster och vana vid ärendehantering. |
| IAM-engineering |
SSO-integrationer, SCIM-provisionering, Conditional Access och teknisk felsökning. |
Praktisk erfarenhet av Entra ID eller liknande plattform samt förståelse för SAML, OIDC och OAuth2. |
| IAM-governance |
Rollmodeller, åtkomstrecensioner, policyer, rapportering och efterlevnad. |
Förmåga att samarbeta med HR, juridik, säkerhet och systemägare. |
| PAM/PIM |
Kontroll av privilegierade konton, just-in-time-åtkomst och spårning av administrativa sessioner. |
Riskförståelse, teknisk disciplin och vana vid förändringshantering. |
Svenska krav som påverkar rollen
Den svenska marknaden har några återkommande drag som kandidater bör förstå tidigt. Många roller kräver att man kan läsa och skriva policyer på både svenska och engelska, särskilt i organisationer där globala säkerhetskrav ska omsättas till lokala rutiner. I offentlig sektor och säkerhetskänsliga verksamheter kan bakgrundskontroller eller säkerhetsklassning förekomma, vilket gör att rollen kan bedömas annorlunda än en vanlig IT-drifttjänst.
Hybridmiljöer är också vanliga. En organisation kan använda Entra ID för molnapplikationer men fortfarande vara beroende av lokala Active Directory-strukturer, filservrar och äldre affärssystem. IAM-specialisten behöver då förstå synkronisering, gruppstrategier, attributkvalitet och riskerna med att gamla behörigheter följer med in i nya system. En lyckad molnresa handlar därför lika mycket om datakvalitet och rollstädning som om att aktivera en ny plattform.
Regelverken gör åtkomstrecensioner mer än en administrativ övning. En kvartalsvis granskning som bara skickas ut och godkänns slentrianmässigt ger svagt säkerhetsvärde. En bättre modell är att systemägare får begriplig information om vilka användare som har åtkomst, varför de har den och vilka privilegier som faktiskt innebär risk. Mätetal som JML-SLA, andel slutförda åtkomstrecensioner och minskning av stående privilegierad åtkomst säger mer om IAM-mognad än antalet skapade konton.
Kompetenser som skiljer en IAM-kandidat från en konto-administratör
En vanlig missuppfattning är att IAM främst handlar om att lägga till och ta bort användarkonton. Kontoarbete kan vara en ingång, men den professionella rollen kräver djupare förståelse för identitet som säkerhetskontroll. En IAM-specialist behöver kunna förklara varför en behörighet ska finnas, hur den ska beviljas, hur länge den ska gälla och hur organisationen upptäcker om den används fel.
Tekniskt bör en kandidat kunna grunderna i katalogtjänster, federation, moderna autentiseringsflöden och behörighetsmodeller. Det innebär inte att man måste kunna varje produkt på marknaden, men man behöver förstå varför SAML fortfarande används brett i företagsapplikationer, varför OIDC ofta dyker upp i modernare webb- och molnlösningar, hur OAuth2 skiljer sig från autentisering i praktisk användning och varför SCIM är viktigt för automatiserad provisionering.
Den organisatoriska kompetensen är minst lika viktig. IAM-projekt misslyckas ofta när verksamheten inte äger sina roller eller när HR-data är ofullständig. Om en anställningstyp, chefskoppling eller avdelning saknas i källsystemet blir automatisering osäker. Därför behöver IAM-specialister kunna driva samtal med HR, systemägare och jurister utan att förvandla varje beslut till en teknisk detaljfråga.
En praktisk väg in i IAM på sex till nio månader
Den som redan arbetar som helpdeskmedarbetare, systemadministratör, molnadministratör eller utvecklare kan bygga en trovärdig IAM-profil relativt strukturerat. Målet bör inte vara att memorera produktmenyer, utan att skapa bevis på att man förstår identitetsflöden från krav till konfiguration och uppföljning. En enkel molnlabb räcker långt om den dokumenteras väl.
Bygg en grund i identitet, autentisering, auktorisering, katalogtjänster och riskbaserad åtkomst.
Sätt upp en labbmiljö i Entra ID eller en jämförbar identitetsplattform och skapa testanvändare, grupper och administrativa roller.
Konfigurera MFA och Conditional Access för olika risknivåer, till exempel administratörer, externa användare och vanliga medarbetare.
Integrera en testapplikation med SAML eller OIDC och dokumentera attribut, claims och felsökning.
Testa SCIM-baserad provisionering där det är möjligt och jämför med manuell kontohantering.
Arbeta med PIM eller PAM-principer genom att ersätta stående administratörsbehörighet med tidsbegränsad åtkomst.
Skapa en enkel åtkomstrecension och skriv en kort rapport som visar vilka beslut systemägaren behöver fatta.
Samla labbresultaten i en portfolio med arkitekturbeskrivning, risker, beslut och lärdomar.
Portfolion bör visa verklighetsnära scenarier snarare än skärmbilder utan sammanhang. Ett starkt exempel är ett JML-flöde där en nyanställd får åtkomst baserat på roll, en rolländring tar bort tidigare behörigheter och en avslutad anställning leder till snabb avprovisionering. Ett annat exempel är app-onboarding där kandidaten förklarar varför SAML eller OIDC valdes, vilka attribut som skickas och hur åtkomsten granskas efter införandet.
Inför intervjuer är det klokt att förbereda samtal om avvägningar. Rekryterande chefer vill ofta höra hur kandidaten hanterar undantag, äldre system, användarmotstånd mot MFA eller konflikter mellan verksamhetens snabbhet och säkerhetens krav. Ett moget svar visar att IAM inte bara är teknikimplementation, utan även förändringsledning och riskstyrning.
Certifieringar som kan stödja karriärvägen
Certifieringar kan hjälpa en kandidat att strukturera studierna och signalera en viss kunskapsnivå, men de ersätter inte praktisk erfarenhet. För en Microsoft-tung miljö är Microsoft Certified: Identity and Access Administrator Associate, kopplad till SC-300, särskilt relevant att kontrollera mot Microsoft Learn eftersom namn, krav och examensstatus kan förändras. Den passar bäst när kandidaten vill arbeta nära Entra ID, Conditional Access, identitetsstyrning och åtkomsthantering.
För bredare säkerhetsförståelse kan CompTIA Security+ vara en rimlig grund, särskilt för den som kommer från helpdesk eller drift. CISSP från ISC2 och CISM från ISACA är mer erfarna certifieringsspår och bör ses som steg för personer som redan har bredare ansvar inom säkerhet, risk eller styrning. Den som arbetar nära ledningssystem och revision kan också ha nytta av kunskap om ISO/IEC 27001, eftersom IAM-kontroller ofta granskas i relation till informationssäkerhetsstyrning.
Readynez kan i detta sammanhang vara ett sätt att strukturera certifieringsförberedelser, men valet av utbildning bör utgå från den roll kandidaten siktar på. En person som vill bli IAM-engineer behöver lägga mer tid på labbar och protokoll, medan en governance-inriktad kandidat bör fördjupa sig i åtkomstrecensioner, policyarbete och riskbaserad styrning.
Vanliga utmaningar i IAM-projekt
Den tekniska utmaningen börjar ofta med system som inte delar samma identitetsmodell. En molnapplikation kan stödja SCIM och modern federation, medan ett äldre internt system kräver lokala konton och manuella godkännanden. IAM-specialisten måste då hitta en lösning som minskar risk utan att låtsas att alla system kan moderniseras samtidigt.
En annan återkommande utmaning är rollmodeller. Organisationer vill ofta införa rollbaserad åtkomstkontroll, men rollerna blir snabbt för grova eller för många. Om alla får bred standardåtkomst skapas överbehörighet. Om varje liten arbetsuppgift blir en separat roll blir modellen omöjlig att förvalta. Bra IAM-arbete kräver därför iteration, tydliga systemägare och en praktisk förståelse för hur arbetet faktiskt utförs.
Användarupplevelsen får inte heller underskattas. Om MFA införs utan kommunikation eller riskbaserade undantag uppstår motstånd, särskilt i verksamheter med skiftarbete, delade enheter eller externa konsulter. Samtidigt är svaga autentiseringsmetoder ett reellt problem. En professionell IAM-specialist kan förklara varför vissa grupper behöver starkare krav och hur förändringen kan införas utan onödiga hinder.
Så bedömer man om IAM är rätt väg
IAM passar personer som tycker om systematik. Rollen kräver tålamod med detaljer, eftersom ett felaktigt attribut, en dåligt namngiven grupp eller en otydlig ägarstruktur kan skapa stora följdproblem. Den passar också personer som kan kommunicera med flera funktioner samtidigt, eftersom ett identitetsflöde ofta börjar i HR, passerar IT och granskas av säkerhet eller juridik.
En bredare cybersäkerhetsroll passar bättre om drivkraften ligger i att analysera attacker, övervaka miljöer, hantera incidenter eller arbeta med säkerhetstestning. Det ena valet stänger inte dörren till det andra. IAM-kunskap är värdefull även i SOC-, molnsäkerhets- och GRC-roller, eftersom många incidenter och revisioner i slutändan berör identitet, privilegier och åtkomstspårning.
För beslutsfattare som bygger IAM-team är lärdomen liknande. Ett fungerande team behöver inte bara produktadministratörer. Det behöver personer som kan arkitektur, process, datakvalitet, åtkomstgranskning och förändringsledning. Om IAM placeras för långt ned i IT-driften riskerar organisationen att behandla identitet som kontoärenden i stället för som en säkerhets- och styrningsförmåga.
Att bygga en hållbar IAM-karriär
En hållbar väg in i IAM börjar med att kombinera praktisk labberfarenhet med förståelse för svenska verksamhetskrav. Kandidaten som kan visa ett fungerande SSO-flöde, beskriva ett JML-upplägg, resonera om åtkomstrecensioner och förstå varför IMY, NIS2, DORA eller BankID påverkar kraven står starkare än den som bara räknar upp verktyg.
Det mest effektiva nästa steget är att välja en tydlig inriktning, bygga en liten men väl dokumenterad portfolio och komplettera med certifiering där den stödjer målet. Readynez kan vara relevant för den som vill ha strukturerad utbildning inför en specifik certifiering, men karriären formas i praktiken av förmågan att koppla identitet, åtkomst, risk och verksamhet till lösningar som fungerar i drift.
