Kirjoittaja: Veli-Pekka Vähälummukka, Trivoren Program Director
Kun järki sanoo ”’IAM”, mutta ympäristö sanoo ”ei vielä”
Monessa organisaatiossa identiteetinhallinnan ongelmat ovat täysin näkyviä: käyttöoikeuksien avaaminen on hidasta, poistumisia ei aina muisteta hoitaa ajoissa ja auditoinneissa toistuvat samat huomautukset vuodesta toiseen. Kaikki tietävät, että IAM pitäisi laittaa kuntoon. Silti päätös jää pöydälle.
Yleisin syy lienee tämä: ympäristössä on lukuisia vanhoja järjestelmiä, joihin IAM pitäisi kytkeä – mutta joihin on rakennettu vuosien varrella kaikenlaista erikoista. Silloin herää perusteltu kysymys: onko tässä luvassa massiivinen, vuosia kestävä projekti?
Miksi perinteinen IAM tökkii juuri silloin, kun sitä eniten tarvittaisiin
Markkinoiden suuret IAM-tuotteet ovat hyviä silloin, kun ympäristö on moderni ja selkeä. Kun käyttöoikeuksien logiikat ja organisaation prosessit noudattavat valmiita malleja, projekti etenee tasaisella kaarella. Mutta jos mukana on vanhoja järjestelmiä, räätälöityjä ratkaisuja ja toimialakohtaisia sovelluksia, luvassa on yleensä kaksi asiaa: aikataulun venyminen ja kustannusten nousu. Tämä ei johdu huonosta suunnittelusta – vaan siitä, ettei valmiita tuotteita ole rakennettu asiakkaiden erikoisuuksien ympärille. Siksi suuri osa IAM-hankkeista jumiutuu juuri ennen päätöstä, vaikka tarve on kiistaton.
Kun ratkaisu mukautuu ympäristöön, eikä toisin päin
CIO:n näkökulmasta on olennaista, ettei IAM-hanke muutu teknologiavetoiseksi jättiprojektiksi. Sen pitäisi olla tapa pienentää riskiä, parantaa näkyvyyttä, vähentää manuaalista työtä ja keventää auditointeja. Silloin ratkaisu, joka pystyy mukautumaan organisaation oikeaan ympäristöön, on vahvoilla. Käytännössä tämä tarkoittaa sitä, että identiteetinhallinta voidaan ottaa käyttöön vaiheittain – ilman suuria rakenteellisia uudistuksia.
Konkreettinen hyöty näkyy arjessa, ei vain esityskalvoissa
Kun IAM saadaan istumaan myös vanhoihin järjestelmiin, vaikutukset näkyvät heti käytännössä. Uusi työntekijä pääsee töihin ensimmäisenä päivänä ilman jahkailua. Poistuvan työntekijän oikeudet sulkeutuvat automaattisesti. Auditointiin ei tarvitse kerätä käyttöoikeuslistoja käsin. Ja IT:lle jää vähemmän tikettejä ja vähemmän tarkistustyötä. Nämä ovat niitä asioita, jotka oikeasti keventävät arkea – ja joita organisaation johto katsoo, kun pohtii, onko IAM-hanke onnistunut.
Miten IAM toteutetaan ilman kertarysäystä
IAM ei ole projekti, joka kannattaa aloittaa ’kaikki tai ei mitään’ -asenteella. Parhaat hankkeet etenevät pieninä, selkeinä askelina. Ensin tehdään lyhyt kartoitus. Sen jälkeen valitaan yksi konkreettinen prosessi, jota lähdetään parantamaan. Kun tulokset näkyvät ja prosessi toimii, laajennetaan seuraavaan kohteeseen. Näin IAM rakentuu hallitusti ja ilman raskaita muutoksia.
Mittarit, jotka kertovat CIO:lle totuuden
Liiketoiminnan kannalta paras IAM on sellainen, joka tuottaa mitattavia tuloksia. Hyviä mittareita ovat:
- kuinka nopeasti uusi työntekijä saa kaikki tarvittavat käyttöoikeudet
- kuinka nopeasti oikeudet suljetaan poistumisessa
- paljonko tikettejä käyttöoikeuksiin liittyy ja
- montako audit-huomiota IAM aiheuttaa
Kun nämä luvut paranevat, IAM-hanke maksaa itsensä nopeasti takaisin.
Miksi kotimainen toimija on vahvoilla
Legacy-ympäristöjen kanssa työskentely vaatii ketteryyttä sekä halua ja kykyä muokata ratkaisua asiakkaan tilanteen mukaan, ei vain sovittaa asiakasta tuotteen malleihin. Kotimainen toimija pystyy reagoimaan nopeasti, kun ympäristössä tulee vastaan jotain odottamatonta. Kommunikointi tapahtuu samalla kielellä ja samassa aikavyöhykkeessä, ilman tukiportaita. Lisäksi kansalliset tietoturvavaatimukset – GDPR, NIS2, tiedonhallintalaki – ovat tuttuja arjesta, ei vain sopimuspapereista. Kun toimittaja on myös tuotteen kehittäjä, mukautuminen ei riipu globaalin tuotteen roadmapista tai jälleenmyyjäportaan päätöksistä – muutos tehdään silloin kun asiakas sitä tarvitsee.
Näin päätöksenteossa pääsee eteenpäin
IAM-hankkeen liikkeellelähtö ei vaadi suurta valmistelua. Lyhyt työpaja, muutaman viikon kartoitus ja pilotin käynnistys riittävät antamaan konkreettisen kuvan hyödyistä. Sen jälkeen päätös perustuu mittareihin ja näkyviin tuloksiin – ei oletuksiin.