Moni organisaatio kiinnostuu identiteetin- ja pääsynhallinnasta vasta silloin, kun käyttöoikeuksien hallinta alkaa kuormittaa IT-tiimiä, auditoinneissa löytyy puutteita tai uusien työntekijöiden käyttöönotto hidastuu. Tässä vaiheessa herää usein sama kysymys: kuinka suuri projekti IAM käyttöönotto oikeastaan on?
Vastaus riippuu organisaation lähtötilanteesta, mutta yksi asia on varma: onnistunut IAM-hanke ei ole pelkästään IT-projekti. Se koskettaa myös liiketoimintaa, HR:ää, tietoturvaa ja johtoa, koska identiteetit ja käyttöoikeudet läpäisevät koko organisaation.
IAM-hanke alkaa nykytilan ymmärtämisestä
Ennen teknisiä ratkaisuja on ymmärrettävä, miten identiteettejä ja käyttöoikeuksia hallitaan tällä hetkellä.
Tyypillisesti kartoitetaan:
- käytössä olevat järjestelmät
- käyttäjäryhmät
- käyttöoikeusprosessit
- identiteettien lähdejärjestelmät
- nykyiset tietoturva- ja compliance-vaatimukset
Tässä vaiheessa löytyy usein myös ongelmia, joita ei ole aiemmin tunnistettu: päällekkäisiä käyttäjätilejä, vanhentuneita käyttöoikeuksia ja prosesseja, jotka perustuvat manuaaliseen työhön.
Teknologia on harvoin vaikein osa
IAM-hankkeista puhuttaessa huomio kiinnittyy helposti protokolliin, hakemistopalveluihin ja integraatioihin. Ne ovat tärkeitä, mutta harvoin projektin suurin haaste.
Useimmiten vaikeimmat kysymykset liittyvät siihen:
- kuka omistaa käyttäjätiedot
- kuka hyväksyy käyttöoikeudet
- miten roolit määritellään
- miten käyttöoikeuksia ylläpidetään jatkossa
Jos näihin kysymyksiin ei ole vastauksia, teknisesti onnistunut käyttöönotto ei välttämättä ratkaise alkuperäistä ongelmaa.
Integraatiot ratkaisevat käyttöönoton onnistumisen
IAM-järjestelmä tuottaa arvoa vasta silloin, kun se on yhteydessä organisaation muihin järjestelmiin.
Tyypillisiä integraatiokohteita ovat:
- HR-järjestelmät
- Microsoft 365
- Google Workspace
- Active Directory
- liiketoimintasovellukset
- asiakas- ja kumppaniportaalit
Erityisen tärkeä on usein HR-järjestelmä, koska se toimii identiteetin elinkaaren käynnistäjänä. Kun työntekijä aloittaa, vaihtaa tehtävää tai poistuu organisaatiosta, käyttöoikeuksien pitäisi seurata muutosta automaattisesti.
Entä vanhat järjestelmät?
Yksi yleisimmistä IAM-hankkeisiin liittyvistä huolista on legacy-ympäristö.
Moni organisaatio pelkää, että identiteetinhallinnan käyttöönotto edellyttää vanhojen järjestelmien korvaamista uusilla. Käytännössä näin ei yleensä ole.
Modernit IAM-ratkaisut voidaan integroida vaiheittain myös ympäristöihin, joissa on vanhoja sovelluksia, pilvipalveluja ja räätälöityjä järjestelmiä. Tärkeintä on rakentaa yhtenäinen identiteettiarkkitehtuuri, ei uusia kaikkea kerralla.
Kuinka paljon resursseja käyttöönotto vaatii?
Projektin laajuus riippuu ennen kaikkea integroitavien järjestelmien määrästä ja organisaation tavoitteista.
Pienemmissä ympäristöissä käyttöönotto voidaan toteuttaa muutamissa kuukausissa. Laajoissa ympäristöissä, joissa järjestelmiä on kymmeniä tai satoja, hanke etenee yleensä vaiheittain pidemmän ajan kuluessa.
Oleellista on varmistaa, että mukana ovat oikeat ihmiset:
- IT vastaa teknisestä toteutuksesta
- HR osallistuu identiteetin elinkaaren määrittelyyn
- tietoturva määrittää turvallisuusvaatimukset
- liiketoiminta määrittelee käyttöoikeustarpeet
- johto varmistaa hankkeen priorisoinnin
Miten tietoturva- ja compliance-vaatimukset vaikuttavat?
Tietoturva- ja sääntelyvaatimukset vaikuttavat merkittävästi IAM-hankkeen tavoitteisiin.
GDPR, NIS2 ja toimialakohtaiset vaatimukset edellyttävät usein:
- käyttöoikeuksien hallintaa
- lokitusta
- auditointimahdollisuuksia
- vahvaa tunnistautumista
- vähimmän oikeuden periaatetta
Mitä tiukemmat vaatimukset ovat, sitä tärkeämpää on huomioida ne jo hankkeen alkuvaiheessa.
Milloin ulkoinen IAM-kumppani kannattaa ottaa mukaan?
Ulkoinen kumppani voi tuoda projektiin kokemusta, jota organisaatiolla ei vielä ole.
Tämä on erityisen hyödyllistä, jos:
- IAM-hanke toteutetaan ensimmäistä kertaa
- integroitavia järjestelmiä on paljon
- ympäristö sisältää kriittisiä järjestelmiä
- compliance-vaatimukset ovat tiukat
- organisaation omat resurssit ovat rajalliset
Parhaimmillaan kumppani ei korvaa organisaation omaa tiimiä vaan täydentää sitä.
IAM ei ole kertaluonteinen projekti
Yksi yleisimmistä väärinkäsityksistä on ajatus siitä, että identiteetinhallinta valmistuu käyttöönoton yhteydessä.
Todellisuudessa organisaatiot muuttuvat jatkuvasti. Uusia järjestelmiä otetaan käyttöön, työntekijät vaihtavat rooleja ja tietoturvavaatimukset kehittyvät.
Siksi IAM kannattaa nähdä jatkuvana kehitysohjelmana eikä yksittäisenä projektina. Onnistuneen käyttöönoton tavoitteena ei ole vain uuden järjestelmän käyttöönotto, vaan hallitumpi tapa hallita identiteettejä ja käyttöoikeuksia koko organisaatiossa.
Juuri siksi parhaat IAM-hankkeet rakentuvat vaiheittain ja tukevat sekä nykyisiä että tulevia tarpeita.