Useimmissa organisaatioissa pääsynhallintaratkaisu valitaan IT-hankintana. Vertaillaan ominaisuuksia, hintaa ja integraatioita. Se on ymmärrettävää, mutta se ohittaa olennaisen kysymyksen: kenelle luovutat organisaatiosi avaimet?
Identiteetinhallinta ei ole yksi järjestelmä muiden joukossa. Se on kerros, joka päättää, kuka pääsee mihinkin, milloin ja millä ehdoilla. Se sisältää tiedon organisaation rakenteesta, rooleista, käyttöoikeuksista ja toimintamalleista. Kun valitset identiteetinhallintaratkaisun, valitset samalla, kuka tätä tietoa hallitsee ja minkä maan lainsäädännön piirissä se on.
Kolme kysymystä, jotka tekevät hankinnasta tietoturvapäätöksen
Kuka näkee autentikaatiolokisi?
Kirjautumistiedot paljastavat organisaatiosta enemmän kuin yksittäiset dokumentit. Niistä selviää, ketkä työskentelevät missäkin projektissa, milloin he ovat aktiivisia ja mitä järjestelmiä he käyttävät. Ajan mittaan lokeihin muodostuu tarkka kuva toimintamallista: kuka tekee yhteistyötä kenenkin kanssa, mitkä tiimit kasvavat, mitkä projektit ovat aktiivisia ja miten organisaatio reagoi kriisitilanteissa. Yksikään yksittäinen tiedosto ei paljasta vastaavaa kokonaiskuvaa.
Jos identiteetinhallinta on ulkomaisen palveluntarjoajan hallussa, tämä tieto on kyseisen maan lainsäädännön piirissä. CLOUD Act velvoittaa yhdysvaltalaisia yrityksiä luovuttamaan dataa viranomaispyynnöstä riippumatta palvelimen sijainnista. Velvoite koskee myös emoyhtiön eurooppalaisia tytäryhtiöitä. Palvelimen sijainti Suomessa tai Saksassa ei muuta tilannetta, jos palveluntarjoajan juridinen kotipaikka on Yhdysvalloissa.
Pystytkö todistamaan vaatimustenmukaisuutesi itsenäisesti?
Kyberturvallisuuslaki ja NIS2-direktiivi edellyttävät, että organisaatio dokumentoi pääsynhallintapäätöksensä todennettavasti. Jos auditointilokit sijaitsevat kolmannen maan lainsäädännön alaisella palveluntarjoajalla, organisaatio on riippuvainen tästä toimijasta myös todistaessaan omaa vaatimustenmukaisuuttaan. Samalla se on luovuttanut ulkopuoliselle yksityiskohtaisen kartan tietoturva-arkkitehtuuristaan.
Kun viranomainen tai auditoija pyytää lokitietoja pääsynhallintapäätöksistä, organisaation on käännyttävä ulkomaisen palveluntarjoajan puoleen. Kontrolli omasta vaatimustenmukaisuudesta on käytännössä siirtynyt ulkopuolelle.
Voitko vaihtaa toimittajaa, jos tilanne muuttuu?
Monet pilvipalvelualustat niputtavat identiteetinhallinnan osaksi laajempia lisenssipaketteja. Siirtyminen toiseen ratkaisuun edellyttää silloin koko integraatiokerroksen uudelleenrakentamista. Avoimiin standardeihin (OIDC, SAML, SCIM) perustuva ratkaisu pitää vaihtoehdon auki. Lukittu ratkaisu poistaa sen.
Milloin pääsynhallinnan arviointi on ajankohtaista?
Tarve ei synny tietystä henkilöstömäärästä. Se syntyy, kun organisaatio käsittelee tietoa, jonka paljastuminen tai väärinkäyttö aiheuttaisi todellista vahinkoa: asiakastietoja, potilastietoja, taloustietoja tai strategisia dokumentteja. Jos näitä tietoja suojaavan järjestelmän avaimet ovat ulkopuolella, kyseessä on tietoturva-aukko riippumatta siitä, miten hyvin muu suojaus on toteutettu.
Arviointi on ajankohtaista erityisesti silloin, kun:
NIS2-implementaatio pakottaa dokumentoimaan pääsynhallinnan tavalla, joka kestää viranomaistarkastelun. Jos nykyinen ratkaisu ei tue tätä itsenäisesti, ongelma on rakenteellinen.
Pilvistrategian uudistaminen on luonnollinen hetki arvioida, kenen hallinnassa identiteettitiedot ovat. Kun dataa siirretään uusiin ympäristöihin, identiteettikerros ratkaisee, kuka pääsee käsiksi mihinkin.
Yrityskaupat ja organisaatiomuutokset nostavat riskin konkreettiseksi. Identiteettijärjestelmien integrointi on yhdistymisen kriittisin vaihe. Jos toisen osapuolen identiteetinhallinta on lukittu yhteen ekosysteemiin, yhdistyminen monimutkaistuu merkittävästi.
Julkishallinnon konsolidoinnit tuovat yhteen järjestelmiä, jotka käsittelevät kansalaisten arkaluonteisimpia tietoja. Identiteetinhallinta ratkaisee, kuka pääsee potilastietoihin, sosiaalipalvelujen rekistereihin ja viranomaisdataan.
Toimittajariippuvuuden tunnistaminen on kenties yleisin laukaisija. Jos nykyinen identiteetinhallinta on niputettu osaksi laajempaa lisenssipakettia eikä vaihtaminen ole käytännössä mahdollista, organisaatio on jo menettänyt neuvotteluvaltansa.
Miten valita turvallisesti?
Minkä maan lainsäädännön alainen palveluntarjoaja on? Yhdysvaltalainen yritys, jolla on eurooppalainen tytäryhtiö, on edelleen CLOUD Actin piirissä. Tätä ei muuta palvelimen sijainti, sopimuslauseke eikä markkinointilupaus.
Missä identiteettitiedot sijaitsevat ja kuka hallitsee salausavaimia? Pelkkä data residency ei riitä, jos palveluntarjoajan juridinen kotipaikka on EU:n ulkopuolella.
Perustuuko ratkaisu avoimiin standardeihin? OIDC, SAML ja SCIM varmistavat, ettei organisaatio ole sidottu yhteen toimittajaan. Suljettu ratkaisu tekee vaihtamisesta käytännössä mahdotonta.
Nämä kysymykset eivät korvaa integraatioiden, käytettävyyden ja kustannusten arviointia. Ne edeltävät sitä. Ratkaisu, jota kukaan ei käytä, ei ratkaise mitään. Mutta ratkaisu, joka toimii moitteettomasti ja luovuttaa samalla organisaation kriittisimmän datan vieraan valtion lainsäädännön piiriin, ei ole turvallinen valinta.
Pääsynhallintaratkaisun valinnassa ratkaisevaa on kontrolli: kuka hallitsee identiteettitietoja, missä ne sijaitsevat ja kenen ehdoilla. Trivore tarjoaa tähän eurooppalaisen IAM-ratkaisun, joka perustuu avoimiin standardeihin ja toimii organisaation valitsemassa ympäristössä.