Kirjoittaja: Mika Aromaa, toimitusjohtaja, Trivore
Miten identiteettiympäristöt pirstaloituvat
Yksikään organisaatio ei suunnittele rakentavansa pirstaloitunutta identiteettiympäristöä, mutta usein se syntyy kuin itsestään yksi järkevä päätös kerrallaan.
Vuonna 2015 hankittiin SSO-ratkaisu, koska käyttäjät hukkuivat salasanoihin. Vuonna 2018 lisättiin provisiointityökalu, koska uuden työntekijän käyttöönotto kesti kaksi viikkoa. Vuonna 2020 asiakasportaali tarvitsi oman identiteetinhallinnan, joten CIAM-toimittaja tuli mukaan. Vuoteen 2022 mennessä auditoijat vaativat käyttöoikeuskatselmuksia, ja hallintaratkaisu liittyi pinoon.
Jokainen hankinta oli perusteltu erikseen ja jokainen oli oikea vastaus silloiseen ongelmaan. Kukaan ei suunnitellut viittä toimittajaa, viittä tietovarastoa ja viittä hallintakonsolia. Mutta juuri niin useimmat pohjoismaiset keskisuuret ja suuret organisaatiot toimivat tänään.
Lopputulos on ennustettava. Identiteettidata on hajallaan järjestelmissä, joita ei koskaan suunniteltu toimimaan yhdessä. Käytännöt on määritelty eri paikoissa, niitä valvotaan eri tavoin ja katselmoidaan erikseen. Järjestelmien välissä on integraatiokerros, jonka joku rakensi vuosia sitten, jota kukaan ei täysin ymmärrä ja joka hajoaa aina kun joku toimittaja julkaisee ison päivityksen.
Tämä ei ole teknologian epäonnistuminen, vaan luonnollinen seuraus siitä, että parhaita yksittäisratkaisuja ostettiin markkinoilla, jotka keksivät jatkuvasti uusia tuotekategorioita. SSO, provisiointi, hallinta, CIAM ja privileged access management kasvoivat kukin omaksi kategoriakseen omine budjetteineen. Markkina opetti ostajat ajattelemaan yksittäisratkaisuina.
Ongelma on siinä, että identiteetti ei ole kokoelma erillisiä ongelmia. Se on jatkuva elinkaari, joka alkaa henkilön ensimmäisestä kontaktista organisaatioon ja päättyy vasta kun viimeinenkin käyttöoikeus on poistettu. Kun tämä elinkaari pirstotaan viiden tuotteen kesken, syntyy kustannuksia, joita useimmat organisaatiot eivät ole koskaan kunnolla mitanneet.
Kustannukset, jotka eivät näy lisenssilaskuissa
Lisenssimaksut ovat näkyviä. Ne tulevat neljännesvuosittain, näkyvät budjetissa ja hankinta seuraa niitä. Mutta pirstaloituneessa identiteettiympäristössä lisenssimaksut ovat usein pienin kustannuserä. Todellinen hinta piiloutuu operatiiviseen työhön, riskeihin ja menetettyyn aikaan.
Integraatioiden ylläpito on pysyvä vero. Jokainen kahden identiteettityökalun välinen yhteys vaatii jatkuvaa huolenpitoa. Kun SSO-toimittaja muuttaa token-muotoaan, provisiointityökalun liitin hajoaa. Kun CIAM-toimittaja päivittää rajapintansa, hallintaratkaisu menettää näkyvyyden asiakasidentiteetteihin. Viidellä työkalulla ei ole yksinkertaista integraatioketjua vaan matriisi. Jokainen solmu siinä matriisissa on potentiaalinen vikapiste, jota jonkun tiimissä pitää valvoa, testata ja korjata jokaisen toimittajapäivityksen jälkeen.
Auditointipolussa on aukkoja, joita ei voi paikata. NIS2:n ja pohjoismaisen sääntelyn suunnan mukaisesti organisaatioiden on osoitettava, kenellä oli pääsy mihinkin, milloin se myönnettiin ja milloin se poistettiin. Pirstaloituneessa ympäristössä pääsy saatetaan myöntää yhdessä järjestelmässä, katselmoida toisessa ja poistaa kolmannessa. Yksittäisen identiteetin täydellisen elinkaaren rekonstruointi auditoijalle muuttuu salapoliisityöksi, joka vie tunteja minuuttien sijaan. Joitain aukkoja ei voi rekonstruoida lainkaan, koska järjestelmillä ei yksinkertaisesti ole yhteistä aikajatkumoa tai tunnistetta.
Käytännöt eivät voi ulottua erillisten alustojen yli. MFA-vaatimukset määritellään SSO-työkalussa, mutta CIAM-alusta noudattaa eri autentikointistandardeja. Hallintaratkaisun tehtävien eriyttämissäännöt eivät näe provisiointijärjestelmän hallinnoimia oikeuksia. Tuloksena on käytäntöjen pirstaloituminen: uskot, että sinulla on standardi, mutta toimeenpano vaihtelee sen mukaan, mikä työkalu hoitaa mitäkin elinkaaren vaihetta.
Toimittajahallinta moninkertaistuu huomaamatta. Viisi sopimusta tarkoittaa viittä uusimissykliä, viittä tukisuhdetta, viittä seurattavaa tuotetiekarttaa ja viisiä neuvoteltavia ehtoja. Jokainen toimittajasuhde vaatii jonkun aikaa ja huomiota. Toimittajahallinnan yksinkertaistaminen on yksi identiteetti-infrastruktuurin aliarvostetuimmista säästökohteista.
Poikkeamiin reagointi hidastuu dramaattisesti. Tietoturvapoikkeamassa ensimmäinen kysymys on aina: ”Mihin kaikkeen tällä identiteetillä oli pääsy kaikissa järjestelmissämme?” Pirstaloituneessa ympäristössä vastauksen saaminen tarkoittaa viiden erillisen tietokannan kyselyä, tulosten manuaalista yhdistämistä ja toivomista, että aikaleimat täsmäävät. Aktiivisen tietomurron aikana nuo minuutit ratkaisevat.
Osaaminen ja avainhenkilöriski keskittyvät vaarallisesti. Jokainen pinon työkalu vaatii oman osaamisensa. Ajan myötä tieto keskittyy yhteen tai kahteen henkilöön työkalua kohden. Kun provisiointiasiantuntija lähtee, provisiointi hajoaa. Kun hallinta-admin on lomalla, käyttöoikeuskatselmukset pysähtyvät. Tämä ei ole hypoteettista. Se on pirstaloituneiden identiteettiympäristöjen yleisin operatiivinen vikamuoto.
Forresterin vuonna 2023 tekemä tutkimus vastaavista identiteettialustojen konsolidoinneista osoitti, että yksittäisratkaisuista yhtenäiselle alustalle siirtyneet organisaatiot välttivät 400–1 200 euroa työntekijää kohden vuodessa manuaalisen hallinnan kustannuksia. Luku kattaa integraatioiden ylläpidon, manuaalisten JML-prosessien pyörittämisen, sähköpostitse reititettyjen käyttöoikeuspyyntöjen käsittelyn ja taulukkolaskentapohjaisten katselmointien tekemisen. 2 000 hengen organisaatiolle vuotuinen hukka on 800 000–2,4 miljoonaa euroa. Suurin osa siitä on näkymätöntä, koska se jakautuu kymmenille ihmisille, jotka käyttävät osan ajastaan tehtäviin, jotka yhtenäinen alusta poistaisi.
Mitä konsolidointi käytännössä tarkoittaa
Konsolidointi ei tarkoita kaiken purkamista ja alusta aloittamista. Se tarkoittaa selkeän arkkitehtuurin luomista, jossa identiteetillä on yksi totuuden lähde viiden kilpailevan sijaan.
Tavoitearkkitehtuuri on suoraviivainen. Yksi identiteettivarasto sisältää auktoritatiivisen tietueen jokaisesta henkilöstä: työntekijöistä, konsulteista, kumppaneista ja asiakkaista. Autentikointi, elinkaaren hallinta, hallintamalli ja provisiointi toimivat yhdellä käytäntömoottorilla yhteistä tietovarastoa vasten. Yksi auditointipolku kattaa koko elinkaaren ensimmäisestä pääsystä lopulliseen käytöstä poistoon.
Tämä ei tarkoita, että työvoiman ja asiakkaiden identiteetit noudattaisivat samoja sääntöjä. Ne jakavat infrastruktuurin mutta niillä on erilliset käytännöt, erilliset riskiprofiilit ja erilliset käyttäjäkokemukset. Oleellista on, että molemmat ovat nähtävissä samasta konsolista, hallinnoidaan samalla moottorilla ja kirjataan samaan auditointipolkuun.
Integraatiomalli muuttuu verkosta hub-and-spoke-rakenteeksi. Identiteettialusta on keskiö. HR-järjestelmät, Microsoft-ympäristöt, SaaS-sovellukset, on-premise-hakemistot ja liiketoimintasovellukset ovat puolia. Jokaisella puolalla on yksi ylläpidettävä integraatiopiste viiden sijaan.
Tässä syntyy yleinen väärinkäsitys. Konsolidointi ei tarkoita Microsoft-ympäristön tai HR-järjestelmän korvaamista. Niistä tulee puolia. Active Directory, Entra ID, SAP HR tai mikä tahansa käytössä oleva järjestelmä jatkaa toimintaansa. Muutos on siinä, että identiteettialusta on auktoritatiivinen lähde käytännöille, elinkaarelle ja auditoinnille, ja alavirtajärjestelmät vastaanottavat ja toteuttavat sen sijaan, että päättäisivät itsenäisesti.
Muutoksen taloudellinen vaikutus on mitattavissa. Sama Forrester-tutkimus osoitti 12–18 kuukauden takaisinmaksuaikoja ja 150–280 prosentin kolmen vuoden ROI:n konsolidoineille organisaatioille. Pohjoismaisten markkinoiden analyysi viittaa siihen, että yhtenäinen alusta-arkkitehtuuri voi laskea kolmen vuoden kokonaiskustannusta 30–40 prosenttia verrattuna vastaavan kyvykkyyden kokoamiseen erillisiltä toimittajilta.
Trivoren alusta on rakennettu juuri tämän arkkitehtuurin ympärille: yksi identiteettiydin, joka kattaa sekä työvoiman että asiakkaiden käyttötapaukset, ja jonka päälle hallintamalli ja provisiointi on kerrostettu sen sijaan, että ne olisi pultattu ulkopuolelta kiinni. Mutta riippumatta siitä, mitä toimittajaa arvioit, arkkitehtuuriperiaate pätee. Vähemmän liikkuvia osia tarkoittaa matalampia kustannuksia, nopeampaa reagointia ja selkeämpää vaatimustenmukaisuutta.
Milloin toimia
Kolme tilannetta luo luonnolliset ikkunat konsolidoinnille:
Sopimusten uusiminen. Kun olemassa oleva identiteettityökalu tulee uusittavaksi, on se oikea hetki kysyä, pitäisikö se uusia, korvata vai absorboida laajempaan alustaan. Uusiminen ilman vaihtoehtojen arviointia lukitsee pirstaloitumisen seuraavaksi sopimuskaudeksi.
Sääntelyaikataulut. NIS2-vaatimustenmukaisuuden aikataulut ovat todellisia. Eurooppalaisen digitaalisen identiteettilompakon viitekehys lähestyy. Molemmat edellyttävät kyvykkyyksiä, joita pirstaloituneet ympäristöt tuottavat huonosti: täydellisiä auditointipolkuja, yhdenmukaista käytäntöjen toimeenpanoa ja nopeaa poikkeamiin reagointia. Viimeiseen hetkeen odottaminen tarkoittaa toteutusta paineen alla, mikä on kallista ja riskialtista.
Organisaatiomuutokset. Yrityskaupat ja uudelleenjärjestelyt ovat huonoin hetki havaita identiteetin pirstaloituminen ja ikävä kyllä myös se yleisin hetki, jolloin tilanne tulee näkyväksi. Kun kaksi organisaatiota yhdistyy, niiden identiteettiympäristöt törmäävät. Jos molemmat ovat jo pirstaloituneita, integraatiohaaste moninkertaistuu. Organisaatiot, jotka yhtenäistävät identiteettiympäristönsä jo ennen yrityskauppoja tai muita yritysjärjestelyjä, pystyvät etenemään nopeammin ja pienemmin kustannuksin silloin, kun muutosten toteuttaminen tulee ajankohtaiseksi.
Odottamisen hinta ei ole nolla. Jokainen kuluva vuosi lisää integraatiovelkaa: lisää räätälöityjä liittimiä, lisää kiertoteitä, lisää hiljaista tietoa lähtevien työntekijöiden mukana. Mitä pidempään pirstaloituminen jatkuu, sitä kalliimmaksi konsolidointi tulee.
Kolme kysymystä seuraavaan identiteettihallinnan katselmointiin
Ennen seuraavaa uusimispäätöstä tai budjettivaihetta, esitä identiteettitiimillesi nämä kysymykset:
- Pystytkö tuottamaan minkä tahansa identiteetin täydellisen pääsyhistorian kaikista järjestelmistä alle tunnissa?
- Jakavatko asiakkuuksien identiteetinhallinta ja työvoiman käyttöoikeushallinta yhteisen auditointipolun?
- Jos yksi identiteetinhallintatoimittajistasi lopettaisi toimintansa huomenna, kuinka kauan korvaamiseen kuluisi ja mikä menisi rikki sillä välin?
Jos vastaukset tuntuvat epämukavilta, keskustelu konsolidoinnista on jo myöhässä. Aloita se ennen kuin seuraava uusimisikkuna sulkeutuu.