Moni organisaatio ajattelee identiteetinhallinnan suurimpien riskien liittyvän heikkoihin salasanoihin, tietojenkalasteluun tai puutteelliseen monivaiheiseen tunnistautumiseen.
Todellisuudessa yksi yleisimmistä ongelmista löytyy paljon lähempää: käyttöoikeuksista. Tai tarkemmin sanottuna siitä, että käyttöoikeuksia myönnetään vuosien aikana enemmän kuin niitä koskaan poistetaan.
Ongelma rakentuu hitaasti:
- Yksi tilapäinen käyttöoikeus.
- Yksi projektia varten myönnetty pääsy.
- Yksi roolimuutos, jonka yhteydessä vanhat oikeudet jäivät voimaan.
Vuosien aikana nämä pienet päätökset voivat kasvattaa organisaation hyökkäyspintaa merkittävästi.
Miksi käyttöoikeudet muodostavat riskin?
Useimmissa organisaatioissa uusien oikeuksien myöntäminen on helppoa. Työ täytyy saada tehtyä, projekti käyntiin tai järjestelmä käyttöön.
Sen sijaan oikeuksien poistaminen jää usein vähemmälle huomiolle. Tämän seurauksena käyttäjille kertyy ajan myötä pääsyjä järjestelmiin, joita he eivät enää tarvitse. Kyseessä on ilmiö, jota kutsutaan käyttöoikeuksien paisumiseksi (privilege creep).
Se ei synny yhdessä päivässä, mutta voi vuosien aikana johtaa tilanteeseen, jossa yksittäisellä käyttäjällä on huomattavasti laajemmat oikeudet kuin hänen tehtävänsä edellyttävät.
Miksi tämä on tietoturvaongelma?
Tietoturvassa ei ole ratkaisevaa se, että tunnus vaarantuu, vaan se, kuinka paljon vahinkoa yhdellä tunnuksella voidaan tehdä. Tätä kutsutaan usein blast radius -ajatteluksi.
Jos hyökkääjä saa haltuunsa tunnuksen, jolla on pääsy useisiin järjestelmiin, vaikutukset voivat ulottua huomattavasti alkuperäistä kohdetta laajemmalle.
Hyvin hallitussa ympäristössä yhden tunnuksen vaikutusalue on rajattu. Huonosti hallitussa ympäristössä sama tunnus voi toimia porttina koko organisaatioon.
Entäs, kun työsuhde päättyy?
Yksi yleisimmistä käyttöoikeuksien hallinnan ongelmista liittyy käyttäjätunnusten elinkaareen. Kun työntekijä poistuu organisaatiosta, myös käyttöoikeuksien pitäisi poistua.
Jos prosessi perustuu sähköposteihin, tiketteihin tai manuaalisiin tarkistuslistoihin, virheiden mahdollisuus kasvaa. Tällöin ympäristöön voi jäädä tunnuksia, joille ei enää ole liiketoiminnallista tarvetta.
Mitä pidempään tällaiset tunnukset säilyvät aktiivisina, sitä enemmän ne kasvattavat organisaation hyökkäyspintaa.
Miksi ongelma pahenee organisaation kasvaessa?
Pienessä organisaatiossa käyttöoikeuksia voidaan vielä hallita melko hyvin manuaalisesti, mutta kasvun myötä tilanne muuttuu nopeasti:
- Tunnuksia syntyy lisää.
- Järjestelmiä tulee lisää.
- Roolit muuttuvat.
- Kumppaneita liittyy mukaan.
- Pilvipalveluiden määrä kasvaa.
- Samalla näkyvyys käyttöoikeuksiin heikkenee.
Lopulta kukaan ei enää pysty vastaamaan varmasti kysymykseen: ”Kenellä on pääsy mihinkin?”
Miten automaatio auttaa?
Automaatio ei ole pelkästään tehokkuustyökalu. Se on myös riskienhallintatyökalu. Kun käyttöoikeudet sidotaan käyttäjän rooliin ja identiteetin elinkaareen, voidaan:
- myöntää oikeudet automaattisesti
- päivittää ne roolimuutosten yhteydessä
- poistaa ne työsuhteen päättyessä
- vähentää manuaalisia virheitä
Samalla IT-tiimin aikaa vapautuu rutiinitöistä liiketoiminnan tukemiseen.
Mikä on Zero Trustin rooli?
Zero Trust perustuu ajatukseen, ettei käyttöoikeuksia myönnetä laajemmin kuin on tarpeen. Tämän vuoksi identiteetinhallinta on yksi Zero Trust -mallin tärkeimmistä rakennuspalikoista.
Käytännössä tämä tarkoittaa:
- vahvaa tunnistautumista
- vähimmäisoikeuksien periaatetta
- jatkuvaa käyttöoikeuksien arviointia
- näkyvyyttä identiteetteihin ja pääsyoikeuksiin
Ilman hallittuja identiteettejä Zero Trust jää helposti teoriaksi.
Milloin identiteetinhallinta kannattaa arvioida uudelleen?
Arviointi kannattaa tehdä erityisesti silloin, kun:
- käyttöoikeuksia hallitaan manuaalisesti
- auditoinneissa löytyy poikkeamia
- organisaatio kasvaa nopeasti
- uusia järjestelmiä otetaan käyttöön jatkuvasti
- käyttöoikeuksien kokonaiskuvaa ei ole saatavilla
- IT käyttää paljon aikaa käyttöoikeuspyyntöihin
Nämä ovat usein merkkejä siitä, että identiteettien elinkaarta ei hallita riittävän systemaattisesti.
Suurin virhe ei ole tekninen
Identiteetinhallinnan suurin virhe ei yleensä ole yksittäinen tekninen puute. Se on ajatus siitä, että käyttöoikeuksia voidaan hallita kertaluonteisena projektina.
Todellisuudessa identiteetit muuttuvat jatkuvasti. Ihmiset vaihtavat rooleja, järjestelmät kehittyvät ja organisaatiot kasvavat. Siksi identiteetinhallinta ei ole projekti vaan jatkuva prosessi.
Organisaatiot, jotka hallitsevat identiteettien koko elinkaaren systemaattisesti, pienentävät hyökkäyspintaansa, helpottavat auditointeja ja rakentavat vahvemman perustan koko tietoturvalle.