Identiteetin- ja pääsynhallinta (IAM) on yksi organisaation kriittisimmistä tietoturvajärjestelmistä. Se määrittää, kuka pääsee käsiksi järjestelmiin, tietoihin ja palveluihin sekä millä oikeuksilla. Siksi IAM-ratkaisua valittaessa ei kannata tarkastella pelkästään ominaisuuksia, käyttökokemusta tai hintaa. Myös identiteettidatan sijainnilla on merkitystä.
Datan sijainti vaikuttaa tietoturvaan, vaatimustenmukaisuuteen, riskienhallintaan ja siihen, minkä lainsäädännön piirissä tietoja käsitellään. Erityisesti julkishallinnossa, kriittisessä infrastruktuurissa sekä muilla säädellyillä toimialoilla identiteettidatan sijainti voi muodostua keskeiseksi valintakriteeriksi.
Mitä identiteettidatan sijainnilla tarkoitetaan?
Identiteettidatan sijainnilla tarkoitetaan sitä, missä käyttäjätietoja, tunnistautumistapahtumia, käyttöoikeustietoja ja lokitietoja säilytetään ja käsitellään.
IAM-järjestelmissä tällaisia tietoja voivat olla esimerkiksi:
- käyttäjätilit
- käyttöoikeudet ja roolit
- kirjautumis- ja auditointilokit
- tunnistautumistiedot
- järjestelmien väliset identiteettisuhteet
Datan fyysinen sijainti on yksi osa kokonaisuutta, mutta yhtä tärkeää on ymmärtää, minkä lainsäädännön piirissä palveluntarjoaja toimii ja kuka käytännössä hallitsee järjestelmää sekä sen infrastruktuuria.
Miten datan sijainti vaikuttaa IAM-ratkaisun turvallisuuteen?
Identiteettidata on organisaation näkökulmasta erityisen arvokasta. Jos hyökkääjä pääsee käsiksi identiteetteihin tai käyttöoikeuksiin, seuraukset voivat ulottua yksittäistä järjestelmää laajemmalle koko toimintaympäristöön.
Datan sijainti vaikuttaa turvallisuuteen usealla tavalla:
Sovellettava lainsäädäntö
Datan sijainti vaikuttaa siihen, minkä maiden lainsäädäntöä tietojen käsittelyyn sovelletaan. Lisäksi myös palveluntarjoajan kotipaikka, konsernirakenne ja mahdolliset alihankkijat voivat vaikuttaa siihen, millaisia oikeuksia viranomaisilla tai muilla toimijoilla on tietoihin.
Organisaation näkökulmasta on tärkeää ymmärtää paitsi missä data sijaitsee, myös kuka sitä hallitsee.
Vaatimustenmukaisuus
Monilla toimialoilla henkilötietojen, asiakastietojen ja muiden arkaluonteisten tietojen käsittelyyn liittyy erityisiä vaatimuksia.
Esimerkiksi GDPR asettaa vaatimuksia henkilötietojen käsittelylle ja rajoittaa tietojen siirtämistä EU ja ETA-alueen ulkopuolelle ilman asianmukaisia suojatoimia. Lisäksi tietyissä viranomaistoiminnoissa ja turvallisuusluokitelluissa ympäristöissä voidaan asettaa vaatimuksia käsittely-ympäristölle, palveluntarjoajalle ja toimitusketjulle.
Riskienhallinta
Kun identiteettidata sijaitsee tunnetussa ja hallitussa ympäristössä, organisaation on helpompi arvioida siihen liittyviä riskejä, toteuttaa auditointeja ja varmistaa vaatimustenmukaisuus.
Tämä korostuu erityisesti tilanteissa, joissa identiteettijärjestelmä toimii useiden kriittisten järjestelmien keskitettynä luottamuspisteenä.
Datan sijainti ei yksin ratkaise kaikkea
Datan sijainnista puhuttaessa keskustelu keskittyy usein siihen, sijaitsevatko palvelimet Suomessa vai ulkomailla. Todellisuudessa kysymys on laajempi.
Organisaation kannattaa tarkastella myös:
- kuka omistaa palvelun
- missä ohjelmistoa kehitetään
- kuka vastaa ylläpidosta
- missä salausavaimia hallitaan
- minkä maiden lainsäädäntö voi ulottua palveluun
- mitä alihankkijoita palveluketjussa käytetään
Toisin sanoen kyse ei ole pelkästä datan sijainnista vaan digitaalisesta suvereniteetista.
Palvelin voi sijaita Suomessa tai EU, mutta jos palvelu on vahvasti riippuvainen ulkomaisesta toimittajasta tai sen infrastruktuurista, organisaation hallinta- ja riskiprofiili voi olla hyvin erilainen kuin aidosti kotimaisessa ratkaisussa.
Voiko ulkomainen IAM-ratkaisu olla luotettava?
Kyllä voi.
Luotettavuus ei synny automaattisesti siitä, että palvelu on kotimainen tai että data sijaitsee Suomessa. Myös kansainväliset toimijat voivat tarjota korkeatasoista tietoturvaa, sertifiointeja ja vaatimustenmukaisuutta.
Organisaation kannattaa kuitenkin arvioida esimerkiksi:
- tietojen siirtomekanismit
- GDPR-vaatimusten toteutuminen
- palveluntarjoajan toimitusketju
- viranomaispyyntöjen käsittely
- palvelun jatkuvuus ja poistumisstrategia
Mitä monimutkaisempi palvelu- ja toimittajaketju on, sitä enemmän myös arvioitavia riskejä yleensä syntyy.
Mitä IAM-toimittajalta kannattaa kysyä?
IAM-ratkaisua hankittaessa kannattaa selvittää vähintään seuraavat asiat:
- Missä identiteettidata sijaitsee?
- Pyydä palveluntarjoajaa kertomaan tarkasti, missä käyttäjä- ja lokitietoja käsitellään ja säilytetään.
- Minkä lainsäädännön piirissä palvelu toimii?
- Selvitä palveluntarjoajan kotipaikka, omistusrakenne sekä mahdolliset ulkomaiset alihankkijat.
- Miten tietoturva on osoitettu?
- Pyydä nähtäväksi esimerkiksi:
- ISO 27001 -sertifioinnit
- auditointiraportit
- tietoturvapolitiikat
- jatkuvuussuunnitelmat
- Pyydä nähtäväksi esimerkiksi:
- Miten data palautetaan sopimuksen päättyessä?
- Poistumisstrategia kannattaa määritellä jo hankintavaiheessa. Organisaation tulee tietää, miten tiedot palautetaan ja miten niiden poistaminen voidaan todentaa.
Milloin datan sijainti on kriittinen vaatimus?
Datan sijainnin merkitys korostuu erityisesti silloin, kun organisaatio:
- käsittelee arkaluonteisia henkilötietoja
- toimii julkishallinnossa
- kuuluu kriittisen infrastruktuurin toimijoihin
- toimii terveydenhuollossa tai finanssialalla
- käsittelee turvallisuusluokiteltua tietoa
Näissä ympäristöissä identiteettidatan sijainti on usein osa laajempaa tietoturvan, riskienhallinnan ja vaatimustenmukaisuuden kokonaisuutta.
Yhteenveto
IAM-järjestelmä hallitsee organisaation tärkeintä turvallisuusresurssia: identiteettiä. Siksi myös identiteettidatan sijaintiin kannattaa kiinnittää huomiota.
Pelkkä palvelimen sijainti ei kuitenkaan kerro koko totuutta. Organisaation on ymmärrettävä myös, kuka palvelua hallitsee, minkä lainsäädännön piirissä se toimii ja kuinka hyvin ratkaisu tukee digitaalista suvereniteettia sekä vaatimustenmukaisuutta.
Trivore rakentaa identiteetin- ja pääsynhallintaratkaisuja Suomessa suomalaisella osaamisella. Kaikki kehitys tehdään kotimaassa, ja asiakkaat tietävät tarkasti, missä heidän kriittisiä identiteettitietojaan käsitellään. Tämä tarjoaa erityistä arvoa organisaatioille, joille turvallisuus, hallittavuus ja digitaalinen suvereniteetti ovat strategisesti tärkeitä.