Digitaalisessa ympäristössä identiteetinhallinta (IAM) on yksi organisaation tietoturvan ja vaatimustenmukaisuuden keskeisistä osa-alueista. Samalla juridinen suvereniteetti on noussut tärkeäksi tekijäksi pilvipalveluita valittaessa. Pelkkä palvelimen sijainti Suomessa tai EU:ssa ei kuitenkaan automaattisesti takaa täyttä suojaa tai juridista hallintaa.
Mitä juridinen suvereniteetti tarkoittaa käytännössä?
Juridinen suvereniteetti tarkoittaa organisaation mahdollisuutta hallita dataansa ja siihen sovellettavaa lainsäädäntöä mahdollisimman selkeästi. Se liittyy siihen, minkä maiden lait voivat vaikuttaa datan käsittelyyn ja missä oikeudellisessa ympäristössä palvelu toimii.
Juridinen suvereniteetti ei ole absoluuttinen tila, vaan riskienhallintaa. Organisaatiot pyrkivät valitsemaan ratkaisuja, joissa:
- datan käsittely tapahtuu EU:n lainsäädännön piirissä
- palveluntarjoajan omistusrakenne on selkeä
- alihankintaketjut ovat läpinäkyviä
- datan käsittelyyn liittyvät oikeudelliset riskit ovat hallittavissa
Täysi riippumattomuus kolmansien maiden vaikutuksesta ei ole aina mahdollista, mutta riskejä voidaan merkittävästi vähentää tehdyillä valinnoilla.
Tietoturva edellyttää myös oikeudellista hallintaa
Identiteetinhallintajärjestelmät sisältävät usein organisaation kannalta erittäin kriittistä tietoa, kuten:
- käyttäjäidentiteetit
- käyttöoikeudet
- autentikointitiedot
- audit- ja lokitiedot
Näiden tietojen käsittelyyn liittyy sekä tietoturva- että tietosuojariskejä. Siksi myös palveluntarjoajan juridinen toimintaympäristö on tärkeä osa kokonaisuutta.
CLOUD Act ja juridinen toimivalta
Yhdysvaltojen CLOUD Act -lainsäädäntö mahdollistaa tietyissä tilanteissa datan pyytämisen yhdysvaltalaisilta yrityksiltä myös silloin, kun data sijaitsee EU:ssa. Tämä ei tarkoita rajoittamatonta pääsyä dataan, mutta se voi lisätä juridista epävarmuutta joissakin käyttötilanteissa.
Tästä syystä osa organisaatioista suosii ratkaisuja, joissa:
- palveluntarjoaja toimii EU:n lainsäädännön piirissä
- infrastruktuuri sijaitsee EU:ssa
- alihankintaketju on läpinäkyvä
Tällaiset ratkaisut eivät poista kaikkia riskejä, mutta voivat vähentää juridista epävarmuutta.
Ulkomaisiin ratkaisuihin liittyvät riskit
Globaalien palveluntarjoajien käyttö voi tuoda mukanaan myös etuja, mutta samalla organisaatioiden tulee arvioida:
- alihankintaketjut
- juridinen toimivalta
- datan siirrot EU:n ulkopuolelle
- sopimusehtojen muutokset
- toiminnan jatkuvuuteen liittyvät riskit
Nämä ovat osa normaalia riskienhallintaa, eivät automaattisesti este globaalien ratkaisujen käytölle.
Kotimainen tai eurooppalainen IAM-ratkaisu
Kotimainen tai eurooppalainen IAM-ratkaisu voi helpottaa:
- juridisen ympäristön ymmärtämistä
- sopimusten hallintaa
- tietosuojan valvontaa
- yhteistyötä palveluntarjoajan kanssa
Se ei kuitenkaan automaattisesti takaa parempaa tietoturvaa tai GDPR-yhteensopivuutta, vaan nämä riippuvat myös ratkaisun toteutuksesta ja organisaation omista käytännöistä.
GDPR ja identiteetinhallinta
GDPR asettaa vaatimuksia henkilötietojen käsittelylle riippumatta siitä, missä järjestelmä sijaitsee. Identiteetinhallinta auttaa organisaatioita:
- hallitsemaan käyttöoikeuksia
- toteuttamaan minimointiperiaatetta
- seuraamaan käyttöä
- toteuttamaan käyttäjien oikeuksia
Kotimainen tai EU-pohjainen ratkaisu voi helpottaa näiden velvoitteiden toteuttamista, mutta vastuu säilyy aina rekisterinpitäjällä.
NIS2 ja suvereniteetti
NIS2-direktiivi ei suoraan edellytä suvereenien ratkaisujen käyttöä. Sen sijaan se korostaa:
- riskienhallintaa
- toimitusketjun turvallisuutta
- toiminnan jatkuvuutta
- kyberturvallisuuden hallintaa
Juridinen suvereniteetti voi olla yksi keino näiden vaatimusten täyttämisessä, mutta ei suora velvoite.
Arvioi IAM-ratkaisusi kokonaisuus
Organisaatioiden kannattaa arvioida IAM-ratkaisuaan kokonaisuutena:
- missä data sijaitsee
- kuka omistaa infrastruktuurin
- mitkä lait voivat vaikuttaa dataan
- miten alihankintaketju on rakennettu
- miten jatkuvuus on varmistettu
Juridinen suvereniteetti on yksi osa tätä kokonaisuutta, mutta tärkeintä on hallittu ja läpinäkyvä kokonaisarkkitehtuuri.