Veli-Pekka Vähälummukka, Trivoren Program Director
Mikä on minimikäyttöoikeuden periaate?
Yksi keskeisimmistä tietoturvaperiaatteista on minimikäyttöoikeuden periaate (principle of least privilege). Ajatus ei ole uusi, mutta sen jalkauttaminen organisaatioiden arkeen vaikuttaisi olevan monilla vielä kesken. Julkishallinnon osalta periaate on nähty niin tärkeäksi, että sen perusajatus on kirjattuna jopa lakiin (Laki julkisen hallinnon tietohallinnasta, 16 §).
Käytännössä periaate tarkoittaa, että oikeuksia myönnetään vain sen verran kuin tehtävien hoitaminen ehdottomasti vaatii – ei enempää, eikä varmuuden vuoksi.
Jos tätä periaatetta ei noudateta, käyttöoikeudet alkavat helposti kasautua. Työntekijä vaihtaa tehtävää, osallistuu projekteihin, hoitaa tuurausta tai saa käyttöönsä uuden järjestelmän, ja samalla oikeuksia myönnetään lisää. Useinkaan niitä ei kuitenkaan poisteta, kun tilanne muuttuu.
Tyypillinen esimerkki tästä on tilanne, jossa uudelle työntekijälle pyydetään ”samat käyttöoikeudet kuin Kallella”, ajattelematta, että Kalle on ollut organisaatiossa vuosia, osallistunut useisiin projekteihin ja hoitanut useita rooleja. Hänen oikeutensa eivät siis enää vastaa yksittäistä tehtävänkuvaa, vaan sisältävät kertyneitä pääsyjä moneen järjestelmään. Kun nämä oikeudet kopioidaan sellaisenaan toiselle henkilölle, annetaan samalla pääsy myös järjestelmiin, joita uusi työntekijä ei tarvitse tai joita hän ei lopulta edes tiedä omistavansa.
Näin syntyy näkymättömiä riskejä: käyttäjät, joilla on laajemmat oikeudet kuin työnkuva edellyttäisi ja järjestelmät, joihin pääsee kiertoteitse.
Minimikäyttöoikeus on keskeinen osa riskienhallintaa
Minimikäyttöoikeuden periaatteen arvo korostuu erityisesti silloin, kun käyttöoikeuksia tarkastellaan riskienhallinnan ja liiketoiminnan jatkuvuuden näkökulmasta. Kun käyttöoikeudet on rajattu työtehtäväkohtaisesti ja niiden myöntämistä sekä poistamista ohjataan systemaattisesti, organisaation altistuminen sisäisille tai ulkoisille uhille vähenee merkittävästi. Tällainen malli ei kuitenkaan ole toteutettavissa manuaalisesti – ei ainakaan skaalautuvasti, eikä ilman huomattavaa hallinnollista kuormaa.
IAM-ratkaisu tukee periaatteen toteuttamista skaalautuvasti
Tässä kohtaa nykyaikainen IAM-ratkaisu tarjoaa käytännön keinot periaatteen toteuttamiseen. Hyvin rakennetussa identiteetin- ja pääsynhallintajärjestelmässä käyttäjän käyttöoikeudet määräytyvät automaattisesti hänen työtehtäviensä, organisaatioroolinsa ja yksikkönsä perusteella. Tämä toimintamalli mahdollistaa sen, että oikeudet pysyvät ajan tasalla koko käyttäjän elinkaaren ajan.
Kun uusi työntekijä aloittaa, hän saa automaattisesti oikeudet juuri niihin järjestelmiin ja tietoihin, joita tehtävänkuva edellyttää. Jos henkilön rooli muuttuu, oikeudet muuttuvat sen mukana. Ja kun työsuhde päättyy, oikeudet poistuvat järjestelmällisesti, ilman tarpeetonta viivettä tai unohtuneita käyttöoikeuksia.
Automaation etuna on myös se, että käyttöoikeuksien myöntämisprosessi ei kuormita IT-hallintoa eikä edellytä manuaalista hyväksyntäketjua jokaisessa muutostilanteessa. Oikeuksien hallinta on läpinäkyvää, valvottavaa ja auditoitavissa, mikä helpottaa niin sisäistä valvontaa kuin ulkoisten sääntelyvaatimusten täyttämistä.
Minimikäyttöoikeus on enemmän kuin turvatoimi
Organisaation näkökulmasta minimikäyttöoikeuden periaate ei ole siis vain tietoturvatoimenpide, vaan hallinnan ja luotettavuuden perusta. Sen myötä syntyy ympäristö, jossa käyttöoikeudet eivät ole jatkuvasti muuttuva kompromissi turvallisuuden ja työn sujuvuuden välillä, vaan ennakoitava, dokumentoitu ja hallittu kokonaisuus.
