Identiteetinhallinta ja käyttöoikeuksien hallinta ovat kaksi erillistä, mutta toisiaan täydentävää käsitettä. Identiteetinhallinta keskittyy siihen, kuka käyttäjä on, kun taas käyttöoikeuksien hallinta määrittää, mitä hän saa tehdä. Molemmat ovat välttämättömiä osia toimivassa tietoturvastrategiassa, ja yhdessä ne muodostavat identiteetti- ja pääsynhallinnan eli IAM:n perustan. Tässä artikkelissa käymme läpi, mitä kukin käsite kattaa, missä ne eroavat toisistaan ja miksi organisaatiot tarvitsevat molempia.
Mitä identiteetinhallinta kattaa käytännössä?
Identiteetinhallinta on prosessi, jolla organisaatio luo, ylläpitää ja poistaa digitaalisia identiteettejä. Se kattaa kaiken siitä, milloin uusi työntekijä saa käyttäjätunnuksen, siihen hetkeen, kun tunnukset poistetaan työsuhteen päättyessä. Identiteetinhallinta vastaa kysymykseen: kuka tämä henkilö on järjestelmässämme?
Käytännössä identiteetinhallinta tarkoittaa muun muassa seuraavia toimintoja:
- Käyttäjätilien luominen ja poistaminen automaattisesti henkilöstömuutosten yhteydessä
- Käyttäjätietojen ylläpito, kuten nimet, roolit, osastot ja yhteystiedot
- Identiteettien synkronointi eri järjestelmien välillä
- Vahvan tunnistautumisen varmistaminen, kuten monivaiheinen tunnistautuminen
- Identiteettien elinkaaren hallinta koko työsuhteen ajan
Identiteetinhallinta on siis pohjatyö, jonka päälle kaikki muu rakentuu. Ilman luotettavaa tietoa siitä, kuka käyttäjä on, ei voida tehdä järkeviä päätöksiä siitä, mihin hänellä pitäisi olla pääsy.
Mitä käyttöoikeuksien hallinta tarkoittaa organisaatiossa?
Käyttöoikeuksien hallinta on prosessi, jolla organisaatio määrittää ja valvoo, mitä resursseja, järjestelmiä ja tietoja kukin käyttäjä saa käyttää. Se vastaa kysymykseen: mitä tämä henkilö saa tehdä? Käyttöoikeuksien hallinta varmistaa, että oikeat ihmiset pääsevät oikeisiin tietoihin oikeaan aikaan, eikä kukaan pääse käsiksi asioihin, jotka eivät kuulu hänelle.
Käyttöoikeuksien hallintaan kuuluu tyypillisesti:
- Roolipohjainen pääsynhallinta, jossa oikeudet määräytyvät tehtävänimikkeen tai roolin mukaan
- Pääsyoikeuksien myöntäminen, muuttaminen ja peruuttaminen
- Pääsyoikeuksien säännöllinen katselmointi ja auditointi
- Vähimmän oikeuden periaatteen toteuttaminen, eli käyttäjälle annetaan vain ne oikeudet, joita hän työssään tarvitsee
- Hätäkäyttöoikeuksien hallinta ja valvonta
Käyttöoikeuksien hallinta on erityisen kriittistä organisaatioissa, joissa käsitellään arkaluonteista tietoa tai joissa sääntelyvaatimukset, kuten GDPR tai NIS2, edellyttävät tarkkaa dokumentaatiota siitä, kenellä on pääsy mihinkin.
Missä identiteetinhallinta ja käyttöoikeuksien hallinta eroavat toisistaan?
Tärkein ero on se, että identiteetinhallinta käsittelee henkilöllisyyttä ja käyttöoikeuksien hallinta käsittelee lupia. Identiteetinhallinta sanoo ”tämä on Maria, hän on kirjanpitäjä osastolla X”, kun taas käyttöoikeuksien hallinta sanoo ”Maria saa lukea taloushallinnon raportit, mutta ei muokata palkkatietoja”.
Käytännön erot voidaan tiivistää näin:
- Identiteetinhallinta vastaa kysymykseen kuka ja hallinnoi henkilön tietoja sekä elinkaarta järjestelmässä
- Käyttöoikeuksien hallinta vastaa kysymykseen mitä ja määrittää, mihin resursseihin pääsy sallitaan tai estetään
- Identiteetinhallinta on tyypillisesti HR-prosesseihin kytkeytyvä toiminto, kun taas käyttöoikeuksien hallinta liittyy läheisemmin IT-turvallisuuteen ja järjestelmähallintaan
- Identiteetti on pysyvämpi käsite, oikeudet puolestaan muuttuvat roolin ja tilanteen mukaan jatkuvasti
Vaikka käsitteet ovat erillisiä, ne ovat käytännössä tiukasti sidoksissa toisiinsa. Käyttöoikeuksien hallinta ei toimi kunnolla, jos identiteettitiedot ovat puutteelliset tai virheelliset.
Miksi organisaatiot tarvitsevat molempia — eikä vain toista?
Organisaatio tarvitsee sekä identiteetinhallinnan että käyttöoikeuksien hallinnan, koska kumpikaan ei yksin riitä turvallisen ja toimivan ympäristön rakentamiseen. Pelkkä identiteetinhallinta ilman käyttöoikeuksien hallintaa tarkoittaa, että tiedetään, kuka käyttäjä on, mutta ei rajoiteta, mihin hänellä on pääsy. Pelkkä käyttöoikeuksien hallinta ilman identiteetinhallintaa taas johtaa tilanteeseen, jossa oikeuksia myönnetään epäluotettavien tai vanhentuneiden tietojen pohjalta.
Konkreettinen esimerkki: kun työntekijä vaihtaa osastoa, identiteetinhallinnan pitää päivittää hänen roolinsa ja tietonsa. Käyttöoikeuksien hallinnan pitää sen jälkeen automaattisesti poistaa vanhan osaston oikeudet ja myöntää uuden osaston vaatimat oikeudet. Jos nämä prosessit eivät toimi yhdessä, syntyy niin sanottuja ”oikeuksien kertymiä”, joissa henkilöllä on vuosien mittaan kertynyt oikeuksia, joita hän ei enää tarvitse. Tämä on yksi yleisimmistä tietoturva-aukoista organisaatioissa.
Yhdessä identiteetinhallinta ja käyttöoikeuksien hallinta varmistavat, että tietoturvapolitiikka toteutuu käytännössä, ei vain paperilla.
Miten IAM yhdistää identiteetin- ja käyttöoikeuksienhallinnan?
IAM eli identiteetti- ja pääsynhallinta on kokonaisvaltainen lähestymistapa, joka yhdistää identiteetinhallinnan ja käyttöoikeuksien hallinnan yhdeksi integroiduksi kokonaisuudeksi. IAM-ratkaisu tarjoaa yhden alustan, jolla hallitaan sekä sitä, kuka käyttäjä on, että sitä, mihin hänellä on pääsy. Tämä mahdollistaa prosessien automatisoinnin, paremman näkyvyyden ja vahvemman tietoturvan.
Hyvä IAM-ratkaisu tuo organisaatiolle muun muassa seuraavia hyötyjä:
- Automaattiset työnkulut käyttäjien elinkaaren hallintaan alusta loppuun
- Reaaliaikainen näkyvyys siihen, kenellä on pääsy mihinkin
- Yhteensopivuus eri järjestelmien ja sovellusten kanssa standardiprotokollien, kuten OpenID Connect, avulla
- Tuki Zero Trust -arkkitehtuurille, jossa jokainen pääsypyyntö tarkistetaan erikseen
- Auditointiloki, joka helpottaa sääntelyvaatimusten täyttämistä
Me Trivorella olemme rakentaneet IAM-ratkaisuja vaativille organisaatioille yli 20 vuoden ajan. Identity Fabric -ajattelutapa, jossa vanhat ja uudet järjestelmät tuodaan saumattomasti yhteen, on meille tuttu käytännön työn kautta. Trivore eIAM yhdistää identiteetinhallinnan ja käyttöoikeuksien hallinnan yhdeksi kokonaisuudeksi, joka tukee myös vaativimpia turvallisuusvaatimuksia.
Milloin organisaation kannattaa investoida IAM-ratkaisuun?
Organisaation kannattaa investoida IAM-ratkaisuun silloin, kun manuaaliset prosessit alkavat hidastaa toimintaa, tietoturvariskit kasvavat tai sääntelyvaatimukset edellyttävät parempaa pääsynhallintaa. Käytännössä useimmat organisaatiot kohtaavat tarpeen, kun henkilöstömäärä kasvaa, järjestelmien määrä lisääntyy tai tietoturvapoikkeama pakottaa arvioimaan olemassa olevat käytännöt uudelleen.
Selkeitä merkkejä siitä, että on aika harkita IAM-ratkaisua:
- IT-tiimi käyttää merkittävän osan ajastaan käyttäjätunnusten ja oikeuksien manuaaliseen hallintaan
- Lähteneiden työntekijöiden tunnuksia jää aktiivisiksi järjestelmiin
- Organisaatiolla ei ole selkeää kokonaiskuvaa siitä, kenellä on pääsy mihinkin
- Auditoinneissa tai tietoturvatarkastuksissa nousee esiin puutteita pääsynhallinnassa
- Organisaatio kasvaa, yhdistyy toisen kanssa tai siirtyy pilvipalveluihin
IAM ei ole pelkästään suurten organisaatioiden työkalu. Myös pienemmät organisaatiot hyötyvät automaattisesta identiteetinhallinnasta, kun prosessit skaalautuvat kasvun mukana eikä tietoturva vaarannu resurssipulan takia. Investointi IAM-ratkaisuun on ennen kaikkea investointi siihen, että digitaalinen toimintaympäristö pysyy hallittuna ja turvallisena myös tulevaisuudessa.