Identiteetinhallinta (IAM) on teknologia ja toimintamalli, jonka avulla organisaatio hallitsee käyttäjien identiteettejä, käyttöoikeuksia ja pääsyä järjestelmiin turvallisesti koko niiden elinkaaren ajan. Tässä artikkelissa pyrimme selvittämään mahdollisimman selkeästi, mitä identiteetinhallinta tarkoittaa, miten IAM, IGA, CIAM ja käyttövaltuushallinta liittyvät toisiinsa sekä mitä tulee huomioida identiteetinhallintaratkaisua valittaessa.

Trivoren identiteetinhallintaratkaisulla hallitaan jo miljoonia identiteettejä tuotantoympäristöissä Suomessa.

Ratkaisua hyödyntävät esimerkiksi:

• HSL
• Waltti
• Traficom
• kunnat
• julkishallinto

Miksi identiteetinhallinta on tärkeämpää kuin koskaan?

Vielä muutama vuosi sitten identiteetinhallinta nähtiin monessa organisaatiossa IT-osaston taustajärjestelmänä. Sen tehtävänä oli huolehtia käyttäjätunnuksista, käyttöoikeuksista ja kirjautumisesta. Nykyään sen rooli on huomattavasti laajempi.

Lähes jokainen organisaation keskeinen liiketoimintaprosessi perustuu digitaaliseen identiteettiin. Työntekijät käyttävät kymmeniä pilvipalveluita, asiakkaat tunnistautuvat verkkopalveluihin, kumppanit käyttävät yhteisiä järjestelmiä ja yhä useampi prosessi toimii automaattisesti palvelutilien tai tekoälyagenttien avulla.

Samalla myös hyökkäykset ovat muuttuneet. Hyökkääjät eivät enää ensisijaisesti etsi ohjelmistojen haavoittuvuuksia, vaan pyrkivät käyttämään varastettuja tai väärin hallittuja käyttäjätunnuksia. Identiteetistä on tullut organisaation uusi turvaraja.

Hyvin toteutettu identiteetinhallinta parantaa samanaikaisesti turvallisuutta, tehokkuutta ja käyttökokemusta. Kun oikeudet seuraavat automaattisesti käyttäjän roolia ja elinkaarta, manuaalinen työ vähenee, virheet vähenevät ja käyttäjät pääsevät tarvitsemiinsa järjestelmiin ilman tarpeettomia viiveitä.

Identiteetinhallinta ei siis ole pelkästään tietoturvaratkaisu. Se on keskeinen osa organisaation digitaalista toimintakykyä.

Mitä identiteetinhallinta ja pääsynhallinta käytännössä tarkoittavat?

Identiteetinhallinta määrittää, kuka käyttäjä on, kun taas pääsynhallinta päättää, mitä tämä käyttäjä saa tehdä. Identiteetinhallinta luo ja ylläpitää käyttäjätunnuksia, kun taas pääsynhallinta määrittää oikeudet eri järjestelmiin ja tietoihin.

Käytännössä identiteetinhallinta toimii kuin henkilökortti työpaikalla: se todistaa henkilöllisyytesi ja kertoo järjestelmille, kuka olet. Pääsynhallinta puolestaan toimii kuin avaimet eri huoneisiin – se määrittää, mihin tiloihin ja tietoihin sinulla on oikeus päästä.

Nämä kaksi toimintoa yhdessä muodostavat kokonaisvaltaisen turvallisuusjärjestelmän, joka suojaa organisaation tietoja ja varmistaa, että työntekijät pääsevät käsiksi tarvitsemiinsa työkaluihin. Ilman toimivaa IAM-ratkaisua organisaatiot kohtaavat merkittäviä tietoturvariskejä ja tehokkuusongelmia.

Miten IAM, IGA ja CIAM liittyvät toisiinsa?

Identiteetinhallinnan yhteydessä käytetään useita lyhenteitä, jotka voivat ensi näkemältä vaikuttaa tarkoittavan samaa asiaa. Todellisuudessa ne kuvaavat identiteetinhallinnan eri osa-alueita.

IAM (Identity and Access Management) toimii koko kokonaisuuden kattokäsitteenä. Sen tavoitteena on varmistaa, että oikeat ihmiset ja järjestelmät pääsevät oikeisiin tietoihin oikeaan aikaan. (Trivore IAM ratkaisu)

IGA (Identity Governance and Administration) keskittyy käyttöoikeuksien hallintaan, valvontaan ja auditointiin. Sen avulla voidaan vastata esimerkiksi kysymyksiin:

• Kuka myönsi käyttöoikeuden?
• Miksi käyttöoikeus on edelleen voimassa?
• Milloin oikeus on viimeksi tarkistettu?

CIAM (Customer Identity and Access Management) puolestaan keskittyy asiakkaiden, kansalaisten ja muiden ulkoisten käyttäjien identiteetteihin. Painopiste on turvallisen tunnistautumisen lisäksi sujuvassa käyttökokemuksessa ja yksityisyydensuojassa.

Nämä eivät ole toisensa poissulkevia ratkaisuja, vaan täydentävät toisiaan. Modernissa organisaatiossa sama identiteettialusta voi hallita sekä työntekijöiden että asiakkaiden identiteettejä sekä niiden käyttöoikeuksia.

Miksi organisaatiot tarvitsevat identiteetinhallintaa?

Organisaatiot tarvitsevat identiteetinhallintaa suojautuakseen tietoturvauhkilta, parantaakseen tehokkuutta ja noudattaakseen lakisääteisiä vaatimuksia. Ilman kunnollista identiteetinhallintaa organisaatiot ovat alttiita tietomurroille ja sisäisille uhille.

Tietoturvan näkökulmasta identiteetinhallinta estää luvattoman pääsyn arkaluontoisiin tietoihin. Se varmistaa, että entiset työntekijät eivät pääse enää käsiksi yrityksen järjestelmiin ja että ulkopuoliset hyökkääjät eivät voi käyttää varastettuja tunnuksia.

Tehokkuuden kannalta automaattinen identiteetinhallinta säästää merkittävästi aikaa ja resursseja. IT-osaston ei tarvitse manuaalisesti luoda ja poistaa käyttäjätunnuksia tai hallita käyttöoikeuksia. Työntekijät pääsevät nopeasti käsiksi tarvitsemiinsa työkaluihin ilman viiveitä.

Säännösten noudattaminen edellyttää tarkkaa dokumentointia siitä, kuka on päässyt käsiksi mihinkin tietoihin ja milloin. Moderni identiteetinhallinta tuottaa automaattisesti tarvittavat raportit ja lokitiedot compliance-vaatimusten täyttämiseksi.

Miten identiteetinhallinta toimii käytännössä organisaatiossa?

Parhaimmillaan identiteetinhallinta on lähes näkymätöntä

Identiteetinhallinta alkaa käyttäjätunnuksen luomisesta uudelle työntekijälle ja päättyy tunnuksen poistamiseen työntekijän lähtiessä. Välissä järjestelmä hallitsee kaikkia käyttöoikeuksia ja kirjautumisia automaattisesti organisaation sääntöjen mukaan.

Kun uusi työntekijä aloittaa, HR-järjestelmä lähettää tiedon identiteetinhallintajärjestelmälle. Tämä luo automaattisesti käyttäjätunnuksen ja myöntää tarvittavat oikeudet työroolin perusteella. Työntekijä saa käyttöönsä kaikki tarvitsemansa järjestelmät ilman IT-osaston manuaalista työtä.

Päivittäisessä käytössä kertakirjautuminen (Single Sign-On) mahdollistaa pääsyn kaikkiin järjestelmiin yhdellä kirjautumisella. Käyttäjän ei tarvitse muistaa kymmeniä eri salasanoja tai kirjautua erikseen jokaiseen sovellukseen. (Lue lisää: Miten SSO parantaa tietoturvaa)

Kun työntekijän rooli muuttuu tai hän lähtee yrityksestä, järjestelmä päivittää tai poistaa käyttöoikeudet automaattisesti. Tämä varmistaa, että kukaan ei säilytä tarpeettomia oikeuksia ja että tietoturva pysyy kunnossa koko käyttäjän elinkaaren ajan.

Kuinka valita identiteetinhallintaratkaisu?

Identiteetinhallintaratkaisun valinta on pitkäaikainen strateginen päätös. Teknologia kehittyy nopeasti, joten järjestelmän tulee pystyä mukautumaan uusiin tunnistautumismenetelmiin, sääntelyyn ja liiketoiminnan tarpeisiin ilman jatkuvia uudelleenrakennuksia.

Valintaa tehtäessä kannattaa arvioida ainakin seuraavia asioita.

• Tukeeko ratkaisu avoimia standardeja (OIDC, SAML ja SCIM)?
• Sisältääkö ratkaisu käyttövaltuushallinnan (IGA)?
• Hallitseeko se myös palvelutilit ja muut ei-inhimilliset identiteetit
• Tukeeko ratkaisu Identity Fabric -arkkitehtuuria? (Lue lisää: Identity Fabric)
• Onko ratkaisu valmis EUDI Wallet- ja AI-kehitykseen?
• Missä identiteettidata sijaitsee ja minkä lainsäädännön piirissä se on
• Voidaanko ratkaisu ottaa käyttöön vaiheittain nykyisten järjestelmien rinnalle?

Hyvä identiteetinhallintaratkaisu ei ratkaise vain tämän päivän tarpeita, vaan luo perustan myös tuleville teknologioille, kuten EUDI Walletille, passkey-tunnistautumiselle ja tekoälyyn perustuville palveluille.

Mitä eroa on perinteisellä ja modernilla identiteetinhallinnalla?

Perinteinen identiteetinhallinta perustuu manuaalisiin prosesseihin ja erillisiin järjestelmiin, kun taas moderni IAM hyödyntää pilvipalveluita, automaatiota ja Zero Trust -mallia. Moderni ratkaisu on skaalautuvampi, turvallisempi ja tehokkaampi.

Perinteisissä järjestelmissä IT-henkilöstö luo käyttäjätunnukset manuaalisesti ja hallitsee oikeuksia erillisistä järjestelmistä. Tämä on hidasta, virhealtista ja kallis tapa hallita identiteettejä, erityisesti suurissa organisaatioissa.

Moderni identiteetinhallinta perustuu mikropalveluarkkitehtuuriin ja pilviteknologiaan. Se skaalautuu automaattisesti organisaation kasvun mukana ja tarjoaa korkean käytettävyyden. Zero Trust -malli tarkoittaa, että järjestelmä ei luota automaattisesti kehenkään käyttäjään, vaan tarkistaa identiteetin jokaisessa pääsypyynnössä.

Pilvipohjaiset ratkaisut mahdollistavat pääsyn järjestelmiin mistä tahansa ja millä tahansa laitteella turvallisesti. Ne integroituvat saumattomasti sekä vanhojen että uusien sovellusten kanssa, mikä helpottaa digitaalista transformaatiota merkittävästi.

Identiteetin- ja pääsynhallinta on nykyajan organisaatioille välttämätön investointi, joka maksaa itsensä takaisin parantuneena tietoturvana, tehostuneina prosesseina ja vähentyneinä IT-kustannuksina. Moderni IAM-ratkaisu tukee organisaation kasvua ja digitaalista kehitystä pitkällä aikavälillä.

Identiteetinhallinta käytännössä – mitä vaativat organisaatiot edellyttävät?

Identiteetinhallinnan merkitys korostuu erityisesti organisaatioissa, joissa käyttäjämäärät ovat suuria, järjestelmiä on paljon ja tietoturva- sekä sääntelyvaatimukset ovat korkeita. Tällaisissa ympäristöissä ratkaisun on pystyttävä hallitsemaan identiteettejä, käyttöoikeuksia ja integraatioita keskitetysti koko niiden elinkaaren ajan.

Yksi esimerkki tästä on Liikenne- ja viestintävirasto Traficom, joka valitsi Trivoren eIAM-ratkaisun identiteetin- ja pääsynhallinnan uudistamiseen. Tavoitteena oli yhdistää useita erillisiä identiteetin-, käyttövaltuushallinnan ja pääsynhallinnan järjestelmiä yhdeksi keskitetysti hallittavaksi kokonaisuudeksi. Ratkaisun avulla voidaan yksinkertaistaa käyttöoikeuksien hallintaa, uudistaa toimintamalleja ja korvata vanhentuneita järjestelmiä. Hankinnan arvioitu arvo on noin kuusi miljoonaa euroa.

Tämä havainnollistaa hyvin, että moderni identiteetinhallinta ei ole yksittäinen kirjautumisratkaisu, vaan koko organisaation digitaalisen identiteetin hallintakerros. Samat periaatteet soveltuvat niin julkishallintoon, terveydenhuoltoon kuin suuryrityksiinkin: yksi luotettava identiteetin lähde, automatisoitu käyttöoikeuksien hallinta ja avoimiin standardeihin perustuvat integraatiot.

Lue lisää: Suomalainen tuote vakuutti: Trivore Oy voitti Traficomin suuren IAM-kilpailutuksen.

Identiteetinhallinta käytännössä – miljoonia tunnistautumisia tuotantokäytössä

Identiteetinhallinnan todellinen arvo näkyy vasta tuotantoympäristössä. Ratkaisun tulee pystyä hallitsemaan suuria käyttäjämääriä, korkea käytettävyys ja turvallinen tunnistautuminen ilman, että käyttäjä huomaa taustalla tapahtuvaa monimutkaisuutta.

Trivoren identiteetinhallinta-alusta on käytössä useissa suomalaisissa julkisissa palveluissa. Yksi esimerkki on suomalainen joukkoliikenne, jossa ratkaisu tunnistaa ja hallitsee päivittäin satojen tuhansien matkustajien identiteettejä turvallisesti ja luotettavasti.

Ratkaisua käytetään esimerkiksi HSL:n ja Waltti-järjestelmien kaltaisissa ympäristöissä, joissa palvelun tulee toimia keskeytyksettä suurille käyttäjämäärille. Tällaisissa ympäristöissä identiteetinhallinta ei ole pelkkä kirjautumisratkaisu, vaan osa koko palvelun toimintavarmuutta ja käyttäjäkokemusta.

Lue lisää: Hundreds of thousands of identified passengers in Finnish public transport every day.