Jokaisessa organisaatiossa on joukko ihmisiä, jotka tarvitsevat pääsyn tiettyihin järjestelmiin, sovelluksiin ja tietoihin. Heillä on myös erilaisia rooleja, ja roolit muuttuvat: ihmisiä palkataan, siirretään tehtävästä toiseen ja irtisanotaan. Identiteetinhallinta on se kokonaisuus, jolla organisaatio hallitsee näitä pääsyoikeuksia järjestelmällisesti.
Se kuulostaa yksinkertaiselta. Käytännössä se on yksi niistä alueista, jossa pienet puutteet kasvavat nopeasti suuriksi riskeiksi.
Mitä identiteetinhallinta käytännössä tarkoittaa
Identiteetinhallinta — englanniksi Identity and Access Management, IAM — kattaa kaiken siitä hetkestä, kun uusi henkilö aloittaa organisaatiossa, siihen hetkeen, kun hän lähtee. Siihen kuuluvat käyttäjätunnusten luominen ja poistaminen, rooleihin perustuvat pääsyoikeudet, salasanojen hallinta ja kirjautumisen varmentaminen.
Moderni IAM-järjestelmä automatisoi nämä prosessit. Uusi henkilö saa roolinsa perusteella automaattisesti tarvitsemansa oikeudet — ei enemmän, ei vähemmän. Kun rooli muuttuu, oikeudet päivittyvät. Kun työsuhde päättyy, pääsy sulkeutuu välittömästi.
Tärkeää on huomata, mitä IAM ei ole: se ei ole pelkästään salasanojen hallintajärjestelmä eikä yksittäinen tekninen työkalu. Se on tapa hallita sitä, kenellä on pääsy mihinkin ja milloin.
Miksi tämä on johdon asia eikä vain IT:n ongelma
Pääsyoikeuksien hallinta on tietoturvan peruskysymys, mutta se on myös liiketoimintariski kahdesta syystä.
Ensimmäinen on niin sanottu roikkuvien tilien ongelma. Kun henkilö vaihtaa tehtävää tai lähtee organisaatiosta ja hänen käyttöoikeuksiaan ei poisteta ajallaan, syntyy tietoturva-aukko. Tämä ei ole hypoteettinen riski: merkittävä osa tietomurroista hyödyntää juuri käyttöoikeuksia, joita ei olisi enää pitänyt olla olemassa.
Toinen on tehottomuus. Manuaalisesti hoidettu käyttöoikeuksien hallinta on hidas prosessi. Uuden henkilön pääsyoikeuksien järjestäminen voi kestää päiviä, jos jokainen järjestelmä vaatii erillisen pyynnön ja hyväksynnän. Tämä aika on suoraan pois tuottavasta työstä.
Vähimmäisoikeuksien periaate ja Zero Trust
Kaksi käsitettä toistuvat modernissa identiteetinhallinnassa niin usein, että johdon on syytä tuntea ne.
Vähimmäisoikeuksien periaate tarkoittaa, että jokaisella henkilöllä on pääsy vain siihen, mitä hän työssään tarvitsee. Ei enempää. Tämä rajaa tietomurron tai inhimillisen virheen aiheuttaman vahingon laajuutta tehokkaasti.
Zero Trust on arkkitehtuurinen ajattelutapa, jonka ydinajatus on yksinkertainen: pääsyä ei myönnetä automaattisesti kenellekään pelkästään siksi, että hän on jo yrityksen verkossa. Jokainen pääsypyyntö varmennetaan erikseen. Tämä on erityisen tärkeää hajautuneissa organisaatioissa, joissa ihmiset työskentelevät useista paikoista ja käyttävät useita laitteita.
Identiteetinhallinta ja vaatimustenmukaisuus
GDPR, NIS2 ja julkisen hallinnon osalta tiedonhallintalaki (906/2019) edellyttävät kaikki, että organisaatio pystyy osoittamaan, kenellä on ollut pääsy mihinkin tietoon ja milloin. Tämä on käytännössä mahdotonta ilman järjestelmällistä identiteetinhallintaa. Hyvin toteutettu IAM ei ainoastaan täytä vaatimuksia — se tuottaa auditoinnin vaatiman dokumentaation automaattisesti.
Vaatimustenmukaisuuden näkökulma laajenee myös tekoälyn myötä. Organisaatiot ottavat käyttöön yhä enemmän tekoälytyökaluja ja automatisoituja agentteja, joilla on pääsy järjestelmiin ja dataan. Moderni identiteetinhallinta kattaa myös nämä: myös automaattiset järjestelmät tarvitsevat selkeästi määritellyt ja valvotut käyttöoikeudet.
Mistä liikkeelle
Identiteetinhallinnan kehittäminen kannattaa aloittaa kartoittamalla nykytilanne: kuinka monta järjestelmää organisaatiolla on, miten käyttöoikeuksia tällä hetkellä myönnetään ja poistetaan, ja kuinka kauan prosessit kestävät. Usein pelkkä tämä kartoitus paljastaa ongelmat, joita ei ole aiemmin systemaattisesti tarkasteltu.
Trivore on suomalainen IAM-toimittaja, joka on rakentanut ratkaisunsa eurooppalaisten tietosuojavaatimusten ehdoilla. Jos organisaatiosi identiteetinhallinta kaipaa selkeyttä, autamme arvioimaan lähtötilanteen.