Identiteetinhallinta ja pääsynhallinta ovat kaksi erillistä, mutta tiiviisti toisiinsa kytkeytyvää käsitettä. Identiteetinhallinta keskittyy siihen, kuka käyttäjä on, kun taas pääsynhallinta määrittää, mihin hänellä on oikeus päästä. Yhdessä ne muodostavat IAM-kokonaisuuden, joka on modernin tietoturvan perusta. Tässä artikkelissa käymme läpi molempien käsitteiden merkityksen, niiden välisen suhteen ja sen, miksi niiden yhteistoiminta ratkaisee organisaation tietoturvan tason.
Mitä identiteetinhallinta ja pääsynhallinta tarkoittavat käytännössä?
Identiteetinhallinta tarkoittaa käyttäjätietojen luomista, ylläpitoa ja poistamista organisaation järjestelmissä. Pääsynhallinta puolestaan määrittää, mihin resursseihin, järjestelmiin tai tietoihin kullakin identiteetillä on oikeus. Yksinkertaistetusti: identiteetinhallinta vastaa kysymykseen ”kuka sinä olet” ja pääsynhallinta kysymykseen ”mitä sinulle sallitaan”.
Käytännössä identiteetinhallinta kattaa esimerkiksi uuden työntekijän käyttäjätilin luomisen, tietojen päivittämisen työnkuvan muuttuessa ja tilin sulkemisen työsuhteen päättyessä. Pääsynhallinta taas huolehtii siitä, että kyseinen henkilö pääsee juuri niihin järjestelmiin, joita hänen tehtävänsä edellyttää, eikä mihinkään muuhun.
Käyttöoikeuksien hallinta on molempien osa-alueiden leikkauspiste: se on konkreettinen toimenpide, jossa identiteetti yhdistetään tiettyihin oikeuksiin. Ilman toimivaa identiteetinhallintaa pääsynhallinta on kuin lukkoseppä ilman ovilistausta, eikä ilman pääsynhallintaa identiteeteillä ole rajoja.
Miten identiteetinhallinta ja pääsynhallinta liittyvät toisiinsa?
Identiteetinhallinta ja pääsynhallinta ovat IAM-kokonaisuuden kaksi peruspilaria, jotka ovat riippuvaisia toisistaan. Identiteetinhallinta luo pohjan, jonka päälle pääsynhallinta rakentuu: ilman tarkkaa tietoa siitä, kuka käyttäjä on ja missä roolissa hän toimii, ei voida tehdä luotettavia pääsynhallintapäätöksiä.
Käytännön esimerkki havainnollistaa yhteyden hyvin. Kun organisaatioon liittyy uusi henkilö, identiteetinhallintajärjestelmä luo hänelle digitaalisen identiteetin ja liittää siihen roolin, osaston ja muut attribuutit. Pääsynhallintajärjestelmä lukee nämä tiedot ja myöntää automaattisesti oikeudet, jotka kyseiselle roolille kuuluvat, kuten pääsyn HR-järjestelmään, sähköpostiin tai projektinhallintasovellukseen.
Tämä integraatio tekee IAM-ratkaisusta kokonaisuuden, joka on enemmän kuin osiensa summa. Kun molemmat toimivat saumattomasti yhteen, organisaatio saa sekä selkeän näkyvyyden käyttäjiin että tarkan kontrollin siitä, mitä kukin heistä voi tehdä.
Mikä on käyttöoikeuksien elinkaari ja kuka sitä hallitsee?
Käyttöoikeuksien elinkaari on prosessi, joka alkaa identiteetin luomisesta, jatkuu oikeuksien muutosten kautta ja päättyy identiteetin poistamiseen. Tätä elinkaarta hallitsee tyypillisesti IT-osasto yhdessä HR:n kanssa, mutta automaattinen IAM-ratkaisu voi hoitaa suuren osan prosessista ilman manuaalista työtä.
Elinkaaren vaiheet ovat yleensä seuraavat:
- Provisiointi: Uusi käyttäjä saa identiteetin ja roolinsa mukaiset käyttöoikeudet järjestelmiin.
- Ylläpito: Oikeuksia päivitetään, kun henkilön rooli, tiimi tai vastuualue muuttuu.
- Auditointi: Käyttöoikeuksia tarkistetaan säännöllisesti, jotta vanhentuneita tai tarpeettomia oikeuksia ei jää voimaan.
- Deprovisiointi: Työsuhteen tai projektin päättyessä kaikki oikeudet poistetaan viipymättä.
Manuaalisesti hoidettuna tämä prosessi on altis virheille ja viiveille. Automatisoitu identiteetinhallintaratkaisu, kuten meillä Trivorella tarjottava eIAM, varmistaa, että jokainen vaihe tapahtuu oikeaan aikaan ja jättää selkeän auditoitavan jäljen.
Mitä tapahtuu, jos identiteetinhallinta ja pääsynhallinta eivät ole synkronissa?
Jos identiteetinhallinta ja pääsynhallinta eivät toimi synkronissa, organisaatio altistuu merkittäville tietoturvariskeille. Tyypillisimmät ongelmat ovat niin sanotut haamutilit eli entiset työntekijät, joiden käyttöoikeudet ovat edelleen voimassa, sekä liiallisten oikeuksien kertyminen yksittäisille käyttäjille ajan myötä.
Synkronisaation puute näkyy käytännössä monin tavoin:
- Entinen työntekijä voi kirjautua järjestelmiin vielä kuukausia lähtönsä jälkeen.
- Henkilö, joka on vaihtanut osastoa, säilyttää vanhat oikeutensa uusien lisäksi.
- IT-tiimi ei tiedä, kenellä on pääsy mihinkin, mikä vaikeuttaa auditointia ja vaatimusten noudattamista.
- Tietoturvapoikkeaman sattuessa on vaikea selvittää, kuka on päässyt käsiksi arkaluonteiseen dataan.
Nämä tilanteet eivät ole vain teoreettisia uhkia. Toimialakokemus osoittaa, että merkittävä osa tietomurroista liittyy juuri hallitsemattomiin käyttöoikeuksiin. Siksi identiteetti- ja pääsynhallinnan on toimittava yhtenä kokonaisuutena, jossa tieto kulkee automaattisesti järjestelmästä toiseen.
Milloin organisaation kannattaa investoida IAM-ratkaisuun?
Organisaation kannattaa investoida IAM-ratkaisuun viimeistään silloin, kun käyttäjämäärä, järjestelmien lukumäärä tai tietoturvavaatimukset ylittävät sen, mitä manuaalinen hallinta voi luotettavasti hoitaa. Käytännössä tämä tarkoittaa useimmiten muutamaa kymmentä käyttäjää tai useampaa kuin muutamaa integroitavaa järjestelmää.
Selkeitä merkkejä siitä, että IAM-ratkaisu on ajankohtainen:
- IT-tiimi käyttää merkittävän osan ajastaan käyttöoikeuspyyntöjen manuaaliseen käsittelyyn.
- Uuden työntekijän käyttöönotto kestää päiviä tai jopa viikkoja.
- Organisaatiolla on vaikeuksia osoittaa auditoijille, kenellä on pääsy mihinkin.
- Sääntelyvaatimukset, kuten NIS2 tai DORA, edellyttävät dokumentoitua käyttöoikeuksien hallintaa.
- Etätyö tai kumppaniverkostot ovat laajentaneet järjestelmien käyttäjäkuntaa merkittävästi.
Tietoturvan näkökulmasta IAM-investointi on myös ennaltaehkäisevä toimenpide. Tietomurron tai tietoturvapoikkeaman jälkihoito on lähes aina kalliimpaa kuin ennaltaehkäisy toimivalla identiteetti- ja pääsynhallinnalla.
Miten Zero Trust -arkkitehtuuri muuttaa identiteetti- ja pääsynhallintaa?
Zero Trust -arkkitehtuuri muuttaa identiteetti- ja pääsynhallinnan roolin organisaation tietoturvan ytimeksi. Zero Trust -mallissa yhtään käyttäjää, laitetta tai verkkoyhteyttä ei luoteta automaattisesti, vaan jokainen pääsypyyntö arvioidaan erikseen identiteetin, kontekstin ja oikeuksien perusteella.
Perinteisessä mallissa organisaation sisäverkossa olevan käyttäjän oletettiin olevan luotettava. Zero Trust hylkää tämän oletuksen kokonaan. Identiteetti nousee uudeksi ”perimeteriksi”, eli rajaksi, joka suojaa resursseja. Tämä tarkoittaa, että identiteetinhallinnan ja pääsynhallinnan on oltava entistä tarkempia, dynaamisempia ja reaaliaikaisempia.
Mitä Zero Trust edellyttää identiteetinhallinnalta?
Zero Trust vaatii, että identiteettitiedot ovat aina ajantasaisia ja luotettavia. Käyttäjän rooli, laite, sijainti ja käyttäytyminen vaikuttavat siihen, myönnetäänkö pääsy vai ei. Tämä edellyttää vahvaa tunnistautumista, kuten monivaiheista todennusta, sekä jatkuvaa istunnon valvontaa.
Mitä Zero Trust edellyttää pääsynhallinnalta?
Pääsynhallinnan on Zero Trust -mallissa toimittava periaatteella ”vähimmät oikeudet”: käyttäjälle myönnetään vain ne oikeudet, joita hän tarvitsee kyseiseen tehtävään kyseisellä hetkellä. Pääsy ei ole pysyvä tila, vaan jatkuvasti arvioitava päätös. Tämä vaatii IAM-järjestelmältä vahvaa automaatiota ja kykyä reagoida muutoksiin reaaliajassa.
Me Trivorella olemme rakentaneet ratkaisujamme juuri tätä kehityssuuntaa silmällä pitäen. Trivore eIAM tukee Zero Trust -arkkitehtuuria ja mahdollistaa sen, että identiteetti- ja pääsynhallinta toimii luotettavasti myös vaativimmissa ja hajautetuimmissa ympäristöissä.