GDPR tavoitteena on varmistaa, että henkilötietoja käsitellään turvallisesti, läpinäkyvästi ja vain siihen oikeutettujen henkilöiden toimesta. Käytännössä tämä tarkoittaa, että organisaation on hallittava käyttöoikeuksia, valvottava henkilötietojen käsittelyä ja pystyttävä osoittamaan, että nämä käytännöt toimivat myös arjessa.
Identiteetin- ja pääsynhallinta (IAM) on yksi tärkeimmistä työkaluista näiden vaatimusten toteuttamiseen. Sen avulla voidaan hallita, kenellä on pääsy henkilötietoihin, miten käyttöoikeudet muuttuvat työntekijän roolin vaihtuessa ja miten henkilötietojen käsittelyä seurataan.
GDPR ei edellytä IAM-järjestelmää, mutta se edellyttää hallittuja käyttöoikeuksia
GDPR ei määrää organisaatioita käyttämään tiettyä teknologiaa. Sen sijaan se edellyttää, että henkilötietojen käsittelyyn liittyvät riskit hallitaan asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä.
Käyttöoikeuksien hallinta on olennainen osa tätä kokonaisuutta. Organisaation on pystyttävä varmistamaan, että henkilötietoihin pääsevät käsiksi vain ne henkilöt, joilla on siihen työtehtäviinsä perustuva tarve.
Samalla organisaation on pystyttävä osoittamaan, miten käyttöoikeuksia hallitaan, miten niitä päivitetään ja miten niiden käyttöä valvotaan.
Osoittamisvelvollisuus on yksi GDPR keskeisistä vaatimuksista
Moni yhdistää GDPR henkilötietojen suojaamiseen. Yhtä tärkeä osa asetusta on kuitenkin osoittamisvelvollisuus.
Jos organisaatiolta kysytään:
- kenellä on pääsy tiettyihin henkilötietoihin
- milloin käyttöoikeus on myönnetty
- kuka on hyväksynyt käyttöoikeuden
- miten käyttöä valvotaan
vastauksen pitäisi löytyä nopeasti ja luotettavasti.
Hyvin toteutettu IAM-ratkaisu tukee tätä keskitetyn käyttöoikeuksien hallinnan, lokituksen ja auditointitietojen avulla.
Miksi käyttöoikeuksien elinkaari on tärkeä?
GDPR näkökulmasta käyttöoikeuksien pitäisi muuttua samaa tahtia kuin käyttäjän työtehtävät.
Kun työntekijä vaihtaa roolia, myös käyttöoikeudet pitäisi päivittää. Kun työsuhde päättyy, käyttöoikeudet pitäisi poistaa ilman tarpeetonta viivettä.
Jos vanhat oikeudet jäävät voimaan, henkilötietoja voidaan käsitellä ilman siihen enää olevaa perustetta. Hyvin toteutettu IAM-ratkaisu voi automatisoida nämä muutokset osana identiteetin elinkaaren hallintaa.
Miten IAM suojaa henkilötietoja?
IAM tukee henkilötietojen suojaamista useilla tavoilla.
Sen avulla voidaan esimerkiksi:
- toteuttaa vähimmän oikeuden periaatetta
- hallita käyttöoikeuksia keskitetysti
- hyödyntää vahvaa tunnistautumista
- ylläpitää kattavaa lokitusta
- automatisoida käyttöoikeuksien muutoksia
Yhdessä nämä vähentävät riskiä, että henkilötietoihin pääsee käsiksi henkilö, jolla ei siihen enää ole oikeutta.
Entä rekisteröityjen oikeudet?
IAM ei yksin toteuta GDPR mukaisia rekisteröidyn oikeuksia, mutta se voi helpottaa niiden toteuttamista.
Kun organisaatiolla on ajantasainen näkyvyys identiteetteihin, käyttöoikeuksiin ja tietojen käsittelyyn, sen on helpompi:
- selvittää, missä henkilötietoja käsitellään
- tunnistaa käyttäjät, joilla on pääsy tietoihin
- dokumentoida tehdyt toimenpiteet
- vastata tietopyyntöihin tehokkaasti
Näin rekisteröityjen oikeuksien toteuttaminen muuttuu hallitummaksi ja nopeammaksi.
Milloin IAM-käytännöt kannattaa arvioida uudelleen?
IAM-käytäntöjä kannattaa tarkastella aina, kun henkilötietojen käsittely muuttuu olennaisesti.
Tällaisia tilanteita voivat olla esimerkiksi:
- uusien järjestelmien käyttöönotto
- yritysostot tai fuusiot
- suuret henkilöstömuutokset
- tietoturvapoikkeamat
- uudet sääntely- tai viranomaisvaatimukset
Lisäksi käyttöoikeuksia ja pääsynhallintaa on hyvä arvioida säännöllisesti osana organisaation normaalia tietoturvan ja tietosuojan kehittämistä.
Hyvä identiteetinhallinta tekee vaatimustenmukaisuudesta osoitettavaa
GDPR noudattaminen ei tarkoita vain sitä, että henkilötiedot ovat turvassa.
Yhtä tärkeää on pystyä osoittamaan, miten henkilötietoja suojataan, kenellä niihin on pääsy ja miten käyttöoikeuksia hallitaan koko niiden elinkaaren ajan.
Juuri tässä identiteetinhallinta tuo suurimman arvonsa. Se yhdistää käyttöoikeuksien hallinnan, lokituksen ja automaation kokonaisuudeksi, joka helpottaa sekä päivittäistä toimintaa että vaatimustenmukaisuuden osoittamista.