Modernissa organisaatiossa identiteetti on ”keskushermosto”, joka ratkaisee kaiken: kuka pääsee järjestelmiin, mitä dataa saa nähdä ja mitä toimintoja voi suorittaa. Siksi käyttöoikeusmallin valinta on yksi kriittisimmistä identiteetinhallinnan (IAM) arkkitehtuuripäätöksistä.
Kaksi tunnetuinta mallia ovat RBAC (Role-Based Access Control) ja ABAC (Attribute-Based Access Control). Vaikka molemmat vastaavat kysymykseen ”kuka saa tehdä mitä”, niiden lähestymistavat poikkeavat toisistaan merkittävästi. Nykyajan monimutkaisissa ympäristöissä kumpikaan ei yksin riitä – tarvitaan älykäs yhdistelmä, jota Trivore eIAM kutsuu Identity Fabriciksi.
RBAC: Käyttöoikeudet roolien perusteella
RBAC on perinteinen ja selkeä malli, jossa käyttöoikeudet on ryhmitelty rooleiksi (esim. HR-asiantuntija tai projektipäällikkö). Käyttäjä saa oikeudet sen perusteella, mikä rooli hänelle on määritetty.
RBAC:n hyödyt:
- Selkeys: Helppo ymmärtää ja hallita keskitetysti.
- Tehokkuus: Mahdollistaa suurten käyttäjämäärien hallinnan kerralla.
RBAC:n suurin haaste: Roolien räjähdys (Role Explosion)
Kun organisaatio kasvaa, pelkkä roolipohjaisuus johtaa hallitsemattomaan määrään rooleja (esim. ”HR-asiantuntija Suomi” vs. ”HR-asiantuntija Ruotsi”). RBAC ei myöskään huomioi kontekstia, kuten sijaintia tai laiteryhmää.
ABAC: Kontekstuaalinen joustavuus attribuuteilla
ABAC (Attribute-Based Access Control) tuo mukaan hienojakoisen logiikan. Päätökset perustuvat reaaliaikaisiin attribuutteihin, kuten turvallisuusluokitukseen, sijaintiin tai projektijäsenyyteen.
Esimerkki: Käyttäjä saa muokata asiakasdataa vain, jos:
- Hän on työvuorossa (aika-attribuutti).
- Hän käyttää organisaation hyväksymää laitetta (laite-attribuutti).
- Hän on suorittanut vaaditun tietoturvakoulutuksen (pätevyys-attribuutti).
Trivoren ratkaisu: RBAC + OrBAC + Attribuutit
Trivore eIAM ei pakota valitsemaan mallien välillä, vaan yhdistää ne saumattomasti osaksi politiikkaohjattua hallintaa.
Hierarkkinen OrBAC (Organization-Based Access Control)
Trivoren keskeinen vahvuus on OrBAC, jossa käyttöoikeudet sidotaan suoraan organisaatiohierarkiaan.
- Birthright access: Käyttäjä perii automaattisesti oikeudet oman yksikkönsä perusteella.
- Virtualisoitu hallinta: Kumppaniyrityksen ylläpitäjä voi hallita vain oman organisaatioyksikkönsä jäseniä näkemättä koko emoyhtiön rakennetta.
Permission-Action-Filter -triadit
Trivore käyttää ainutlaatuista mallia, jossa oikeus määritellään kolmen tekijän yhdistelmänä:
- Toiminto (Action): Mitä saa tehdä.
- Suodatin (Filter): Missä laajuudessa toiminto sallitaan (esim. vain oman osaston jäsenet).
- Triadi: Näiden yhdistelmä mahdollistaa äärimmäisen tarkan kontrollin ilman roolien räjähdystä.
Multi-Role Support – Monen roolin samanaikainen hallinta
Nykyaikainen työ on dynaamista. Trivore eIAM tukee natiivisti tilanteita, joissa yhdellä henkilöllä on useita rinnakkaisia sopimuksia ja rooleja (esim. oma työntekijä, joka on myös alihankkija toisessa projektissa). Järjestelmä ratkaisee nämä päällekkäiset oikeudet dynaamisesti ja turvallisesti.
Miksi tämä on tärkeää organisaatiollesi?
Yksinkertainen roolitaulukko ei enää vastaa NIS2-direktiivin tai GDPR:n vaatimuksiin. Tarvitaan malli, joka ymmärtää:
- Ihmiset: Työntekijät, kumppanit ja asiakkaat.
- Koneet: Palvelutunnukset ja AI-agentit, joita hallitaan samalla kurinalaisuudella.
Yhdistämällä RBAC:n rakenteen, OrBAC:n automaation ja ABAC:n tarkkuuden, organisaatio saavuttaa Zero Trust -periaatteen mukaisen turvatason: mitään ei luoteta oletuksena, ja jokainen pyyntö vahvistetaan erikseen.