Tietomurtojen anatomia on viime vuosina muuttunut, sillä identiteettitietojen hyödyntämisestä on tullut pääasiallinen tapa päästä luottamukselliseen tietoon käsiksi. Siksi identiteettitietojen turvallisuuteen tulee kiinnittää erityistä huomiota.
Identiteettitietoja suojataan kolmella tasolla. Ensin henkilötietojen, joiden perusteella identiteetti rakentuu, tulee olla oikeita ja ajan tasalla. Toiseksi identiteettitietojen tulee sisältää riittävästi tietoja, jotta niiden perusteella voidaan myöntää tarkkoja käyttövaltuuksia, siis pääsy- ja kulkuoikeuksia järjestelmiin, tietoihin ja tiloihin. Kolmanneksi tulee olla käytettävyydeltään ja luotettavuudeltaan hyvä pääsynhallinta, jotta pääsyn saa vain oikea henkilö, vain silloin, kun pääsyä tarvitaan, vain siellä, missä pääsyä tarvitaan, ja vain sillä laitteella, jolla pääsyä tarvitaan. Luotettavasta identiteetistä on tullut vahvan tietoturvan ydintekijä.
Henkilötietojen oikeellisuus on lähtökohta
Organisaatioilla on henkilötietoja usein hyvin hajallaan eri järjestelmissä, HR-järjestelmissä, Active Directory:ssa, Exceleissä ja niin edelleen. Henkilötiedot ovat pohja identiteettitietojen muodostamiseksi. Omien työntekijöiden lisäksi on ulkoisia työntekijöitä – kuten vuokratyöntekijät, harjoittelijat, siivoojat, konsultit – jolloin henkilö- ja identiteettien hallinta turvallisten pääsy- ja kulkuoikeuksien varmistamiseksi on haaste.
Hajallaan olevat henkilötiedot hankaloittavat käyttöoikeuksien määrittelyä ja ylläpitoa, ja tietoturvariski kasvaa. Myös usein tapahtuvat henkilöstön ja tehtävien muutokset, vaikka kesätyöntekijöiden ja harjoittelijoiden käyttö, aiheuttavat tietoturvallisuuden kannalta haasteen. Jos identiteettitietoja ei pystytä hallinnoimaan ja pitämään ajan tasalla, tieto voi päätyä helpommin vääriin käsiin. Valitettavan yleistä on, että entisen työntekijän oikeudet jäävät voimaan pitkäksikin aikaa. Digitaalinen identiteetti on hallinnoimattomana valtava riskitekijä.
Ensin on siis kyettävä yhdistämään eri järjestelmien tiedot yhteen. Silloin myös huomataan, että samoja tietoja on useassa paikassa, eivätkä ne välttämättä ole yhteneviä. Kaikki identiteettien määrittämiseen tarvittavat henkilötiedot, sisäiset ja ulkoiset, tuleekin voida yhdistää yhteen tietovarastoon, jolloin tietojen oikeellisuus, eheys saadaan varmistettua. Samassa yhteydessä määritellään, missä on kunkin tiedon mastertieto, ja voidaan rakentaa päiviysautomatiikka tietojen eheänä pysymiseksi jatkossakin.
Tarvitaan riittävästi identifioivia tietoja
Henkilötiedoista rakentuneita identiteettejä tarvitaan käyttö- ja pääsyoikeuksien määrittelyyn, siihen kuka pääsee mihinkin tietojärjestelmään tai tietoon käsiksi ja kuka saa kulkea missäkin tiloissa. Näiden oikeuksien määrittelyyn eivät järjestelmissä olevat henkilöiden tiedot useinkaan riitä, vaan tietoja on täydennettävä, rikastettava. Tarvitaan henkilön tehtävään ja rooliin liittyvää lisätietoa, organisaatiotietoa, esimiestietoa ja palvelujaksotietoa, jotta voidaan tarkemmin määrittää käyttö- ja pääsyoikeuksia, sekä luoda oikeuksien hyväksymismenettelyt.
Henkilöt voivat samanaikaisesti olla useammassa roolissa ja hoitavat useampia tehtäviä. Roolit ja tehtävät voivat jakautua esiimerkiksi eri viikonpäiville, eri vuoroikaudenaikoihin, eri osastoille. Jotakin tehtävää hoidetaan kiinteän työaseman tai kulunvalvontapisteen kautta, jotakin taas vain mobiilityöasemalla. Tällaista monisyistä asetelmaa on vaikea hallita, ellei käytetä identiteettien hallinnan työkaluja.
Helppokäyttöinen ja luotettava pääsynhallinta
Nykypäivän yhteiskunnassa ja teknologian kehittyessä ihmisten käyttäytymistä ohjaa helppokäyttöisyys. Tästä trendistä tietoturva helposti kärsii, kun esimerkiksi käyttäjätunnusten ja salasanojen hankala käyttö ohjaa käyttäjät ’oikaisemaan mutkia’. Luomme helppoja salasanoja, jotta muistaisimme ne, ja käytämme yhteiskäyttötunnuksia, jotta kirjautumiset ja tunnistautumiset eivät haittaisi työntekoa.
Laskin omalta koneeltani, että minulla on lähes 20 työhön liittyvää järjestelmää, joiden tunnukset ja salasanat minun tulee muistaa – ja turvallisesti yli 12 merkkiä, isoja ja pieniä kirjaimia, numeroita ja erikoismerkkejä, sekä jokaiseen palveluun omansa. Tietoturvallisesti voidaan toimia myös ilman, että käyttäjän tarvitseen muistaa käyttäjätunnuksiaan ja salasanojaan. Kertakirjautumisratkaisu, jota höystetään kaksivaiheisella tunnistautumisella, on helppokäyttöinen ja turvallinen. Tässä tulee samalla ratkaistuksi tietoturvan ja käytettävyyden paradoksi. Helppokäyttöisyys järjestelmiin kirjautumisessa parantaa samalla tietoturvaa.
Käyttövaltuushallinnan onnistuminen perustuu luotettavaan identiteettitietoon
Käyttövaltuushallinnan, eli identiteettien ja pääsynhallinnan, ratkaisut eivät loppujen lopuksi ole kovin monimutkaisia tai vaikeita ottaa käyttöön. Ratkaisujen suunnittelu ja toimintaprosessien määrittely edellyttävät, tottakai, asiantuntemusta ja kokemusta. Suunnittelun jälkeen ratkaisu voidaan toteuttaa kerralla tai vaikka kolmessa vaiheessa. Henkilötietojen yhdistäminen yhdeksi identiteettitietojen tietokannaksi, identiteettitietojen sisällön ja elinkaaren hallinnan ratkaisu sekä pääsynhallinnan ratkaisut.
Identiteettitietojen oikeellisuus ja riittävyys muodostavat ratkaisun toimivuuden perustan. Kun järjestelmiin sisään pyrkivä vielä tunnistetaan vahvalla tunnistuksella ja käytetään kertakirjautumista, ollaan tietojen turvaamisessa jo pitkällä. Identiteettitietojen hallinnan ratkaisujen merkitys kasvaa koko ajan tietoturvaa rakennettaessa.
Teemme työtä enenevässä määrin etänä ja mobiilina, ohjelmistoja käytetään palveluna ja tiedot ovat verkossa. Pääosa tietomurroista tehdään nykyisin varastettujen tai huijattujen identiteettitietojen avulla. Meidän jokaisen identiteetistä on tullut oma palomuurinsa rikollisten ja yrityksemme tietojen väliin. Ennen yrityksillä oli verkon ulkorajalla yksi tai muutama palomuuri, nyt niitä on satoja tai tuhansia huolehdittavana. Identiteettien turvallisuudesta kannattaa pitää huolta.
Luotettava identiteetti on vahvan tietoturvan perusta
Kirjoittaja/Author: Antti Kaihovaara