Käyttövaltuushallinta – hieman hankala sanana, ja usein mielletään vähän epämääräisenä myös aiheena. Mikä se on, mitä se pitää sisällään ja kuinka minun pitäisi siihen suhtautua?
Vakavuudella ja huolellisuudella! Käyttövaltuushallinnan hyvät toimintatavat ja ratkaisut suojaavat organisaation tietoja, ja varmistavat järjestelmien sujuvan käytettävyyden. Hyvällä käyttövaltuushallinnan toteutuksella varmistetaan, että oikea tieto ja tarvittavat ohjelmat sekä kulkuoikeudet ovat käytettävissä silloin, kun niitä tarvitaan, ja vain silloin, kun niitä tarvitaan – ja niin käyttäjäystävällisesti, että niitä myös halutaan käyttää sovitulla tavalla.
Käyttövaltuushallinta
Suomenkielinen termi käyttövaltuushallinta on tietoturva-alaa tuntemattomien ehkä hieman vaikea hahmottaa. Usein käytetäänkin englanninkielistä kuvausta ”Identity and Access Management” ja lyhennettä IAM. Julkishallinnossa käytetään myös lyhennettä KVH. Käyttövaltuushallinta sen alle sisältyvän kokonaisuuden kuvaajana on mielestäni puutteellinen, mutta niin on hieman englanninkielinen vastineensakin.
Käyttövaltuushallinta muodostuu kolmesta osakokonaisuudesta – identiteettitietojen hallinnasta, käyttövaltuuksien hallinnasta ja pääsynhallinnasta. Usein näiden alueiden toimintatavat, säännöt ja ratkaisut muodostetaan pääsääntöisesti tietoturvan lähtökohdista, mikä on sinällään ymmärrettävää ja tärkeää – onhan organisaation tietojen, tilojen, omaisuuden, liiketoiminnan ja maineen suojaaminen kiihtyvällä tahdilla kasvavan kyberrikollisuuden aikana erityisen tärkeää.
Käytettävyyden ja tietoturvan paradoksi
Jos toimintaohjeita ja ratkaisuja ajatellaan pelkästään tietoturvan näkökulmasta, tulee järjestelmistä todennäköisesti turvallisempia, mutta työläitä ja hankalia käyttää. Puhutaankin tietoturvan ja käytettävyyden paradoksista – mitä turvallisempi järjestelmä, sitä hankalampi käyttää, ja päinvastoin. Tällöin lähtökohtaisesti tietoturvallinen ratkaisu tuleekin turvattomaksi, kun käyttäjät ’oikovat mutkia’ tietoturvan kustannuksella – kirjoittavat salasanoja ylös, eivät kirjaudu istunnosta ulos, käyttävät yhteiskäyttötunnuksia ja niin edelleen.
Käyttövaltuushallinnan osa-alueita voidaan toteuttaa ohjelmistoja hyödyntämällä ja automatisoinneilla niin, että käytettävyys paranee ja tietoturva kohenee. Nykyään pääosa tietomurroista toteutetaan varastettuja tai huijauksella saatuja käyttäjätietoja, identiteettejä, hyödyntämällä. Käyttövaltuushallinnan avulla riskit voidaan, jos ei täysin poistaa, niin ainakin minimoida.
Identiteettien hallinta on lähtökohta
Käyttäjää kuvaavat ja yksilöivät identiteettitiedot, joiden perusteella käyttö- ja pääsyoikeuksia myönnetään, kerätään usein monista eri henkilötietoja sisältävistä lähteistä. Organisaation omien henkilöiden tiedot löytyvät muun muassa HR-järjestelmistä ja AD:sta (Active Directory:sta). Näissä ei kuitenkaan, lähes koskaan, ole kaikkea tarvittavaa tietoa, vaan niitä on täydennettävä mm. työroolien, tehtävien, työ- ja palvelujaksojen, organisaatioaseman, lomien, poissaolojen ja sijaisten osalta muista järjestelmistä, Exceleistä tai manuaalisyöttönä. Oman ulottuvuuden tietojen keräämiselle tuo, jos käytetään paljon ulkoista työvoimaa tai vaikka opiskelijaharjoittelijoita.
Identiteettejä tulee hallita keskitetysti – tiedon keräämiseen eri lähteistä, sisällön täydentämiseen ja ylläpitoon, on hyvä ottaa käyttöön järjestelmä, joka automatisoi mahdollisimman ison osan työstä. Se on ainoa tapa pitää käyttöoikeudet ajan tasalla ja samalla varmistaa järjestelmien hyvä käytettävyys.
Käyttöoikeuksien hallinta on ytimessä
Identiteettien hallinnan tehtävänä on varmistaa, että käyttöoikeudet ovat juuri käyttäjän tehtävien edellyttämällä tasolla. Tähän tarvitaan riittävät ja oikeat tiedot – työrooli, asema työyhteisössä, tehtävä-/vastuualueet, erilliset ja yhtäaikaiset projektityöt tai palvelujaksot, sekä eri roolien alkamis- ja päättymisajat (elinkaaret). Näiden kaikkien roolien ja palvelujaksojen kohdalta määritellään, mihin järjestelmiin, mihin tietoihin, mihin tiloihin kyseisen identiteetin omaavalla henkilöllä on valtuudet päästä. Tarkennuksia valtuuksiin voidaan antaa myös viikonpäivien, vuorokauden aikojen, päätelaitteiden (kiinteä, mobiili) ja jopa sijainnin osalta.
Identiteettien hallinnan ratkaisu ylläpitää valtuuksia automaattisesti sisällön muutosten ja elinkaaren vaiheiden mukaisesti. Identiteettien hallinnan ratkaisu välittää eri tietojärjestelmille identiteetin, eli henkilön, tarkat käyttöoikeudet. Identiteettitiedon ajantasaisuudella ja elinkaaren seurannalla varmistetaan, että käyttäjällä on kulloinkin käytössään juuri oikeat oikeudet, ja että tehtävän tai työsuhteen päätyttyä ei oikeuksia enää ole.
Pääsynhallinta ratkaisee lopulta onnistumisen
Pääsynhallinnalla varmistetaan, että käyttäjät pääsevät järjestelmiin helposti ja turvallisesti, ja että palvelua suojataan asiattomalta käytöltä. Pääsynhallintajärjestelmällä varmistetaan, että käyttäjä on se, joka väittää olevansa. Tämä toteutetaan käyttäjän tunnistautumisella. Kun käyttäjä on tunnistettu, pääsynhallinta tekee päätöksen päästää käyttäjä palveluun, jolle identiteetin hallinnan kautta on välitetty käyttäjän, eli identiteetin, oikeudet palveluun ja palvelussa.
Tunnistautumistapoja on monia. Perinteisin, ja käytetyin yhä edelleen, on käyttäjätunnuksen ja salasanan syöttäminen. Tämä on haasteellinen menetelmä silloin, kun halutaan vahvaa tietoturvaa, mutta kuitenkin hyvää käytettävyyttä käyttäjän kannalta. Työyhteisöissä kirjautumista vaativia järjestelmiä on paljon ja kaikkien tunnusten ja salasanojen muistaminen on vaikeaa. Käytettävyyttä parantaaksemme kirjoitamme salasanoja ylös, käytämme yhteistunnuksia, jätämme työasemia auki ja oikaisemme muutenkin mutkia helpottaaksemme käyttöä – ja tietoturva kärsii. Valtaosa tietomurroista tehdään nykyisin identiteetti tavalla tai toisella varastamalla.
Tunnistautumista voidaan myös vahventaa kaksi- tai monivaiheisella tunnistautumisella. Tällöin pääsynhallinta esimerkiksi lähettää kirjautujalle puhelimeen pin-koodikyselyn, ja vasta sen jälkeen päästää järjestelmään sisään. Tässä yhdistetään jotakin mitä sinä tiedät (tunnukset/salasanat) ja jotakin mitä sinulla on hallussasi (puhelin). Yhdistelmä on vahvempi ja turvallisempi kuin pelkkien salasanojen käyttäminen.
Vahva tunnistautuminen parantaa tietoturvaa, mutta jos se täytyy toteuttaa lukuisiin, jopa kymmeniin, sovelluksiin päivässä, niin käytettävyyttä se ei helpota. Siinä kulutetaan turhaan työaikaa ja saadaan aikaan turhautumista. Ratkaisuna tähän on kertakirjautumisen käyttäminen. Hyvänä esimerkkinä kertakirjautumisen käytön hyödyistä toimivat sitä hyödyntävät terveydenhuollon organisaatiot. Käyttäjät tunnistautuvat ilman käyttäjätunnusten ja salasanojen syöttämistä toimikorttia näyttämällä. Pääsynhallintaan on opetettu käyttäjän, identiteetin, kaikki eri järjestelmien oikeudet, jolloin käyttäjä saa kaikki tarvitsemansa tiedot käyttöönsä ilman uusia sisäänkirjautumisia. Lisäksi pääsynhallintajärjestelmä mahdollistaa kontekstisidonnaisen tunnistamisen — esimerkiksi vaatimalla vahvempaa tunnistamista määräajoin tai tiettyyn järjestelmään kirjauduttaessa. Esimerkiksi sairaalaympäristöissä kertakirjautuminen säästää jopa yli puoli tuntia aikaa työvuoroa kohti.
Käyttövaltuushallinta lyhyesti
Yksinkertaisimmillaan käyttövaltuushallinnan voi ajatella olevan käyttöoikeuksien hakemista, myöntämistä ja luomista tarvittaviin tietohallinnon hallinnassa oleviin tietojärjestelmiin ja kulunhallintoihin. Laajemmin ajateltuna IAM käsittää mm. identiteettitietojen kokoamisen ja hallinnan, HR-prosesseja ja identiteettien elinkaaren hallintaa sekä automatisointia. Kokonaisvaltainen käyttövaltuushallinta puolestaan pitää sisällään myös pääsynhallinnan, pääkäyttäjäoikeuksien hallinnan sekä oikeuksien käytön valvonnan toiminnallisuuksia.
Tavoitteellisesti halutaan, että oikeilla henkilöillä on aina oikeat oikeudet silloin, kun niitä tarvitaan, siellä, missä niitä tarvitaan ja niillä laitteilla, joita tarvitsee käyttää. Tietoturvan ja käytettävyyden paradoksin mukaisesti hyvä tietoturva saavutetaan vain hyvällä järjestelmien käytettävyydellä.
Käyttövaltuushallinnan alue laajenee tulevaisuudessa
Käyttövaltuushallinnalla pääsääntöisesti hallitaan käytännössä vain henkilöiden käyttövaltuuksia, oikeuksia ja pääsyjä järjestelmiin. Esineiden internetin (IoT) ja tekoälysovellusten (AI) yleistyessä tarvitaan enenevässä määrin luottamussuhteiden rakentamista myös esineitä ja sovelluksia tunnistamalla. Identiteetti voi tällöin olla henkilö, esine tai ohjelmisto, ja kaikkien niiden keskinäisten suhteiden luottamusta valvotaan käyttövaltuushallinnalla.
Luotettava identiteetti on vahvan tietoturvan perusta
Kaiken ytimessä on kuitenkin aina identiteetti ja sen oikeellisuus sekä luotettavuus.
Kirjoittaja/Author: Antti Kaihovaara