Tietojärjestelmien ja tiedon käyttömme on muuttunut merkittävästi. Teemme työtä ajasta, paikasta ja päätelaitteesta riippumattomasti. Sen lisäksi järjestelmämme ja tietomme ovat entistä useammin verkossa, ja hajautuneena jopa kymmeniin eri ohjelmistoihin. Tietoturvan rakentaminen on entistä haasteellisempaa, mutta haluamme sen tiukasti suojaavan kriittistä tietoamme.
Tietoturvan ja käytettävyyden paradoksilla tarkoitetaan sitä, että tietoturvaa parannettaessa järjestelmien käytettävyys heikkenee, ja vastaavasti, kun käytettävyyttä parannetaan, niin tietoturva heikkenee. Kun siis tiukennamme tietoturvaa, niin samalla usein teemme järjestelmien käytöstä käyttäjälle vaikeampaa. Meidän pitää esimerkiksi muistaa jopa kymmeniä erilaisia – ja vaikeita – salasanoja, jotka tulee vaihtaa säännöllisesti. Silloin astuvat kuvaan ’inhimilliset tekijät’, eli käyttäjät helpottavat käyttöä esimerkiksi kirjoittamalla salasanoja paperille ja käyttämällä yhteisiä salasanoja. Silloin tiukennettu tietoturva käytännössä heikentää sitä. Tämä paradoksi voidaan ratkaista.
Tietoturvan ytimessä on luotettava identiteetti
Käyttövaltuushallinta muodostuu kolmesta osakokonaisuudesta – identiteettitietojen hallinnasta, identiteeteille myönnettävien käyttövaltuuksien hallinnasta ja identiteettien käyttövaltuuksiensa mukaisesti järjestelmiin pääsyn hallinnasta. Näiden alueiden toimintatavat, säännöt ja ratkaisut muodostetaan pääsääntöisesti tietoturvan lähtökohdista, mikä on ymmärrettävää ja tärkeää – onhan organisaation tietojen, tilojen, omaisuuden, liiketoiminnan ja maineen suojaaminen kiihtyvällä tahdilla kasvavan kyberrikollisuuden aikana erityisen tärkeää.
Henkilötiedot, joiden pohjalta organisaation tarvitsemat identiteettitiedot kerätään, ovat hajautettuna useisiin lähteisiin – HR-järjestelmiin, Active Directoreihin (AD) ja moniin muihin. Sen lisäksi on organisaation ulkopuolisia henkilöitä, kuten opiskelijaharjoittelijoita ja konsultteja, joiden identiteettitiedot myös tarvitaan. Identiteettitietojen hallinta ja ylläpito vaatii lukuisia prosesseja ja paljon manuaalista työtä.
Käytettävyyden näkökulmasta identiteettitietojen keräämisen, ylläpidon ja hallinnan tulisi olla mahdollisimman helppoa ja automaattista, jotta voidaan varmistaa, että henkilöidentiteettien tietosisällöt ovat ajan tasalla ja tukevat myönnettävien käyttövaltuuksien hallintaa. Tätä varten tarvitaan identiteettien mastertiedon hallinnan ratkaisu, joka kerää tarvittavat tiedot useista eri lähteistä, ylläpitää tietoja, ja täydentää käyttövaltuuksien tarkan määrittelyn tarvitsemilla tiedoilla.
Identiteettien mastertiedon hallinnan ratkaisu mahdollistaa vahvasti tietoturvallisen, mutta samalla myös käytettävyydeltään erinomaisen identiteettien hallinnan pitkälle automatisoidun menettelyn.
Käyttövaltuudet tehtävien tarpeen pohjalta
Tietoturvanäkökulmasta identiteetille pitää myöntää vain ne pääsy- ja kulkuoikeudet, jotka hän tehtäviensä hoitamiseen tarvitsee (Principle of Least Privilege, POLP). Vahvan tietoturvan varmistamiseksi voidaan lisäksi rajata mm. aikaa (koska), paikkaa (mistä) ja päätelaitetta (millä), joiden pohjalta tietoon tai tilaan pääsee. Tällaisen tietoturvan rakentaminen on haasteellista ja vaatii yleensä paljon työtä, mutta se on tehtävissä. Hektisessä liiketoimintaympäristössä ja dynaamisessa organisaatiossa tilanteet sekä tehtävien vastuut muuttuvat nopeasti, minkä mukana pysyminen edellyttää kuitenkin runsaasti resursseja ja paljon manuaalista työtä.
Tämä voidaan hoitaa helpomminkin käyttövaltuuksien hallinnan ratkaisulla. Siinä identiteettitietoja täydennetään mm. organisaatiotiedoilla ja rooli- sekä tehtävänkuvauksilla. Henkilöille voidaan määritellä pysyvämpiä käyttövaltuuksia esimerkiksi organisaatioaseman ja -roolin pohjalta, mutta samanaikaisesti myös tehtäviin sidottuja oikeuksia. Tällaisia tehtäviä, tai palvelujaksoja, voi olla yhtä aikaa useita päällekkäisiä, mikä mahdollistaa tietoturvan näkökulmasta vain sellaisten oikeuksien antamisen, joita tehtävien hoitaminen vaatii. Samalla ratkaisulla voidaan käsitellä sekä organisaation sisäisiä, että ulkoisia identiteettejä.
Käytettävyyden näkökulmasta ollaan silloin myös hyvissä kantimissa, sillä käyttövaltuuksien hallinnan ratkaisu välittää (provisioi) käyttäjän oikeudet automaattisesti kaikkiin järjestelmiin, joita käyttäjä tehtäviensä hoitamiseen tarvitsee. Tällä varmistetaan, että käyttäjällä on juuri tarvitsemansa oikeudet silloin, kun niitä tarvitaan.
Identiteettien ja käyttövaltuuksien elinkaaren hallinta on tärkeää
Identiteetin elinkaari alkaa, kun se luodaan, eli silloin kun oikeuksia tarvitsevan henkilön työ- tai tehtäväsuhde alkaa. Kun työ- tai tehtäväsuhde päättyy, niin käyttöoikeudet lakkaavat, mutta identiteetin elinkaaren ei pitäisi silloin vielä päättyä. Identiteetti tulee voida muuttaa aktiivisesta passiiviseksi organisaation toimialan määrittelemäksi ajaksi mahdollisten auditointien tarpeiden johdosta.
Käyttövaltuuksien elinkaaria on monia ja niiden voimassaoloajat vaihtelevat. Oikeudet alkavat työ- tai tehtäväsuhteen alkaessa ja ne voivat olla toistaiseksi voimassa olevia tai määräaikaisia. Tietoturvan näkökulmasta tärkeimmät kohdat ovat muutostilanteet, eli kun oikeudet päättyvät tai muuttuvat.
Identiteettienhallinnan ja käyttövaltuuksien hallinnan ratkaisuissa elinkaarien hallinnan tulee olla automaattista. Vaikka työrooliin tai -tehtävään sisältyy paljon erilaisia oikeuksia, on niiden oltava käytettävissä heti ensimmäisenä päivänä. Tämä on mahdollista vain ratkaisussa, jossa manuaalinen työ on minimoitu. Automatiikka myös varmistaa, että oikeudet päättyvät työ- tai tehdäväsuhteen päättyessä.
Käyttäjän kannalta käytettävyys on sitä, että oikeudet ovat voimassa heti ensimmäisestä päivästä alkaen ja tietohallinnon näkökulmasta käytettävyys on helppoa oikeuksien ylläpitoa, eli mahdollisimman suurta automatiikkaa.
Pääsynhallinta on käytettävyyden ja tietoturvan kannalta keskeinen tekijä
Pääsynhallinta kokonaisuute ja etenkin järjestelmiin kirjautumisen helpottaminen on ehkä keskeisin tietoturvan ja käytettävyyden paradoksin aiheuttaja. Jos sinulla on lukuisia, jopa kymmeniä, ohjelmistoja, joihin pitää kirjautua käyttäjätunnuksilla ja salasanoilla, niin varmasti keksit helpottavia keinoja. Nämä keinot ovat useinmiten tietoturvaa heikentäviä, eli salasanojen lapulle kirjoittamisia, yhteiskäyttöisiä tunnuksia jne.
Kertakirjautuminen ratkaisee tämän paradoksin. Tunnistautuminen helposti muutamassa sekunnissa toimi- tai kulkukorttia vilauttamalla, ja salasanoja muistamatta saat automaattisesti heti käyttövaltuudet kaikkiin tarvitsemiisi järjestelmiin. Voit keskittyä varsinaiseen tehtävääsi ilman tietotekniikan aiheuttamia ’häiriöitä’. Identiteettien hallinnan tehtävänä on varmistaa, että käyttöoikeudet ovat juuri käyttäjän tehtävien edellyttämällä tasolla.
Pääsynhallinnalla varmistetaan, että käyttäjät pääsevät järjestelmiin helposti ja turvallisesti, ja että palvelua suojataan asiattomalta käytöltä. Sillä varmistetaan, että käyttäjä on se, joka väittää olevansa. Tämä toteutetaan käyttäjän tunnistautumisella. Kun käyttäjä on tunnistettu, pääsynhallinta tekee päätöksen päästää käyttäjä palveluun, jolle identiteetin hallinnan kautta on välitetty käyttäjän, eli identiteetin, oikeudet palveluun ja palvelussa.
Tunnistautumista voidaan myös vahventaa kaksi- tai monivaiheisella tunnistautumisella. Tällöin pääsynhallinta esimerkiksi lähettää kirjautujalle puhelimeen pin-koodikyselyn, ja vasta sen jälkeen päästää järjestelmään sisään. Tässä yhdistetään jotakin mitä sinä tiedät (tunnukset/salasanat) ja jotakin mitä sinulla on hallussasi (puhelin). Yhdistelmä on vahvempi ja turvallisempi kuin pelkkien salasanojen käyttäminen.
Käytettävyys on käyttäjälle helppoutta ja tietohallinnolle yksinkertaisuutta
Yksinkertaisimmillaan käyttövaltuushallinnan voi ajatella olevan käyttöoikeuksien hakemista, myöntämistä ja luomista tarvittaviin tietohallinnon hallinnassa oleviin tietojärjestelmiin ja kulunhallintoihin. Laajemmin ajateltuna IAM käsittää mm. identiteettitietojen kokoamisen ja hallinnan, HR-prosesseja ja identiteettien elinkaaren hallintaa sekä automatisointia. Kokonaisvaltainen käyttövaltuushallinta puolestaan pitää sisällään myös pääsynhallinnan, pääkäyttäjäoikeuksien hallinnan sekä oikeuksien käytön valvonnan toiminnallisuuksia.
Tavoitteellisesti halutaan, että oikeilla henkilöillä on aina oikeat oikeudet silloin, kun niitä tarvitaan, siellä, missä niitä tarvitaan ja niillä laitteilla, joita tarvitsee käyttää. Tietoturvan ja käytettävyyden paradoksin mukaisesti hyvä tietoturva saavutetaan vain hyvällä järjestelmien käytettävyydellä.
Loppujen lopuksi hyvää tietoturvan tasoa ei saavuteta pelkästään hyvillä teknisillä ratkaisuilla ja tarkalla käyttäjien ohjeistuksilla. Vanha viisaus on, että tietoturvan heikoin kohta on ihminen. Käytettävyyteen panostamalla saadaan myös tietoturva uudelle tasolle, ja paradoksi on ratkaistu.
Kirjoittaja/Author: Antti Kaihovaara
Avainsanat/Key words: identiteetti, tietoturva, käyttövaltuushallinta, identiteetinhallinta, pääsynhallinta, kertakirjautuminen, IAM, SSO, IdM, mastertiedonhallinta, MDM