Mitä tapahtuu, kun väitöskirjatutkijan määräaikaisuus päättyy perjantaina, mutta hän palaa maanantaina tuntiopettajaksi ja toimii samalla alumnijärjestön aktiivina?
Korkeakoulut ovat pääsynhallinnan näkökulmasta poikkeuksellisen haastavia ympäristöjä. Toisin kuin perinteisessä yritysmaailmassa, jossa työntekijän elinkaari on suoraviivainen -tullaan taloon, saadaan roolin mukaiset tunnukset, vaihdetaan tehtävää ja lopulta lähdetään. Korkeakouluja leimaavat suuret käyttäjämassat sekä opintojen myötä toisiinsa kietoutuvat ja muuttuvat roolit.
Toimiva IAM-arkkitehtuuri (Identity and Access Management) koostuu useista toisiaan täydentävistä osista. Siihen kuuluvat operatiiviset pääsynhallinnan palvelut, kuten kertakirjautuminen (SSO) ja monivaiheinen tunnistautuminen (MFA), sekä kokonaisuuden strategisena ytimenä toimiva identiteettien ja käyttöoikeuksien hallinta (IGA, Identity Governance and Administration). Yksi keskeinen ja usein näkymätön tietoturvahaaste muodostuu, kun käyttäjän rooli päättyy. Sulkeutuvatko tarpeettomiksi jäävät oikeudet luotettavasti, vai jäävätkö ne voimaan ilman operatiivista perustetta?
Usein puhutaan oikeuksien ”automaattisesta” poistumisesta, mutta todellisuudessa exit-tilanteiden onnistuminen ei tapahdu taikaiskusta. Oikeuksien luotettava sulkeminen edellyttää oikea-aikaista tietoa luotettavista lähdejärjestelmistä (Authoritative Sources, kuten HR- tai opintotietojärjestelmä), selkeästi määriteltyjä elinkaarisääntöjä sekä toimivia kohdeintegraatioita.
Myös ajalla on merkitystä: oikeudet poistetaan tai suljetaan sovittujen käsittelyaikojen mukaisesti. Viive riippuu aina siitä, kuinka tiheästi järjestelmät synkronoituvat ja millaisia siirtymäaikoja eri rooleille on määritelty.
Mitä tapahtuu, kun rooli päättyy – pitääkö käyttäjätunnus vai käyttöoikeus sulkea?
Roolin päättyessä henkilön identiteettitietue voidaan säilyttää, mutta päättyneeseen rooliin perustuvat käyttöoikeudet ja roolipohjaiset käyttäjätilit poistetaan. Käyttäjätilien ja -tunnusten säilyttäminen, sulkeminen ja poistaminen määräytyvät muiden voimassa olevien suhteiden sekä sovittujen säilytys- ja elinkaarisääntöjen perusteella.
Korkeakouluympäristössä käyttäjä ei läheskään aina ole vain yhdessä tehtävässä tai roolissa. Sama henkilö voi aloittaa perustutkinto-opiskelijana, siirtyä tutkimusavustajaksi, jatkaa väitöskirjatutkijana ja toimia samanaikaisesti ulkoisessa hankkeessa.
Siksi on tärkeää ymmärtää ero pysyvämmän identiteetin, järjestelmäkohtaisten käyttäjätilien ja niille myönnettyjen käyttöoikeuksien välillä. Henkilön identiteetti voi hyvin jäädä elämään oppilaitoksen IGA-järjestelmään esimerkiksi hakijan tai alumnin roolissa. Sen sijaan muuttuuko järjestelmäkohtaisten käyttöoikeuksien todellisuus oikea-aikaisesti? Jos identiteetinhallinnan IGA-prosessit eivät ole ajan tasalla, järjestelmään voi jäädä voimaan tarpeettomia oikeuksia arkaluontoiseen dataan, vaikka niitä ei enää työtehtävien kannalta tarvita. Yhden roolin päättyminen ei tietenkään tarkoita kaikkien oikeuksien poistamista, mikäli henkilöllä on edelleen voimassa oleva työsuhde tai muu tutkijan rooli.
Mitä riskejä ja kustannuksia puutteelliseen elinkaarenhallintaan liittyy?
Puutteellinen elinkaarenhallinta aiheuttaa korkeakouluille kriittisiä tietoturva- ja maineriskejä, lisää manuaalista IT-työtä sekä nostaa piilossa olevia lisenssikustannuksia. Tietoturvan näkökulmasta poistamatta jäänyt käyttöoikeus on tikittävä aikapommi. Mikäli entisen opiskelijan tai työntekijän tunnus kaapataan, hyökkääjä voi päästä käsiksi resursseihin, joihin tunnuksella on edelleen haamuoikeus. Tiukentuvien tietoturvavaatimusten ja auditointikriteerien valossa tällainen haavoittuvuus voi vaarantaa tiedon suojaamisen ja vahingoittaa luottamusta raskaasti.
Toinen haaste on toiminnan kankeus. Kun automaatio puuttuu, tietohallinnon tiimi joutuu tekemään manuaalista selvitystyötä ja poistamaan oikeuksia käsin. Nykyteknologialla tätä manuaalista arvailua voidaan kuitenkin vähentää tehokkaasti: kehittyneemmät IGA-alustat mahdollistavat poistumistilanteiden ja tilimuutosten esitestauksen erilaisten simulaatioiden avulla, jolloin odottamattomien muutosten riskiä voidaan minimoida.
Miten korkeakoulu saavuttaa käytettävyyden ja tietoturvan tasapainon?
Korkeakouluissa henkilöllä voi olla samanaikaisesti useita rooleja, kuten opettaja, tutkija tai opiskelija. Siksi käyttöoikeuksia ei voida aina poistaa kokonaan yhden roolin päättyessä. Automatisoitu Joiner-Mover-Leaver (JML) -elinkaarenhallinta auttaa varmistamaan, että henkilö saa tarvitsemansa oikeudet aloittaessaan, oikeudet päivittyvät tehtävien muuttuessa ja tarpeettomat oikeudet poistuvat roolin päättyessä. Kun prosessi perustuu luotettaviin sääntöihin ja joustavaan järjestelmäarkkitehtuuriin, tietoturva voidaan varmistaa vaarantamatta tarpeellisten palveluiden käyttöä.
Pelkkä tietojen siirtäminen järjestelmien välillä ei riitä. Organisaation on määriteltävä selkeästi lähdetietojen omistajuus eli se, mikä järjestelmä toimii minkäkin tiedon luotettavana alkulähteenä (Authoritative Source). Lisäksi tarvitaan täsmälliset säännöt henkilötietojen yhdistämiselle: miten eri rekistereistä saapuvat tiedot yhdistetään luotettavasti samaan identiteettiin ja miten epäselvät osumat käsitellään, jos tiedot ovat puutteellisia tai ristiriitaisia. Vain näin varmistetaan, että oikeudet kohdistuvat aina oikealle ihmiselle.
Toimivan ratkaisun on jätettävä kaikista tapahtumista, virheistä ja poikkeamista luotettava seurantajälki. Pelkkä tekninen auditointikyky ei kuitenkaan yksin takaa poikkeamien ratkeamista tai tietoturvaa. Jotta valvonta toimii käytännössä, jo toteutuksen suunnitteluvaiheessa on määriteltävä auditointitietojen säilytysajat, lokidatan käyttöoikeudet sekä vastuut poikkeamien aktiiviselle seurannalle.
Miten tietohallinto ottaa kontrollin ja riippumattomuuden takaisin?
Tietohallinto ottaa kontrollin takaisin valitsemalla korkeakoulun monimutkaisiin rooleihin mukautuvan IAM/IGA-ratkaisun, avoimen arkkitehtuurin sekä ennakoitavan kokonaiskustannusmallin. Korkeakoulun IAM-infran uusiminen tai optimointi on suuri strateginen valinta.
Tämä asettaa vaatimuksia myös hankintavaiheelle. Kun hallittavana voi olla peruskäyttäjien lisäksi massiivinen määrä alumnien ja ulkoisten sidosryhmien tunnuksia, perinteinen yksittäisiin käyttäjälisensseihin pohjautuva hinnoittelu käy usein raskaaksi. Ratkaisua valittaessa onkin arvioitava kokonaiskustannuksia ja esimerkiksi sitä, olisiko koko oppilaitoksen kattava tilausmalli turvallisempi vaihtoehto yllättävien lisämaksujen välttämiseksi.
Avoin lähdekoodi ei automaattisesti tarkoita, että kaikki ohjelmiston käyttöön tarvittavat palvelut ja ominaisuudet olisivat maksuttomia. Vaikka itse ohjelmisto olisi vapaasti käytettävissä, tuotantokäyttöön tarvittavat lisäominaisuudet, korkean käytettävyyden varmistaminen ja virallinen tekninen tuki voivat edellyttää maksullista tilausta.
Avoimeen lähdekoodiin perustuva ratkaisu voi tukea korkeakoulun tarpeisiin perustuvaa kehittämistä, mutta avoimuuden ja datan hallinnan rinnalla tarvitaan syvää ymmärrystä korkeakoulun integraatiohaasteista. Yhdessä nämä tekijät palauttavat kontrollin tietohallinnolle ja tukevat identiteettien hallintaa koko niiden monivaiheisen elinkaaren ajan.
Miten järjestelmän vaihto toteutetaan hallitusti ja palvelukatkojen riskiä minimoiden? Onko organisaatiossanne tunnistettu elinkaaririskit, mutta vanhan järjestelmän korvaaminen pelottaa kesken lukukauden? Lue sarjan seuraavassa osassa, miten järjestelmän vaihto viedään maaliin hallitusti ja palveluiden jatkuvuus turvaten.