Käyttövaltuudet

Käyttövaltuuksien hallinta on yksi tietoturvallisuuden keskeisimmistä tehtävistä, mutta sen toteuttaminen on samalla yksi vaikeimmista tietohallinnollisista ja teknisistä tietoturvallisuushaasteista.

Käyttövaltuudella tarkoitetaan tiedon käsittelyoikeuksia. Käyttövaltuuden omaava henkilö saa myönnettyjen valtuuksien mukaiset käsittelyoikeudet suojattuun tietoon.

Käyttövaltuushallinto on palvelukokonaisuus, joka tukee yrityksen liiketoimintastrategian tavoitteita rajaamalla henkilöstön käyttöoikeudet asianmukaisesti työtehtävien edellyttämiin tietoihin.

Tehtävälista

Suunnittelu ja valmistelu

Määritä käyttövaltuushallinnan tavoitteet, kuten turvallisuus, roolipohjaisuus ja vaatimustenmukaisuus.
Nimeä vastuuhenkilöt ja määrittele heidän roolinsa, esimerkiksi käyttövaltuushoitajat ja hyväksyjät.
Laadi käyttövaltuushallinnan politiikka ja ohjeet, jotka kattavat muun muassa käyttövaltuuksien myöntämisen, muuttamisen ja poistamisen elinkaaren.

Roolien ja oikeuksien määrittely

Laadi roolipohjainen käyttöoikeusmalli (RBAC).
Arvioi yksilöllisten käyttäjäkohtaisten käyttövaltuuksien tarve.
Listaa kaikki järjestelmät ja sovellukset, joissa hallitaan käyttövaltuuksia.
Tunnista henkilöstöryhmät ja heidän työtehtävänsä, esimerkiksi HR, talous, myynti.
Määrittele järjestelmäkohtaiset käyttöoikeustasot eri rooleille työtehtävien mukaan.
Määrittele yksilöllisesti myönnettävät käyttövaltuudet.

Käyttövaltuuksien hallintaprosessien luonti

Määrittele käyttöoikeuksien myöntämisprosessi, esimerkiksi hakemus, hyväksyntäketjut.
Laadi muutosprosessi esimerkiksi työtehtävämuutoksen, roolinvaihdon tai projektisiirron yhteydessä.
Määrittele käyttöoikeuksien poistoprosessi työsuhteen päättyessä.
Nimeä vastuuhenkilöt käyttöoikeuksien myöntö-, muutos- ja poistoprosesseihin.
Ota käyttöön käyttöoikeustapahtumien lokitus ja dokumentointi.
Määrittele käyttövaltuusraportoinnin menettelyt, esimerkiksi raporttien aikataulutus ja sisältö.

Teknisten työkalujen ja järjestelmien käyttöönotto

Valitse ja ota käyttöön IAM-järjestelmä (Identity and Access Management), jos tarpeellista.
Konfiguroi kirjautumismekanismit (esimerkiksi kertakirjautuminen (SSO) ja monivaiheinen tunnistautuminen (MFA)).
Varmista järjestelmien integraatio käyttövaltuushallinnan kokonaisuuteen.
Varmista, että lokitus ja audit trail -toiminnallisuus on käytössä ja seurannassa.

Käyttövaltuushallinnan koulutus ja viestintä

Kouluta henkilöstö käyttövaltuuskäytännöistä ja oikeuksien hakemisesta.
Kouluta vastuuhenkilöt järjestelmien käytöstä ja käyttöoikeuksien hallinnasta.
Viesti organisaatiossa selkeästi käyttöoikeuksien myöntö- ja poistokäytännöt.

Valvonta, tarkastus ja ylläpito

Suorita käyttöoikeustarkastukset säännöllisesti, esimerkiksi kerran tai kahdesti vuodessa.
Tarkista roolien ja oikeuksien vastaavuus todellisiin työtehtäviin.
Seuraa ja analysoi lokitietoja sekä mahdollista poikkeavaa käyttöä.
Dokumentoi tarkastuksista tehdyt havainnot ja niistä johtuvat toimenpiteet.

Jatkuva parantaminen

Arvioi käyttövaltuushallinnan prosessien ja työkalujen toimivuutta säännöllisesti.
Päivitä politiikkoja ja prosesseja tarpeen mukaan.
Kerää palautetta käyttäjiltä ja vastuuhenkilöiltä ja hyödynnä sitä kehitystyössä.

Asia Tapauksia

Käyttövaltuuksien hallinta on tietojärjestelmän käyttäjien käyttövaltuuksien elinkaaren hallintaa. Käyttövaltuuksien elinkaarenhallinnalla tarkoitetaan menettelyitä, joilla yrityksen tietojärjestelmän käyttäjien käyttövaltuuksia perustetaan, muutetaan ja poistetaan sekä valtuustietoja tarkistetaan ja arkistoidaan.

Käyttövaltuuksia voidaan hallinnoida tarkoitukseen rakennetuilla sovelluksilla, mutta myös huomattavasti edullisemmin ja yksinkertaisemmin lomakkeiden avulla. Kaikissa tapauksissa hallinnointiongelmat eivät ole yksinomaan sovelluksella ratkaistavissa. Menetelmän valintaan vaikuttavat yrityksen koko ja tietojärjestelmäpalveluiden moninaisuus.

Hallinnolliset käyttövaltuusprosessit

Ohjeistus
Koulutus
Käyttövaltuuksien elinkaaren hallinta
Seuranta ja raportointi

Ohjeistus
Ohjeistuksen tulee olla kattava ja kuvata selkeästi sekä ymmärrettävästi käyttövaltuushallinnon palvelut.

Koulutus
Yrityksen toiminnoille tulee järjestää ohjeistusta tukevaa koulutusta.

Käyttövaltuuksien elinkaaren hallinta
Käyttäjien perustietojen ja käyttöoikeuksien elinkaaren hallinta voidaan toteuttaa käyttäjähallintaan manuaalisesti käyttöliittymän avulla tai automaattisesti liittämällä henkilöstöhallinnon tietojärjestelmä suoraan käyttäjähallintaan.

Automatisoinnilla on omat etunsa ja myös haittansa. Haittatekijänä mainittakoon se, että käyttäjätunnuksia ei voida perustaa uusille henkilöille ennen, kuin heidän tietonsa on kirjattu henkilöstöhallinnon tietojärjestelmään. Tämä saattaa viivästyttää mm. tietojärjestelmiin pääsyä. Haittoja ja etuja on punnittava tapauskohtaisesti.

Seuranta ja raportointi (Audit trail)
Käyttövaltuushallintoon liittyvä vaatimus on, että käyttäjät ja käyttövaltuudet sekä niihin liittyvät operaatiot (tapahtumat) voidaan raportoida erikseen sovitun raportointikäytännön mukaisesti.

Tekniset ratkaisut

Pääsynhallinta (tunnistus ja autentikointi)
Käyttäjähallinta (auktorisointi)
Kertakirjautuminen (SSO, Single Sign-On)
Operaatioiden käsittely (workflow)
Provisiointi (käyttäjäprofiilin ylläpito)
Federointi (käyttäjän identiteetin siirtäminen)

Pääsynhallinta
Pääsynhallintaan käytetään ohjelmistoja, joiden avulla voidaan sallia tai estää käyttäjän pääsy tiettyyn kohdejärjestelmään. Ohjelmistoissa pääsynhallinta tapahtuu pääsyroolien avulla, jotka liitetään käyttäjäryhmään tai tehtävärooliin.

Käyttäjähallinta
Käyttäjähallinnalla tarkoitetaan käyttäjäidentiteettien ylläpitoa. Ylläpito voi perustua keskitettyyn tai hajautettuun hallintamalliin.

Kertakirjautuminen
Kertakirjautuminen tarkoittaa kerran tehtävää tunnistusta, jonka voimassaoloaika kestää uloskirjautumiseen saakka. Käyttäjä saa yhdellä tunnistautumisella käyttöönsä kaikki hänelle kuuluvat tietojärjestelmäpalvelut.

Provisiointi
Provisioinnilla tarkoitetaan käyttövaltuustietojen (käyttäjäprofiilien) automaattista siirtoa kohdejärjestelmiin. Provosiointia kuvaava kansainvälinen avoin standardi on SPML (Service Provisioning Markup Language).

Federointi
Federoinnilla tarkoitetaan käyttäjien identiteettien siirtoa organisaatiorajojen yli niin, että kertakirjautuminen toteutuu. Federoidussa ympäristössä henkilöllä on mahdollisuus käyttää luottamusverkoston puitteissa oman yrityksen käyttäjätunnuksia muiden organisaatioiden palveluihin kirjauduttaessa. Federoidun palveluympäristön autentikointiin liittyviä standardeja ovat esimerkiksi Liberty, SAML ja Shibboleth.