Identiteetin hallinta ja käyttöoikeuksien provisiointi

Identiteetin hallinto on käytäntöjen, prosessien ja teknologioiden muodostama viitekehys, joka hallitsee digitaalisia identiteettejä niiden koko elinkaaren ajan ja varmistaa, että oikeilla henkilöillä on oikeat käyttöoikeudet oikeisiin resursseihin oikeista syistä. Se vastaa kolmeen kriittiseen kysymykseen: Kuka pääsee käsiksi mihin? Pitäisikö hänellä olla tämä pääsy? Mitä hän tekee sillä? Identiteetin hallintoa edellyttävät esimerkiksi SOX:n, HIPAA:n ja GDPR:n kaltaiset säädökset, jotka vaativat todennettavia pääsynhallintatoimia.

Identiteetin elinkaarta kuvataan usein Joiner-Mover-Leaver (JML) -mallilla. Joiner on uusi työntekijä, jolle on luotava käyttäjätilit. Mover on tehtävää vaihtanut työntekijä, jonka käyttöoikeuksia on mukautettava: vanhat oikeudet poistetaan ja uudet myönnetään. Leaver on organisaatiosta lähtenyt työntekijä, jonka kaikki tilit on poistettava käytöstä viipymättä ja myöhemmin poistettava. Henkilöstöhallinnon järjestelmän on käynnistettävä jokainen siirtymä automaattisesti, jotta viivästykset eivät aiheuta tietoturva-aukkoja.

Identiteetin hallintajärjestelmät määrittävät rooleja, jotka kokoavat tietyn työtehtävän edellyttämät käyttöoikeudet. Kun työntekijälle otetaan käyttöön rooli, hän saa automaattisesti kaikki siihen liittyvät käyttöoikeudet. Roolien louhinta analysoi nykyisiä käyttöoikeusmalleja löytääkseen rooleja, jotka vastaavat todellisia liiketoimintatoimintoja eivätkä historian sattumia. Selkeä roolisuunnittelu vähentää ihmisten tekemien käyttöoikeuspäätösten määrää ja nopeuttaa käyttöoikeuksien tarkistamista sekä parantaa sen tarkkuutta.

Käyttöoikeuksien sertifiointi (käyttöoikeuksien tarkistus tai uudelleensertifiointi) on säännöllinen prosessi, jossa tarkistetaan ja vahvistetaan kaikkien käyttäjien käyttöoikeuksien asianmukaisuus. Esihenkilöt tai resurssien omistajat saavat luettelon tiiminsä jäsenten käyttöoikeuksista ja vahvistavat tai peruvat ne yksitellen. Säännölliset tarkistukset estävät käyttöoikeuksien kertymisen eli oikeuksien vähittäisen kertymisen yli sen, mitä käyttäjän nykyinen rooli edellyttää. SOX- ja SOC 2 -vaatimustenmukaisuus edellyttää yleensä neljännesvuosittaisia tai vuosittaisia käyttöoikeuksien tarkistuksia.

Käyttöoikeuksien kertyminen tapahtuu, kun työntekijöille jää aiempien roolien käyttöoikeuksia ilman vanhojen oikeuksien poistamista. Taloushallinnosta tekniikkaan siirtyneellä käyttäjällä saattaa esimerkiksi edelleen olla pääsy palkanmaksujärjestelmään, mikä aiheuttaa sekä tietoturvariskin että vaatimustenmukaisuusrikkomuksen. IGA-järjestelmät valvovat myös tehtävien eriyttämistä (SoD) havaitsemalla ja estämällä vaarallisia yhdistelmiä: käyttöoikeuspareja, jotka yhdessä mahdollistaisivat petoksen (esimerkiksi käyttäjä, joka voi sekä luoda että hyväksyä ostotilauksia).

SCIM (System for Cross-domain Identity Management) on avoin standardi-API käyttäjien käyttöönoton ja käytöstäpoiston automatisointiin identiteetintarjoajan (kuten Okta tai Azure AD) ja kohdesovellusten välillä. Kun henkilöstöhallinto luo uuden työntekijän tiedot, SCIM välittää ne automaattisesti kaikkiin yhdistettyihin sovelluksiin: luo tilit, määrittää ryhmät ja asettaa määritteet. Näin manuaaliset käyttöoikeuspyynnöt poistuvat ja perehdytykseen kuluva aika lyhenee päivistä minuutteihin.

IAM (Identity and Access Management) on laaja kokonaisuus, joka kattaa identiteettien ja niiden käyttöoikeuksien hallinnan, mukaan lukien todennusjärjestelmät, SSO:n ja MFA:n. IGA (Identity Governance and Administration) on sen osa-alue, joka keskittyy hallinnollisiin näkökohtiin: kenellä on pääsy, onko se asianmukaista ja miten se sertifioidaan. IGA lisää käytäntölähtöiset hallintakeinot, työnkulkujen hyväksynnät, käyttöoikeuksien tarkistukset ja auditointiraportoinnin IAM-järjestelmien peruskäyttöönotto- ja todennusominaisuuksien päälle.

Orpoutuneet tilit ovat käyttäjä- tai palvelutilejä, joilla ei ole nykyistä aktiivista omistajaa — ne voivat kuulua entisille työntekijöille, alihankkijoille tai käytöstä poistetuille järjestelmille. Orpoutuneet tilit ovat kriittinen tietoturvariski, koska niillä voi edelleen olla käyttöoikeuksia korkean tason oikeuksilla, kukaan ei valvo niiden käyttöä ja hyökkääjät etsivät niitä nimenomaan mahdollisina sisääntulopisteinä. Henkilöstöhallinnon tapahtumiin kytketty automaattinen käyttöoikeuksien poistaminen ja säännölliset tilien tarkastusraportit ovat ensisijaiset keinot orpoutuneiden tilien torjumiseen.

Etuoikeutettujen identiteettien hallinta edellyttää tavallista IGA:ta laajempia lisäkontrolleja. Korkean tason oikeuksilla varustetuilla tileillä tulisi olla: erilliset omat tilit etuoikeutettuja tehtäviä varten (järjestelmänvalvojan tunnistetietoja ei saa koskaan käyttää sähköpostiin), automaattisesti vanhentuvat aikarajoitetut käyttöoikeudet, usean henkilön hyväksyntä kriittisille toiminnoille sekä tehostettu lokikirjaus, joka tarkistetaan useammin kuin tavalliset käyttöoikeuslokit. Monet vaatimustenmukaisuuskehykset edellyttävät nimenomaisesti tarkastettavia tietoja kaikista etuoikeutettujen käyttöoikeuksien pyynnöistä ja hyväksynnöistä.

Johtavia IGA-alustoja ovat SailPoint IdentityNow (yritysten IGAn markkinajohtaja), Saviynt (vahva pilvi- ja SaaS-kattavuus), IBM Security Identity Governance ja One Identity Manager. Pilvipalveluntarjoajat tarjoavat natiiviratkaisuja: Azure AD Identity Governance tarjoaa käyttöoikeuksien tarkistuksia ja käyttöoikeuksien hallintaa. Nämä alustat integroituvat henkilöstöhallinnon järjestelmiin SCIM:n ja API-rajapintojen kautta, mikä mahdollistaa koko identiteetin elinkaaren automatisoinnin.

IGA tukee suoraan useiden säädösten vaatimustenmukaisuutta. SOX edellyttää todennettavia kontrolleja siitä, kenellä on pääsy talousjärjestelmiin, sekä muutoslokeja. HIPAA edellyttää käyttöoikeusvalvontaa, joka rajoittaa PHI-tietojen käytön valtuutetulle henkilöstölle, sekä kaikkien käyttöjen auditointilokeja. GDPR edellyttää, että tietojen käyttö rajataan henkilöihin, joilla on siihen oikeutettu käyttötarkoitus. IGA-alustat tuottavat tarkastajien edellyttämät käyttöoikeuksien tarkistustiedot, käyttöoikeusraportit ja käyttöoikeuksien myöntämisen auditointiketjut.

Tässä oppitunnissa opitte, että identiteettien hallinto hallitsee työntekijän liittymisen, roolin vaihtumisen ja lähtemisen elinkaarta varmistaakseen, että käyttöoikeudet ovat aina asianmukaiset, käyttöoikeuksien sertifiointitarkistuksilla vahvistetaan säännöllisesti, että oikeudet ovat edelleen perusteltuja ja SCIM automatisoi käyttöoikeuksien myöntämisen ja poistamisen estääkseen orpoutuneet tilit ja lyhentääkseen käyttöönottoviiveitä. Seuraavaksi tutustumme juuri oikeaan aikaan myönnettäviin käyttöoikeuksiin ja ehdollisen käytön käytäntöihin.