Yhteinen käyttövaltuushallinta digitaalisiin ja fyysisiin ympäristöihin. Kuka ehtii ensimmäisenä?

15.05.2018
Risto Puustinen

Kerroin edellisessä blogissani salasanaviidakon tuomista arjen haasteita ja miten ne olisi ratkottavissa. Nyt vien keskustelua hieman pidemmälle, ja kerron miksi käyttövaltuushallinta sekä pääsynhallinta pitäisi ulottaa digitaalisen maailman lisäksi fyysisiin turvallisuusratkaisuihin. Teknologia ei ole enää esteenä, sillä fyysisiin turvallisuusratkaisuihin voidaan nykyään integroida myös keskitetty käyttäjätietovarasto, eli AD.

Yritysjohtajana ja liiketoimintajohtajana vaatisin ratkaisuja, joilla voisin kontrolloida, kuka pääsee ja mihin tiloihin. Miksi? Siksi, että se lisää työn tehokkuutta, parantaa liiketoiminnan jatkuvuutta sekä kyberturvallisuutta.

Mietitään vaikkapa tehdasalueella sijaitsevissa toimitiloissa työtä tekevää henkilöä. Yritys haluaa varmistaa, että henkilöllä on lupa päästä tehtaan porteista sisään. Toimistotiloihin ja jopa yksittäisiin huoneisiin annetaan pääsy vain tietyille työntekijöille. Yrityksen tietoverkkoon sekä tietojärjestelmiin kirjautuminen vaatii myös omat tunnukset ja käyttöoikeudet. Nämä kaikki voisi hoitaa keskitetysti yhdellä käyttövaltuus- ja pääsynhallintaratkaisulla.

Voisivatko yritykset, kaupungit, oppilaitokset, jne. toteuttaa yhdessä uusia palveluja tai kansainvälisen tason älykkäitä keskittymiä? Onko älykkäiden sähköisten palveluiden ja palveluketjujen syntyminen mielestäsi kaukainen haave?

Kulunvalvonta hoituisi alueella ja tiloissa elektronisin tunnistein ja sähköisellä lukituksella. Digitaalisiin palveluihin luotaisiin omat tunnisteet.

Kyberturvaa ja liiketoiminnan jatkuvuutta

Kyberturvallisuus kattaa tietotekniikan ja tietojärjestelmien lisäksi myös fyysiset tilat.

GDPR tuo yrityksille uusia ilmoitusvelvoitteita sekä johdolle isojakin sanktioita henkilödatan heikosta suojaamisesta. Henkilödatan määrät kasvavat nopeasti, ja yrityksissä pitää varmistaa, että ne ovat joustavasti ja tietoturvallisesti käytettävissä. Vähän on puhuttu siitä, että suojattavaa dataa säilytetään paljon myös paperilla, toimistoissa ja arkistoissa. Paperiset asiakirjat ovat edelleen yleisiä esimerkiksi autojen ja asuntojen kaupoissa, pankkipalveluissa sekä valtion eri virastoissa.

Miten yrityksesi kontrolloi pääsyä arkistoihin? Miten varmistat, ettei talosta lähtenyt henkilö enää pääse toimistotiloihin tai tehdasalueelle työsuhteen päättymisen jälkeen?

Kulkuoikeuksia, eli avaimia ja kulkunappeja, hallitaan tällä hetkellä valtaosin omissa erillisissä järjestelmissä, vahvasti manuaalisin prosessein. Muutosten kontrollointi on vaikeaa ja työlästä työntekijän toimenkuvan tai roolin muuttuessa, kun esimerkiksi kulkunapit ja avaimet pitää kerätä talteen.

Mitä jos oikeudet hoituisivat yhden järjestelmän kautta? Jokaiselle työntekijälle voitaisiin luoda tunnukset ja kulkuoikeudet toimenkuvan mukaan heti ensimmäisestä työpäivästä alkaen sekä poistaa ne automatisoidusti työsuhteen päättyessä. Tehtävien muuttuessa oikeuksia ja kulkulupia voitaisiin päivittää kätevästi. Henkilöiltä voitaisiin poistaa pääsy tiettyihin tiloihin tai vastaavasti lisätä kulkuoikeuksia tiloihin, joihin ei aiemmin ole saanut mennä. Itsepalvelua voisi edistää ja siinä voidaan hyödyntää Väestörekisterikeskuksen suomi.fi-tunnistautumispalvelua.

IoT:n edistäminen vaatii käyttövaltuushallintaa

IoT:n tehokas edistäminen ei onnistu tietoturvallisesti ilman keskitettyä käyttövaltuushallintaa. Sähköiset lukitusratkaisut, kuten sähkölukot, yleistyvät. Se on ikään kuin yksi sensori tai esine, joka on liitetty verkkoon. Uskon, että digitaaliset lukitusjärjestelmät tulevat hyödyntämään samoja käyttäjätietovarastoja ja sen kautta saatavia tietoja käyttäjän oikeuksista.

Osa yrityksistä hankkii nyt kulunvalvonnan ratkaisuja, jotka ovat integroitavissa AD:hen, mutta eivät oivalla, että ne voisi yhdistää myös digitaaliseen maailmaan. Nyt tarvitaan digitaalista ympäristöä hallinnoivan tietohallinnon sekä fyysisten tilojen turvallisuudesta vastaavien tahojen, kuten kiinteistöpäälliköiden, välistä yhteistyötä.

Mikä yritys, kaupunki, kunta tai muu toimija tulee ensimmäisenä hyödyntämään keskitettyä käyttäjävaltuushallintaa fyysisissä ja digitaalisissa ympäristöissään? Kuka on se palveluntarjoaja, joka paketoi ensimmäisenä molemmat maailmat kattavan käyttövaltuus- ja pääsynhallinnan palveluksi, eli Access Control as a Serviceksi (ACaaS)? Olen varma, että sellaiselle olisi kova tarve.

Seuraavassa blogissa kerron miten identiteettitietojen hallinnan ja hallinnoinnin arkkitehtuuri, eli IGA, kannattaa toteuttaa sekä mitä se tarkoittaa!

Risto Puustinen

liiketoiminnan kehityspäällikkö, tietoturva, Micro Focus Suomi

PS. käy tutustumassa Micro Focuksen palveluihin täältä