Identiteetin- ja pääsynhallinta on Zero Trustin peruskivi – molemmissa tarvitaan jatkuvaa kehittämistä .

Zero Trust on uusi kokonaisvaltainen tapa suhtautua siihen, kuinka organisaation tietoturva rakentuu. Identiteetin- ja pääsynhallinta on ajattelumallin soveltamisessa keskeisessä asemassa. Kehittämällä molempia rinta rinnan päästään jatkuvasti lähemmäs parempaa tietoturvaa ja käyttäjäkokemusta.

Perinteisesti yritysten tietoturva on nähty kuin linnan salaisena ja kauniina puutarhana, jonka ulkorajat on suojattu muurein. Nykymaailmassa tämä ajattelutapa ei toimi: työ on paikatonta ja tapahtuu hybridiympäristössä, jossa hyödynnetään erilaisia pilvipalveluita, omaa konesalia ja kolmansien osapuolten palveluita. Tällaisessa ympäristössä turvatason ylläpitäminen perinteisin keinoin on vaikeaa.

Zero Trust -konsepti tarjoaa tilanteeseen uudenlaisen ratkaisun. Perinteisten palomuurien sijaan raja-aitoja rakennetaan nyt identiteetin- ja pääsynhallinnan avulla. Ihmisiin luotetaan, mutta luottamus ei ulotu heidän laitteisiinsa. Siksi ne varmistetaan aina ennen pääsyä johonkin palveluun, sovellukseen tai järjestelmään. Käyttöoikeudet annetaan vain siinä määrin, kun henkilö tarvitsee niitä työnsä tekemiseen.
 

Zero Trustia voi usein alkaa rakentaa nykyisen IT-infran päälle – kunhan se on kunnossa 

Zero Trust -konseptia ei voi ostaa valmiina kaupan hyllyltä, sillä kyseessä on pitkäaikainen muutos. Muutosta toteutetaan iteratiivisesti osa-alue kerrallaan. Teknologia tähän voi olla jo osin valmiina, jolloin organisaatio voi aloittaa Zero Trust -matkansa ilman teknologiainvestointeja.

Toisaalta IT-infran on oltava hyvässä kunnossa, jotta matkasta tulisi kivuton. On tiedettävä, ketkä käyttävät järjestelmiä, millä laitteilla, millaisilla oikeuksilla ja mihin käyttäjien on päästävä. Monessa organisaatiossa näihin kysymyksiin on vaikea vastata. Lisäksi tilanne muuttuu koko ajan, kun uusia käyttäjiä, laitteita ja järjestelmiä tulee ja toisia poistuu.

Identiteetin- ja pääsynhallinta keskeisessä asemassa

Zero Trust -konseptin keskeinen periaate on, että identiteetti tunnistetaan ja käyttöoikeudet tarkistetaan lähes reaaliajassa aina, kun henkilö haluaa pääsyn esimerkiksi tiettyyn järjestelmään. Identiteetin- ja pääsynhallinta on ydin, jota ilman näitä toiminnallisuuksia ja kokonaisuutta on miltei mahdoton rakentaa.

Yrityksellä voi olla käytössään hyvät ratkaisut identiteetin- ja pääsynhallintaan, mutta niiden kypsyystasossa on usein parannettavaa Zero Trustin kannalta. Vaikka teknologia olisi valmiina, sitä on myös osattava käyttää oikein.
 

Viisi peruspilaria Zero Trustin toteuttamiseen identiteetin- ja pääsynhallinnan avulla

Identiteetin- ja pääsynhallinta tarjoaa useita keskeisiä rakennuspalikoita Zero Trust -toiminnallisuuksien toteuttamiseen. Oleellisimpia ovat seuraavat:

1. Tunnistaminen

Zero Trust -konseptissa käyttäjä tunnistetaan aina, kun hän menee uuteen sovellukseen, järjestelmään tai paikkaan. Näin varmistetaan, onko käyttäjä se, joka hän sanoo olevansa ja tuleeko hänen päästä haluamaansa paikkaan. Tunnistamiseen on erilaisia tapoja: perusasioihin on päästävä yksinkertaisesti, mutta arkaluonteisemmat tiedot voivat vaatia lisätunnistautumista. Sopiva tunnistamistapa voi riippua siitäkin, miltä laitteelta tai verkosta käyttäjä tulee.

2. Identiteetti

Identiteetti on eri asia kuin käyttäjän tunnistaminen: identiteetti määrittelee, kuka käyttäjä on ja millaisia ominaisuuksia häneen liittyy, kun taas tunnistaminen varmistaa tämän. Identiteetin mukaan määritellään käyttöoikeudet, ja näiden käyttöoikeuksien mukaan henkilö saa tunnistamisen jälkeen palvelut käyttöönsä.

3. Käyttöoikeuskohteiden katalogi

Erilaiset käyttöoikeudet mallinnetaan järjestelmällisesti.  Käyttöoikeuksien hahmottamista helpotetaan paketoimalla käyttöoikeuksia erilaisiin rooleihin liittyviksi kokonaisuuksiksi.

4. Käyttövaltuuksien mallintaminen

Käyttövaltuuksien mallintaminen ja ylläpito tapahtuu määriteltyjen prosessien ja automaation avulla. Prosessin mukaan esimerkiksi esihenkilö tai järjestelmän pääkäyttäjä voi antaa määrätylle henkilölle roolin, jolloin tämä saa käyttöönsä roolin mukaiset oikeudet. Riskitasosta riippuen loppukäyttäjä voi käydä ottamassa järjestelmiä ja sovelluksia käyttöön myös itsepalveluna.

Kun prosessissa hyödynnetään automaatiota, järjestelmä osaa myöntää roolin mukaiset käyttöoikeudet automaattisesti. Käyttöoikeuksia voidaan mallintaa myös ohjelmallisesti, jolloin esimerkiksi organisaation tietyn toimipisteen työntekijöille annetaan samat perusoikeudet. Puhutaan myös roolien louhinnasta (role mining), jossa käyttöoikeusdatasta etsitään toisiaan muistuttavia asioita ja rooleja mallinnetaan tämän tiedon perusteella.

5. Käyttövaltuuksien katselmointi

Zero Trust -konseptissa tietojen ajantasaisuus on oleellista: mitä lyhyemmän aikaa tiedoissa on virheitä tai puutteita, sitä parempi tietoturva ja toisaalta käyttäjäkokemus voidaan saavuttaa. Siksi tietoja tulee katselmoida määräajoin. Katselmointikampanjassa järjestelmän haltija ohjataan tarkistamaan käyttäjät ja käyttöoikeuskohteet sekä päivittämään muuttuneet tiedot.

Identiteetin- ja käytönhallinta ja Zero Trust ovat siitä samanlaisia, että molempia kehitetään askel kerrallaan kohti siirtyvää maalia. Vaikka maailma ei tältä osin tule koskaan valmiiksi, siitä voidaan joka päivä tehdä hieman entistä parempi.

Tarvitsetko asiantuntemusta Zero Trust -konseptia tukevista identiteetin- ja käytönhallinnan ratkaisuista? Tutustu palveluihimme.

Kirjoittaja Principal Consultant Mika Käck työskentelee Epicalin Digitaalisen luottamuksen tiimissä Suomessa. Hän rakentaa tehtävässään uusia digitaalisen identiteetin palveluita asiakkaillemme.

Artikkeli on julkaistu ensimmäisen kerran Tivissä 9.11.2022.