Käyttäjän elinkaaren hallintaprosessi

Käyttäjän elinkaaren hallinta (User Lifecycle Management, ULM) on keskeinen osa identiteetinhallintaa (Identity Governance and Administration), ja se keskittyy käyttäjäidentiteettien koko elinkaaren hallintaan organisaatiossa.

ULM sisältää useita prosesseja ja vaiheita aina käyttäjän alkuperäisestä käyttöönotosta (onboarding) hänen lopulliseen poistumiseensa (offboarding) tai käyttöoikeuksien poistoon (de-provisioning) asti. ULM:n ensisijaisena tavoitteena on varmistaa, että sekä sisäisillä että ulkoisilla käyttäjillä on heidän roolinsa edellyttämät käyttöoikeudet ja valtuudet organisaatiossa tai sen kanssa tehtävässä yhteistyössä, samalla kun tietoturvariskit minimoidaan.

Käyttäjän elinkaari koostuu tyypillisesti seuraavista vaiheista:

• Käyttöönotto (Onboarding): Tämä on ensimmäinen vaihe, kun uusi käyttäjä liittyy organisaatioon. Käyttöönoton aikana identiteetinhallintajärjestelmä (IGA) luo käyttäjäidentiteetin, myöntää tarvittavat käyttöoikeudet ja valtuudet käyttäjän roolin ja vastuiden perusteella sekä määrittää tunnistautumistiedot (esim. käyttäjätunnukset, salasanat tai muut tunnistautumismenetelmät).
• Käyttö ja seuranta: Käyttäjän toiminnan ja käyttöoikeuksien seuranta on olennaista poikkeamien tai tietoturvauhkien havaitsemiseksi. IGA-järjestelmät voivat valvoa käyttäjän toimintaa, tuottaa lokitietoja ja tarjota näkymän epäilyttävään toimintaan.
• Käyttäjätietojen päivitysten hallinta: Kun käyttäjän rooli, osasto tai vastuualue organisaatiossa muuttuu, hänen käyttöoikeutensa on päivitettävä vastaavasti. Tämä vaihe sisältää käyttöoikeuksien muokkaamisen vastaamaan uusia vaatimuksia samalla kun varmistetaan, että tarpeettomat käyttöoikeudet poistetaan.
• Poistuminen (Offboarding): Kun käyttäjä poistuu organisaatiosta tai ei enää tarvitse pääsyä tiettyihin resursseihin, käynnistetään poistumisprosessi. Tämä sisältää käyttöoikeuksien poistamisen, tilien poistamisen käytöstä ja sen varmistamisen, ettei lähtevä käyttäjä enää muodosta tietoturvariskiä. On tärkeää poistaa käyttäjät järjestelmästä viipymättä, jotta estetään luvaton pääsy.
• Arkistointi ja tietojen säilyttäminen: Joissakin tapauksissa organisaatioiden on arkistoitava käyttäjätietoja ja säilytettävä niitä lakisääteisistä tai vaatimustenmukaisuuteen liittyvistä syistä myös sen jälkeen, kun käyttäjä on poistunut organisaatiosta. Tämä vaihe sisältää arkistoitujen käyttäjätietojen turvallisen säilyttämisen ja hallinnan.
• Raportointi ja vaatimustenmukaisuus: Koko käyttäjän elinkaaren ajan organisaatioiden on ylläpidettävä tietoja käyttöoikeuksista ja suoritetuista toimenpiteistä auditointia ja vaatimustenmukaisuutta varten.

ULM auttaa organisaatioita varmistamaan tietoturvan, vaatimustenmukaisuuden ja toiminnan tehokkuuden. ULM:n avulla käyttöoikeudet vastaavat liiketoiminnan tarpeita ja tietoturvakäytäntöjä käyttäjän matkan kaikissa vaiheissa organisaatiossa. Automatisoitu ULM voi tehostaa monia näistä prosesseista, jolloin ne ovat tehokkaampia ja vähemmän alttiita inhimillisille virheille.

Eurooppalaisten organisaatioiden tyypilliset ULM:ään liittyvät haasteet:

• Viivästynyt poistuminen: 90 % organisaatioista kertoo, että poistumisprosessi kestää useita päiviä, mikä lisää tietoturvariskejä.
• Manuaalinen käyttäjien luonti: Käyttäjien luonti perustuu usein manuaaliseen työhön tai räätälöityihin skripteihin Active Directoryssa, jotka eivät tue päivityksiä. Tämä lähestymistapa voi johtaa tietoturvariskeihin ja uusien EU-säädösten noudattamatta jättämiseen.
• Tiheät käyttäjäpäivitykset: Käyttäjätietoja, erityisesti tilapäistyöntekijöiden tai osastonvaihdosten yhteydessä, on päivitettävä usein. Manuaaliset menetelmät ovat sekä kalliita että riskialttiita.
• Epäjohdonmukainen käyttöoikeuksien hallinta: Yhdenmukaisten käyttöoikeuskäytäntöjen hallinta ja noudattaminen organisaation resursseissa koko käyttäjän elinkaaren ajan on vaikeaa.
• Manuaalinen tilien hallinta: IT-ylläpitäjät hallinnoivat käyttäjätilejä usein manuaalisesti, mikä lisää kustannuksia ja tietoturvariskejä.
• Epäjohdonmukaisuuksien tunnistaminen: IT-ylläpitäjien on manuaalisesti tunnistettava HR-järjestelmien käyttäjätietojen ja asiakkaan hakemistojen tilitietojen väliset epäjohdonmukaisuudet. Tämä tehtävä on vaikea ja kallis, ja se johtaa usein siihen, että käyttämättömät tai orpotilit jäävät tunnistamatta.
• Käyttöoikeuksien hallinta pitkien poissaolojen aikana: Käyttöoikeuksien manuaalinen käsittely pitkien poissaolojen, kuten äitiys- tai sairauslomien, aikana voi johtaa tietoturvaongelmiin, jos käyttöoikeuksia ei poisteta asianmukaisesti käytöstä.

Efecte IGA tarjoaa käyttötapauksia ja ominaisuuksia, jotka vastaavat aiemmin mainittuihin haasteisiin:

Helppo käyttöönotto: Käyttöönottoa voidaan hallita helposti Efecte IGA Self-Servicen kautta käyttämällä "Create New User" -käyttötapausta.
Vaihtoehtoisesti täysin automatisoitu käyttöönotto on mahdollista, kun integraatio HR-järjestelmiin on käytössä, hyödyntäen User Lifecycle Management -käyttötapausta.

Helpot päivitykset: Päivityksiä voidaan hallita Efecte Self-Servicen kautta käyttämällä "Update User Information" -käyttötapausta.
Täysin automatisoidut päivitykset ovat myös mahdollisia, kun integraatio HR-järjestelmiin on käytössä, hyödyntäen User Lifecycle Management -käyttötapauksia.
Nämä päivitykset voivat koskea henkilötietoja, kuten etu- tai sukunimen muutoksia, jolloin IGA-ratkaisu luo käyttäjälle uudet hakemistoattribuutit. Työsuhdetietojen päivitysten, kuten titteliin liittyvien muutosten, osalta IGA-ratkaisu validoi ja päivittää hakemistot sekä muokkaa käyttäjän käyttöoikeuksia (entitlements), jos automatisoidut säännöt ovat käytössä.

Helppo poistuminen: Poistumista voidaan käsitellä Efecte Self-Servicen kautta käyttämällä "Update Departing User Information" -käyttötapausta.
Täysin automatisoitu poistuminen on myös mahdollista, kun integraatio HR-järjestelmiin on käytössä, jälleen käyttäen User Lifecycle Management -käyttötapausta.

• Poistuminen sisältää tyypillisesti käyttäjän työjakson/työjaksojen päättämisen, niihin liittyvien hakemistotilien deaktivoinnin ja käyttöoikeuksien poistamisen. Tämä prosessi käynnistyy asettamalla käyttäjän työjakson työsuhteen päättymispäivä.
  • Jos fyysistä kulunvalvontaa hallitaan IGA-ratkaisun kautta, poistuminen sisältää myös avainten, kulkukorttien yms. palauttamisen.
  • Poistumista voidaan laajentaa ITSM/ESM (Enterprise Service Management) -käyttötapauksilla, kuten laitteiden, työvaatteiden yms. palauttamisella.

Work Period Management: Asiakkaat voivat määrittää toimenpiteitä, jotka liittyvät IGA-ratkaisun vastaanottamiin tietoihin, mukaan lukien useita aktiivisia työjaksoja omaavien käyttäjien käsittelyn.

Account Management: Määrittää, mitä tietoja toimitetaan ja mihin asiakkaan hakemistoon/hakemistoihin.

Automated Rules: Efecte IGA -ratkaisu mahdollistaa ylläpitäjille automatisoitujen sääntöjen määrittämisen organisaatioyksiköihin, kustannuspaikkoihin ja tehtävänimikkeisiin liittyvien tietojen perusteella. Toiminta-alue kattaa attribuuttipohjaisen käyttöoikeuksien hallinnan (Attribute-Based Access Control, ABAC), roolipohjaisen käyttöoikeuksien hallinnan (Role-Based Access Control, RBAC) sekä organisaatiopohjaisen käyttöoikeuksien hallinnan (Organization-Based Access Control, OrBAC).

Ylläpitäjän raportointi ja toimenpiteet: IGA-ylläpitäjän raportointi ja muut tarvittavat toimenpiteet on kuvattu User Lifecycle Management -käyttötapauksissa (katso luku Use Cases for IGA Admins).

Käyttäjän henkilö- ja työsuhdetiedot voidaan vastaanottaa Self-Service-ratkaisusta (esimerkiksi ulkoisten käyttäjien osalta) tai HR-järjestelmästä valmiin liittimen, Efecte Integration Servicen tai Open API -integraation kautta.

Seuraava kuva havainnollistaa Efecte IGA:n ULM-prosessiin liittyviä käyttötapauksia. ULM perustuu ARM-käyttötapauksiin ja -ominaisuuksiin, mukaan lukien raportointi ULM:n vaatimustenmukaisuustarpeisiin.