KARELIA-AMMATTIKORKEAKOULU IDENTITEETINHALLINNAN JA HENKILÖYDINTIETOJEN KEHITTÄ- MINEN\nDownload KARELIA-AMMATTIKORKEAKOULU IDENTITEETINHALLINNAN JA HENKILÖYDINTIETOJEN KEHITTÄ- MINEN\nIDENTITEETINHALLINNAN JA HENKILÖYDINTIETOJEN KEHITTÄMINEN\nTutkimuksen tarkoituksena on havaita ja raportoida mahdollisia puutteita ja virheitä ulkoisten palveluntuottajien henkilöydintietojen käsittelyssä. Tutkimuksen tuloksena tuotetaan konkreettisia prosessien korjaustoimenpiteitä ja toiminnan jatkokehittämissuunnitelma.\nTutkimuksessa keskitytään ulkoisten asiantuntijoiden käyttöoikeuksien elinkaaren hallintaan ja tässä työssä käsiteltävän henkilöydintiedon laatuun. Tutkimus osoittaa tarpeen\nhenkilöydintietojen laadun ja käyttöoikeuksien käsittelyn kehittämiseen. Työn aikana on\nkehitetty Privileged Access Rights -hallintajärjestelmän prosessia. Uusina tuotteina on\nnoussut tarve jatkotutkimukselle Privileged Access Management (PAM) -järjestelmän\nliiketoimintatarpeista yrityksen toimintaympäristössä.\nTutkimuksen tulosten perusteella voidaan osoittaa selkeä tarve jatkokehittää ulkoisten\ntyöntekijöiden henkilöydintietojen hallintaa sekä koko yrityksen tasolla identiteetin ja\nidentiteetinhallinta, henkilöydintieto, pääkäyttäjäoikeudet\nDegree Programme in Technology\nDevelopment of Person Master Data and Identity Management\nThe purpose of this work was to find and report possible deviations and errors in user's\npersonal identity and access management processes. As the result of the investigation,\nconcrete development plans will be created as well as recommendations to develop person master data management, identity governance and management.\nThis study focuses on how to develop personal identity and access management at corporate level. Special target group is external employees and consultants. During this\nwork the Privileged Access Rights process has been further developed. There is need\nfor further research on Privilege Access Management tool.\nBased on the results of the research there is a clear need to continue to develop external users Master Data Management and corporate level Identity and Access Management.\nPages of Appendices 31\nidentity management, personal master data, privileged access management\nTiivistelmä ................................................................................................................ 2\nAbstract .................................................................................................................... 3\nEsipuhe .................................................................................................................... 6\nKäsitteet ja lyhenteet................................................................................................ 7\n1 Johdanto............................................................................................................ 8\n1.1 Tehtävänanto .............................................................................................. 9\n1.2 Kehittämistehtävä ....................................................................................... 9\n1.3 Tehtävän rajaus ........................................................................................ 11\n1.4 Opinnäytetyön rakenne ............................................................................. 11\n2 Toimeksiantajan esittely .................................................................................. 12\n3 Teoreettinen tausta ......................................................................................... 16\n3.1 ITIL-näkökulma ......................................................................................... 17\n3.2 COBIT ....................................................................................................... 18\n3.3 ISF ............................................................................................................ 19\n3.4 ISO/IEC 27000.......................................................................................... 20\n3.5 Henkilötietolaki.......................................................................................... 22\n3.6 Arkkitehtuuri .............................................................................................. 23\n3.7 Tiedon laatu .............................................................................................. 25\n3.8 Identiteetinhallinta ..................................................................................... 26\n3.9 Identiteetin ja käyttöoikeuden hallinta ....................................................... 27\n3.10 Ydintieto................................................................................................. 29\n3.11 Riskialttiit työyhdistelmät ja pienimmän käyttöoikeuden periaate .......... 32\n3.12 Privileged Access Management (PAM) ................................................. 34\n3.13 Role Based Access Control (RBAC)...................................................... 36\n3.14 Valittu teoria........................................................................................... 38\n4 Tutkimusmenetelmät ....................................................................................... 39\n4.1 Kvalitatiivisen tutkimuksen strategia ......................................................... 40\n4.2 Haastattelut............................................................................................... 41\n4.3 Prosessien mittaaminen............................................................................ 42\n4.4 Toiminnan havainnointi ............................................................................. 43\n5 Haastattelututkimus ......................................................................................... 43\n5.1 Haastatteluiden satoa ............................................................................... 45\n5.2 Tunnustilauksen läpimenoaikojen ennustamattomuus ............................. 45\n5.3 PAR-tilaus ................................................................................................. 46\n5.4 Henkilöydintiedon hallinta ......................................................................... 47\n5.5 Käyttäjätunnuksen elinkaari ...................................................................... 48\n5.6 Havaintoja identiteetin hallinnasta ............................................................ 50\n5.7 Tiedon laatu .............................................................................................. 52\n5.8 Haastatteluiden lopuksi ............................................................................. 54\n5.9 Vertailututkimus ........................................................................................ 55\n5.10 Toimittajaesittelyt ................................................................................... 55\n5.11 Kyselytutkimus....................................................................................... 56\n6 Tapausmäärät ja läpimenoajat ........................................................................ 56\n6.1 Ulkoistuskumppanin PAR-tunnukset ......................................................... 57\n6.2 Aktiiviset tunnukset ................................................................................... 59\n6.3 Käyttöoikeuden hallintaprosessi ............................................................... 60\n6.4 Pääkäyttäjäoikeusprosessin läpimenoajat ................................................ 65\n7 Havaintoja ....................................................................................................... 69\n8 Johtopäätökset ja suositukset ......................................................................... 71\n8.1 Kehitystoimenpiteet .................................................................................. 72\n8.2 Henkilöydintietojen siivous ........................................................................ 72\n8.3 Henkilöydintiedon kehittäminen ................................................................ 73\n8.4 PAM-järjestelmän käyttöönotto ................................................................. 74\n8.5 Identity and Access Management (IAM) ................................................... 75\n8.6 Jatkotutkimuksia ....................................................................................... 75\n8.6.1 Rooliperustainen käyttöoikeusmäärittely ............................................... 76\n8.6.2 Identity as a Service (IdaaS).................................................................. 76\n8.7 Tutkimuksen arviointi ................................................................................ 77\nLähteet ................................................................................................................... 79\nLiite 1. Raporttigeneraattorin asetukset\nLiite 2. Käyttöoikeuden hallintaprosessi\nLiite 3. Security aspects for Non-Corporate employees email usage\nLiite 4. Henkilöydintieto standardi\nLiite 5. AD Finder poiminta\nLiite 6. Ilmoitus käyttöoikeuden vanhenemisesta\nLiite 7. IAM-liiketoimintavaatimukset\nLiite 8. Haastateltavat (sisäinen)\nLiite 9. Tutkimus- ja haastattelukysymykset\nLiite 10. Taulukot\nLiite 11. Kuviot\nLiite 12. Kuvat\nTutkimusraportti on kirjoitettu yhteiskuntapalveluita tuottavan yrityksen tietoturvajohdon toimeksiannosta. Tutkimuksessa on keskitytty yrityksen tietoteknisten peruspalveluiden käyttäjien identiteetinhallinnan nykytilaan. Raportissa esitetään tutkimuksen aikana esille nousevia käyttäjäidentiteettien hallintaan liittyviä kehityskohteita. Erityisenä kiinnostuksen kohteena ovat vuokratyöntekijöiden, ulkoisten\nresurssien, konsulttien ja partnereiden käyttäjäidentiteettien elinkaaren hallinta.\nTutkimuksen tuloksia voidaan käyttää yrityksen identiteetinhallinnan toimintojen\nTutkimuksen aikana on kehitetty, ja tulosten avulla tullaan kehittämään sisäisten\nprosessien toiminnallisuuksia, käytäntöjä ja ohjeistuksia tietoturvallisempaan ja\ntoimintoja tehostavaan suuntaan. Työ tarjoaa identiteettien hallinnan toteuttamisen\nperustaksi uusia toimintamalleja ja työkaluja. Tutkimus, haastattelut ja raportti on\ntoteutettu vuosien 2014 ja 2015 aikana.\nEsitän kiitokseni yrityksen turvallisuusjohtajalle mahdollisuudesta työskennellä\nkiinnostavan ja haastavan aiheen parissa. Samalla kiitän työn valmistelussa ja\napuna toimineita kollegoita sekä asiantuntijoita. Lopuksi haluan kertoa erityiskiitokset Siljalle ja Otolle tuesta opinnäytetyön kirjoittamisessa.\nJoensuu, Huhtikuu 2015\nCMDB, Configuration Management Data Base, konfiguraatiotietokanta\nCRM, Customer Relationship Management, asiakkuudenhallinta\nERP, Enterprise Resource Planning, toiminnanohjausjärjestelmä\nIAM, Identity and Access Management, identiteettien ja pääsyn hallinta\nIdaaS, Identity as a Service, identiteetin hallinta palveluna\nIdM, Identity Management, identiteetin hallinta\nITSM, IT Service Management, IT-palvelun hallinta\nMD, Master Data - ydintieto, esimerkiksi asiakas-, henkilöstö- tai toimittajatietoja\nMDM, Master Data Management, henkilöydintiedon hallintaprosessi\nPAR, Privileged Access Rights, etuoikeutetut käyttöoikeudet\nRBAC, Role-Based Access Control, rooliperusteinen käyttöoikeusmalli\nAmmattitaito ja oman työn arvostus nousevat esille käytettäessä työtehtävään\nsuunniteltuja, toimivia ja turvallisia työvälineitä. Oikea-aikaiset käyttöoikeudet ja\ntehtävään sopivat käyttövaltuudet ovat sopivien IT-työkalujen lisäksi osa työntekijän työkalupakkia. Käyttöoikeuksien tilaaminen ja hallinnointi ovat osa yrityksen\nkäyttöoikeuksien hallintaprosessia. Esimiehen onnistuminen resurssien osaamisenjohtamisessa on osaltaan kytketty yrityksen käyttöoikeusprosessien toimivuuteen. Oikea-aikainen ja tehtävän mukainen käyttöoikeus ovat käyttöoikeuden\nTyötehtävien suorittamiseen kuulumattoman luottamuksellisen tiedon vuotaminen\nyrityksen ulkopuolelle, tai työtehtäviin kuulumattoman tiedon käsittely voi tuottaa\nyrityksen liiketoiminnoille vakavia ongelmia. Edellisen työtehtävän käyttöoikeudet\nvoivat periytyä uuteen työtehtävään tai toisen liiketoiminnan palvelukseen siirtyneelle työntekijälle tai konsultille. Tehtävän vaihdoksessa työntekijä ei pääse irti\nedellisistä vastuista tai tehtävistä ja näin uuden tehtävän tehokas haltuun ottaminen viivästyy. Tarpeettoman laajat käyttövaltuudet voivat avata pääsyn tietoon,\njohon henkilöllä ei työroolinsa vuoksi tulisi pääsyä olla. Käyttöoikeuksien laaja kertymä yhdelle työntekijälle voi aiheuttaa organisaation kannalta vaarallisen työyhdistelmän. Käyttöoikeuksien ajantasainen seuranta ja raportointi pienentävät riskejä\nvaarallisten työyhdistelmien syntymiseen ja liiketoimintatiedon vuotamiseen asiaan\nkuulumattomien henkilöiden saataville.\nHenkilöresurssien käytön ohjaaminen ja käyttöoikeushallinta voidaan nähdä myös\nmuutosjohtamisen näkökulmasta. Onnistuminen muutoksen johtamisessa vaatii\ntuekseen käytössä olevien työkalujen ja resurssien saumatonta yhteistyötä. Resurssien oikea-aikaista käyttöön saattamista voidaan tukea toimintojen sekä prosessien kehittämisellä ja järjestelmien välisten rutiinitehtävien automatisoinnilla.\nKäyttöoikeuden tilaajilla ja ylläpitäjillä on tärkeä rooli liiketoimintakriittisten tietojen\nsuojaamisessa. Käyttöoikeuksien hallinta ohjaa konkreettisesti tekemistä ja on mitä\nsuurimmassa määrin työn ja prosessien johtamisen apuväline. Käyttöoikeuden\nelinkaarimallin tutkiminen ja kehitystyö tukevat osaamisen johtamista yrityksen tasolla.\nEdellisessä luvussa esitettyjen havaintojen ja käytännön toiminnasta tehtyjen olettamusten perusteella yrityksen turvallisuusjohtaja antoi tehtäväksi selvittää tutkimuksellisin menetelmin käyttöoikeuksien hallintaprosessin todelliset ongelmakohdat. Työn tavoite on tutkimuksellisin menetelmin havainnoida identiteetinhallinnan\nelinkaaren ongelmia, sekä arvioida ja raportoida mahdollisia kehityskohteita. Tässä\nraportissa esitellään kehityspolku identiteetinhallinnan työvälineille ja kehitysehdotuksia käytössä oleviin prosesseihin.\nTurvallisuusjohtaja nosti esille kiinnostuksen ulkoisten palveluntuottajien eli konsulttien käytössä olevien käyttäjätunnusten elinkaaren hallinnassa havaittuihin ongelmiin ja niiden ongelmien ratkaisemiseen. Tutkimuksessa kerätään käyttöoikeuksien tilaajilta kehitysideoita ja toiveita käyttöoikeusprosessin laadun ja toiminnan\nKehittämistehtävän tavoitteena on yrityksen henkilöydintietojen ja identiteetinhallinnan kehittäminen. Kehittämistehtävän syötteenä ja tukena käytin työkaluina\nhaastatteluita ja prosessien läpimenoaikojen havainnointia. Työn tuloksena annan\nTutkimuskysymyksien avulla pyrin tunnistamaan käyttöoikeuksia tilaavien käyttäjien havaintoja ja odotuksia identiteetin hallintaprosessin toiminnasta ja käyttäjätunnus tilauksien läpäisyajoista. Annetun tehtävän ja kohderyhmän perusteella määrittelin seuraavat tutkimuskysymykset.\n1. Millaisia odotuksia käyttöoikeuden tilaajilla on tilausprosessiin?\nTavoitteena on kerätä tilaajan havaintoja, käsityksiä ja odotuksia käyttöoikeuden\ntilausprosessista. Pyrin havaitsemaan haastateltavan käsityksiä käyttöoikeusprosessin kokonaisuudesta. Haastattelukysymyksistä johdetun keskustelun avulla kerään tunnuksen tilaajan käsityksiä ja odotuksia identiteetinhallinnan yksityiskohtaisiin toimintoihin.\n2. Millaisia odotuksia prosessin käyttäjillä on käyttöoikeusprosessin läpimenoaikoihin?\nTilaaja-asiakkaan odotukset tilauksen läpimenoajalle vaihtelevat käyttötapauksen\nmukaan. Tavoitteena on tunnistaa käyttäjätunnuksien tilaajien näkemyksiä ja odotuksia käytettävien resurssien oikea-aikaiseen osaamisen johtamiseen. Resurssien\noikea-aikaisen käytettävyyden takaamiseksi on syytä käsittää tilaajan vaatimukset\nuuden käyttöoikeuden tilaukseen, käyttöoikeuden muutokseen tai tunnuksen sulkemisen läpimenoajoille.\n3. Kuinka tilaaja haluaa kehittää käyttöoikeuden elinkaaren hallintaprosessia?\nTässä havainnoidaan tilaajan toiveita tutkittavaan prosessiin. Tavoitteena on saada\ntilaajakäyttäjien kehitysideoita ja toiveita prosessin toiminnan kehittämiseksi. Haastattelukysymysten avulla syvennän ymmärrystäni haastateltavien näkemyksistä ja\ntoiveista tavoiteltuun identiteetin hallintaprosessiin.\nTutkimuksessa käsiteltävä alue rajataan yrityksen henkilökunnan ja ulkoisessa palvelussuhteessa tai sopimussuhteessa olevien luonnollisten henkilöiden käyttöoikeuksien- ja identiteetin elinkaaren hallinnan tutkimukseen, sekä toiminnan kehittämissuunnitelman luomiseen. Tutkimusosassa keskityn yrityksen esimiesten ja ITasiantuntijoiden kokemuksiin identiteetinhallinnan prosesseista. Yksi tutkimushaara\ntulee käsittelemään palvelimien laajennettujen käyttövaltuuksien Privileged Access\nRights -prosessia (PAR). PAR-prosessin toiminnan tutkimisen yhdistäminen tähän\ntutkimukseen on perusteltua, koska ulkoisten palveluntuottajien käyttövaltuuksiin\nlisätään hyvin usein laajennettuja käyttöoikeuksia.\nYrityksen asiakkaiden identiteetinhallinta ja liiketoimintasovellusten käyttöoikeushallinta on järjestetty liiketoiminnoissa, ja se on sovellusten System Managereiden\nvastuulla. Liiketoimintasovellusten käyttäjätunnusten, sekä asiakkaiden tunnusten\nkäsittely rajataan tämän tutkimuksen ulkopuolelle. Työssä nousi esille tapahtumien\nläpimenoaikojen rekisteröinti myös ulkoistuskumppanin toiminnanohjausjärjestelmässä. Ulkoistuskumppanin liiketoimintasyiden ja muiden asiakkaiden tietosuojan\nvuoksi on läpimenoaikojen analysointi ulkoistuskumppanin toiminnanohjausjärjestelmästä rajattu pois tästä tutkimuksesta.\nToimeksiantajan toivomuksesta kuvaan tutkimuksen tilaajaa ja toimintaympäristöä\nniin yleisellä tasolla kuin se tässä yhteydessä on toimivaa. Tämä lähestymistapa\nkäy hyvin esille luvussa kaksi, jossa esittelen tilaajan lyhyesti. Samassa luvussa\nesittelen tilaajalle aiemmin tehtyjä tätä aihetta sivuavia tutkimuksia.\nKolmannen luvun olen varannut tutkimuksen teoreettisen taustan ja tietopohjan\nesittelyyn. Tilaaja hyödyntää IT-palvelutuotannossaan vahvasti ITIL-mallia, joten on\nluonnollista kuvata tätä maailmaa myös muutamalla sanalla. Nostan esille myös\nidentiteetinhallintaan ja tietoturvaan liittyviä perustermejä. Teoriaosuuden loppuun\nkokoan lyhyen katsauksen käytetyistä käyttöoikeusvaltuusmalleista.\nNeljänteen lukuun olen koonnut tarjolla olevien tutkimusmenetelmien kirjoa. Luvussa kuvaan perusteluita valitsemaani päätutkimusmenetelmään ja muihin tutkimuksessa käyttämiini työkaluihin. Viidennessä luvussa kuvaan haastatteluista saamiani\nhavaintoja. Kuudennessa luvussa paneudun tutkimuksessa havaittuihin prosessien\nläpimenoaikoihin. Luvussa seitsemän tuon esille muutamia mielenkiintoisia seikkoja, jotka nousivat esille tutkimuksen aikana.\nLukuun kahdeksan olen kerännyt johtopäätöksiä tutkimuksesta. Esittelen lyhyen\ntähtäimen kehityskohteita, joita on toteutettu työn edetessä. Otan tässä esityksessä kantaa myös pitkän aikavälin kehityskohteisiin. Lopuksi esittelen tämän tutkimuksen tuloksena syntyneet ajatukset kiinnostavista jatkotutkimus- ja kehityskohteista.\nTutkimuksen tilaajana toimii yhdyskuntapalveluita tuottava yhtiö. Henkilökuntaa\nyrityksen palveluksessa 31.12.2014 tilinpäätöstietojen mukaan oli noin 9000. Yrityksen päämarkkina-alueita ovat Pohjoismaat ja Venäjä.\nYhtiön IT-palveluita johdetaan ja ohjataan keskitetysti. Yrityksen IT-toiminnot jakautuvat hallintoon ja IT-palveluiden ohjaus- ja suunnittelutoimintoihin. Liiketoimintojen\nomilla IT-yksiköillä on vahva osaaminen ja vastuu divisioonien omien liiketoimintasovellusten hallinnoinnissa ja identiteetinhallinnassa.\nToiminnan kohdistuminen ydinliiketoiminnan osaamiseen on lisännyt ulkoistuspalveluiden, partnereiden ja konsulttien käyttöä. Käyttäjätunnuksista 36 % on partnereiden ja konsulttistatuksella olevien henkilöiden käytössä (taulukko 1).\nTaulukko 1. Käyttäjätunnusten jakauma, sisältäen loppukäyttäjä- ja pääkäyttäjätunnukset (CMDB 2014).\nYrityksen sisäisten ohjeiden mukaan kaikilla ulkoisilla palveluntuottajilla tulee olla\nyrityksen liiketoiminnan esimiesroolissa (manageri) toimiva henkilö. Manageriroolin\nvastuulla on esimerkiksi varmistua, että työntekijän käyttöoikeudet ovat käytettävissä, ja huolehtia käyttöoikeuksien sulkemisesta oikea-aikaisesti. Tässä yhteydessä managerin tehtävät eivät kaikissa tapauksissa pidä sisällään työnjohdollisia\nvastuita. Esille on noussut tapauksia, joissa managerin rooli on annettu yksikön\nhallinnollisen työntekijän suoritettavaksi. Toisaalta (Haastateltava 6 2014) toteaa.\n"Teknisissä ympäristöissä managerin tulee antaa työlupa tehtävälle ohjelmointimuutokselle". Tällaisissa tapauksissa managerin valvontavastuu nousee erittäin\nmerkittävään rooliin. Managerin roolissa olevien henkilöiden määrä on tutkimusta\ntehtäessä noin 500 henkilöä. Samaan aikaan konsulttistatuksella olevia aktiivisia\nkäyttäjätunnuksia on noin 4000 kpl.\nKonsultin roolissa toimivat henkilöt ovat jakautuneet maantieteellisesti ja läpi liiketoimintojen seuraavasti. CMDB-raportista poimittujen tietojen mukaan (kuvio 1)\nmukaan Suomessa ja Ruotsissa on palkattu eniten konsultteja, Venäjällä ja muissa\nkohteissa konsulttien käyttö on vähäisempää.\nKuvio 1. Konsulttitunnusten jakautuminen maittain (CMDB 2015).\nKonsulttitunnusten jakautuminen maantieteellisesti Suomi-Ruotsi akselille voi\nomalta osaltaan kuvata liiketoimintojen kehittämistyön keskittyvän Pohjoismaihin.\nTässä esityksessä konsulteilla tai ulkoisilla työntekijöillä tarkoitetaan erillissopimuksella työskenteleviä palveluntuottajia, asiantuntijoita, konsultteja, partnereita, väliaikaista työvoimaa. Kielitoimiston sanakirjan mukaan liikkeenjohdon konsultti on\nliikeyritysten taloudelliseen ja tekniseen kehittelyyn ja neuvontaan erikoistunut\nhenkilö. Toimitussuhteessa olevat henkilöt ovat tyypillisesti ulkoisia työntekijöitä,\njotka eivät ole työsopimussuhteessa yritykseen. Palvelussuhteessa olevilla henkilöillä tarkoitetaan yritykseen työsopimussuhteessa olevia henkilöitä. Tähän joukkoon voidaan käyttöoikeushallinnan yhteydessä rinnastaa myös johtajasopimuksella olevat henkilöt.\nToimeksiantajalle on tehty vuonna 2006 esiselvitys yrityksen työntekijöiden ja partnereiden identiteetinhallinnasta. Tämä selvitys antaa hyvän läpileikkauksen identiteetinhallinnan tuolloisesta tilanteesta.\nEsiselvityksessä on havaittu, että käytössä ei ole keskitettyä näkymää identiteettija pääsyoikeustietoon. Tämä sama seikka nousi esille myös tässä tutkimuksessa.\nIdentiteetin- ja pääsynhallintajärjestelmään, joka hallinnoisi keskitetysti työntekijäin\nja konsulttien pääsyoikeuksia, ei ole katsottu tarpeelliseksi investoida. Havaintojeni\nmukaan yksittäisiä identiteetin- ja käyttöoikeushallinnan prosesseja on kuitenkin\nkehitetty (Kunnas 2006).\nKunnaksen esiselvityksessä mainitaan, että muutamat tunnistetut sovellukset käyttävät tunnistamisessa roolipohjaisia tai käyttäjäryhmiin perustuvia käyttöoikeuden\nhallintatapoja. Tämä huomio roolipohjaisten käyttöoikeuksien vähäisestä käytöstä\npitää paikkansa tänäkin päivänä. Roolipohjainen käyttöoikeuksien hallinta on hyvin\nharvinaista yrityksen käytössä olevissa liiketoimintasovelluksissa. Roolipohjaisen\nkäyttöoikeushallinnan rakentaminen koskemaan yrityksen käyttöoikeustoimintoja ja\nkaikille sovelluksille on haastava tehtävä. Roolipohjaisen käyttöoikeushallinnan\nrakentaminen vaatii syventävää tutkimustyötä käyttöönoton tueksi.\nEsiselvityksestä nousi esille identiteetinhallinnan puutteita ja havaintoja käyttöoikeuksien auditoinnin haasteellisuudesta. Kunnas ehdottaa tutkimuksessaan toimenpiteitä olemassa olevien käyttöoikeuksien keskitettyyn raportointiin. Keskitetyn identiteettien hallintatyökalun puuttuessa on hyvin vaikea kerätä ja raportoida yksittäisen\nkäyttäjän käyttöoikeuksia liiketoimintasovelluksiin. Kattavan käyttöoikeusraportoinnin puute on nähtävissä edelleen.\nKunnaksen tutkimuksessa nostetaan esille ongelma, joka on relevantti myös tänä\npäivänä. Liiketoimintasovelluksiin on voinut jäädä avoimeksi käyttäjätunnuksia\nhenkilöille, jotka ovat jo poistuneet työntekijävahvuudesta. Ongelman voi aiheuttaa\nkeskitetyn henkilöydintietojärjestelmän puute ja automatisoidun de-provisioinnin\npuuttuminen henkilöydintiedon ja hakemistopalvelun, sekä liiketoimintasovelluksien\nKunnas on nostanut esille myös manuaalisen työn määrän. Tämä sama ilmiö nousi\nomassa tutkimuksessani esille käyttäjätunnusten käsittelyssä. Automaattista käyttöoikeuden provisiointia on pyritty laajentamaan. Kuitenkin käyttöoikeuksien käsittelyyn on jäänyt edelleen manuaalisia työvaiheita, niin käyttöoikeuksien perustamiseen, muutostilanteiden hallintaan kuin varsinkin käyttöoikeuksien päättämiseen.\nToiminnan tehostamisen ja operatiivisten kustannusten vähentämiseksi manuaalisen työn vähentämisen suunnitteluun tulee kiinnittää huomiota.\nKunnaksen tutkimuksessa on erityisen ansiokasta järjestelmällinen paneutuminen\ntoimintaprosessien kehittämiseen. Esiselvityksessä hän on suositellut kaikkien\nkäyttäjätunnusten identiteettien hallinnan keskittämistä HR-järjestelmässä suoritettavaksi. Lisäksi hän on suositellut käyttöoikeushallinnan vastuun hajauttamista liiketoimintayksiköille. Tällä hetkellä peruskäyttöoikeuden implementointivastuu on\nService Deskillä ja liiketoimintasovellusten osalta liiketoimintojen System Managereilla. Käyttöoikeuden hyväksyminen liiketoimintasovelluksiin saadaan liiketoimintayksiköltä.\nTietoperusta muodostaa analyysin ja kehittämistyön perustan. Kehittämistyöhön\nliittyvät oleelliset käsitteet kootaan yhteen ja samalla käsitteiden väliset kytkennät\nmääritellään loogiseksi kokonaisuudeksi. (Ojasalo et al. 2009, 25). Edellisen ajatuksen yhdistäminen raporttiin oli kokemukseni mukaan haastavaa ja samalla antoisaa. Tähän työhön olen poiminut teoreettiseksi taustaksi IT-palvelutuotannon\nhyviä käytäntöjä ja identiteetinhallintaa liittyviä perusteorioita. Käytän soveltuvilta\nosilta tukena ITIL- ja CobIT-palvelumalleja, ISO 27002 -menettelyohjeita sekä ISF\nBest Practises -mallia. Käsittelen lisäksi myös identiteetinhallintaa sivuavia teoreettisia käyttöoikeusmalleja sekä identiteetinhallintaan liittyviä teorioita.\nInformation Technology Infrastructure Library (ITIL) on IT-palveluiden hallintaan ja\njohtamiseen käytettävä dokumenttikokoelma. ITIL:n kehityksestä vastaa The IT\nService Management Forum (itSMF) -käyttäjäyhdistys. Malli on laajalti käytetty ITpalveluntuotannon prosessien yhdenmukaistamisessa. ITIL-malli tukee\npalveluiden elinkaariajattelua ja palveluiden jatkuvaa kehittämistä. ITIL Access\nManagement kuuluu palvelutuotannon (Service Operation) osa-alueelle.\nITIL-näkemyksen mukaan Access Management tarjoaa sallituille käyttäjille mahdollisuuden käyttää sovittuja palveluita. Samalla kontrolloidaan järjestelmien käyttöä\nsekä estetään valtuuttamattomien käyttäjien pääsy tietojärjestelmiin, palveluihin,\ntietoihin tai laitteisiin. Pääsyoikeudenhallinta auttaa suojaamaan esimerkiksi tietojen luottamuksellisuutta, oikeellisuutta ja saavutettavuutta. Nämä termit tunnistetaan englanninkielellä Confidentiality, Integrity ja Availability (CIA). Pääsyoikeudenhallinta (Access Management) tunnistetaan myös termeillä oikeuksienhallinta\n(Rights Management) tai Identiteetinhallinta (Identity Management). (Hanna et al.\nUniversity of Oxfordin näkemyksen mukaan (Usica 2013, 3), ITIL-prosesseista\nmuutosten hallintaprosessi (change management) on avainasemassa pääsynhallinnan näkökulmasta. Muutosten hallintaprosessin kannalta kaikki pyynnöt käyttöoikeuteen voidaan nähdä muutoksena olemassa olevaan tilanteeseen. Palvelupyynnöt voidaan toteuttaa standardimuutoksina tai erillisinä palvelupyyntöinä olettaen, että pyyntö on hyväksytty palvelutason hallinnassa (service level management).\nPalvelutason hallintaprosessin avulla tuotetaan palvelutasosopimus käytettäville\npalveluille. Palvelutasonkuvaus sisältää yleensä selvityksen siitä kenelle tarkasteltava palvelu on tarkoitettu, sekä millaisia mahdollisia kustannuksia palvelusta\nmuodostuu ja millainen palvelutaso palvelun käyttäjäryhmille voidaan taata. Käyttäjäryhminä voidaan nähdä eritasoiset palveluiden käyttäjät. ITIL-mallissa konfiguraation hallinnan (configuration management) ja pääsyoikeuksien hallinnan välillä\non vahva sidos. Konfiguraation hallintaa käytetään tallettamaan kuvaus pääsyoikeuden yksityiskohdista. (Usica 2013, 3).\nTaylorin ja Nissenin toimittaman ITIL-oppaan mukaan, ja aiemmin toteaman ITILmallin mukaan, pääsynhallinta on osa palvelutuotantoa. Pääsynhallintaprosessin\navulla tuotetaan käyttöoikeus haluttuihin palveluihin tai palveluryhmille. Toisin sanoen pääsynhallinta mahdollistaa palvelukuvauksessa (Service Cataloque) kuvattujen palveluiden käyttämisen. Samalla pääsynhallinta toteuttaa tietoturva- ja saatavuushallinnan (Security and Availability Management) vaatimukset. (Taylor et al.\nControl Objectives for Information and related Technology (CobIT) on nimensä\nmukaisesti kontrolli ja viitekehys, jonka avulla rakennetaan kontrolleja ITpalvelutoiminnan varmistamiseksi. CobIT-viitekehyksessä korostuu erityisen selvästi kytkentä liiketoiminnan tarpeisiin.\nCobIT-mallin kehittäjän toimii maailmanlaajuinen ISACA-yhteisö. Yhteisön juuret\nulottuvat vuoteen 1969. Tuolloin Systems Audit and Control Association nimellä\nperustettu yhteisö on laajentunut yli 115000 jäsenyhteisön maailman laajuiseksi ITalan vaikuttajien yhteenliittymäksi. ISACA-yhteisö on kehittänyt maailmanlaajuisesti\nkäytettyjä IT-alan hyviä käytäntöjä ja toimintamalleja tietojenkäsittelytoimintojen\nISACAn kehittämä CobIT-viitekehys ottaa kantaa identiteetin- ja pääsyoikeudenhallintaan Deliver and Support luvun osassa DS5 Ensure System Security. (CobIT\n4.1, 118). CobIT-viitekehyksen näkökulmasta identiteetinhallinnalla (Identity Management) varmistetaan järjestelmän sisäisten, ulkoisten ja väliaikaisten käyttäjien\nyksilöllinen tunnistaminen käytettäviin liiketoimintajärjestelmiin, IT-ympäristöön,\njärjestelmien toimintaan, kehitykseen ja ylläpitotehtäviin. Mallin mukaan käyttäjät\non tunnistettava sovitun autentikointimekanismin avulla. Pääsyoikeuden hallinnassa varmistutaan, että käyttäjän oikeudet järjestelmiin ja tietoon vastaavat dokumentoituja liiketoimintavaatimuksia. Työtehtävien vaatimusten on oltava sovitettu käyttäjien oikeuksiin. (CobIT 4.1). Tämä ajatus voidaan nähdä myös vaatimuksena\npienimmän käyttöoikeuden toteuttamiseen (Guttman et al. 1995).\nCobIT ottaa kantaa myös käyttöoikeuden hakemiseen. Mallin suosituksen mukaan\nkäyttöoikeuden hakeminen käyttäjälle tapahtuu työnjohdon toimesta. Käyttöoikeuden hyväksyntä tulee saada järjestelmän omistajalta tai hänen valtuuttamalta taholta. Lopuksi turvallisuudesta vastaava henkilö aktivoi käyttöoikeuden. (CobIT 4.1,\nTämän työn kannalta on hyvä huomata, että CobIT suosittelee käyttämään henkilöiden identiteetin ja pääsyoikeuksien hallintaan keskusrekisteriä (central repository) (CobIT 4.1,118). Tässä keskusrekisterissä säilytetään sisäisten, ulkoisten ja\nväliaikaisten käyttäjien identiteettejä keskitetyssä henkilötietovarastossa.\nInformation Security Forum (ISF) on informaatioteknologian alueella toimivien yritysten ja yhteisöjen yhteenliittymä. ISF:n tavoitteena on kehittää IT-alan parhaita\nkäytäntöjä ja toimintamalleja. ISF on perustettu vuonna 1989. ISF:n tavoitteena on\nsuorittaa tutkimustoimintaa ja ratkaista keskeisiä kysymyksiä tietoturvan ja riskienhallinnan alueilla. Yhdistys kehittää parhaita käytäntöjä, prosesseja ja ratkaisuja\nniin, että ne vastaavat yhdistyksen jäsenistön tarpeita. (ISF 2014).\nISF:n näkemyksen mukaan identiteetin ja pääsyoikeuden hallinnan periaate on\ntuottaa tehokkaasti ja johdonmukaisesti käyttäjän tunnistaminen (identification),\ntodentaminen (authentication) ja pääsyn hallinta (access control) koko organisaati-\nossa. ISF:n mukaan käyttöoikeushallinnan tavoitteena on rajoittaa verkkoon pääsy\nvain valtuutetuille käyttäjille, ja varmistaa käyttäjätietojen eheys (integrity) (Chaplin\net al. 2013, 113).\nArvioni mukaan ISF:n kirjaamat hyvät käytännöt ovat linjassa ISO/IEC 27000 tietoturvallisuusstandardien kanssa. ISF:n ajatukset ovat syntyneet jäsenyritysten näkemyksistä hyviksi käytännöiksi. Tässä tarkasteltavana oleva yritys on jäsenenä\nInfomation Security Forum järjestössä. Yritys käyttää muiden IT-alan hyvien käytäntöjen muun muassa ISF:n julkaisemia käytäntöjä tietoturvatyönsä kehityksen\nStandardisarja ISO/IEC 27000, Information technology Security techniques Information security management systems Overview and vocabulary koostuu useista\ntietoturvallisuutta käsittelevistä standardeista. Standardi ISO/IEC 27000 sisältää\ntietoturvallisuuden hallintajärjestelmän kuvauksen ja standardisarjan esittelyn yleisellä tasolla. (Suomen standardisoimisliitto SFS 2014, 12). Tutkimusaineistoa kootessani havaitsin, että tietoturvallisuuden standardisarjan ISO/IEC 27000 menettelyohje SFS ISO/IEC 27002 on käyttökelpoinen tämän tutkimuksen tietopohjana.\nISO/IEC 27001, Information technology Security techniques Information security\nmanagement system Requirements standardissa kuvataan vaatimuksia tietoturvallisuuden hallintajärjestelmälle. Tietoturvallisuuden hallintakeinojen menettelyohje\nSFS ISO/IEC 27002 perustuu ISO/IEC 27001 vaatimusmäärittelyyn. Menettelyohjeessa tarkastellaan 14:ää tietoturvallisuuden pääkohtaa ja näiden 35:a pääturvallisuusluokkaa, joihin on kehitetty 114 turvallisuuden hallintakeinoa. (Suomen Standardisoimisliitto 2014, 12). Standardissa ISO/IEC 27005 esitellään tietoturvariskien\nhallintaa koskevia ohjeistuksia. Tässä standardissa käsitellään riskien arviointia,\nkäsittelyä, hyväksyntää, viestintää, seurantaa ja katselmointia. (Suomen standardi-\nsoimisliitto SFS 2014, 10). Tämän tutkimuksen kannalta kiinnostavia suosituksia\novat muun muassa työsuhteen aikana toteuttavat käyttöoikeuskäsittelyyn liittyvät\nkontrollit. Työtehtävän muutokseen tai päättämiseen ohjaavat toimenpiteet sekä\npääsyoikeuksien hallinta kokonaisuudessaan.\nOrganisaation ulkopuolisen työntekijän työsuhteen päättyessä on mahdollista, että\nulkopuolinen osapuoli suorittaa työsuhteen päättämisprosessin. Menettelyohjeen\nmukaan päättämistoiminto suoritetaan yrityksen ja ulkopuolisen palveluntuottajan\nvälisen sopimuksen mukaisesti. (Suomen standardisoimisliitto SFS 2014, 38). Tämän ajatuksen mukaan käyttöoikeuden päättäminen voidaan sopimuksella ulkoistaa partnerin toteutettavaksi.\nPääsynhallinnan osalta menettelyohje antaa ohjeita liiketoiminnallisiin vaatimuksiin,\npääsyoikeuksien hallintaan, käyttäjien vastuisiin, sekä järjestelmien ja sovellusten\npääsyn hallintaan. Käyttövaltuusperiaatteesta on kerrottu myöhemmin lisää luvussa "Pienimmän käyttövaltuuden periaate".\nKäyttövaltuuksia käsiteltäessä SFS ISO/IEC 27002 menettelyohje kehottaa ottamaan huomioon asianmukaisen lainsäädännön vaatimukset (Suomen standardisoimisliitto SFS 2014, 52). Henkilötietolain yhteysvaatimuksen perusteella sopimuksen päättyessä henkilötiedot on poistettava järjestelmästä. (Henkilötietolaki\n1999/523). Tämä vaatimus on otettava huomioon henkilön identiteetin ja henkilöydintiedon käsittelyssä ja varsinkin sopimussuhteen päättyessä. Teknisen seurannan ja jäljitettävyyden vuoksi henkilön käyttäjätunnuksesta jää merkintöjä erilaisiin\nteknisiin lokeihin tai päiväkirjoihin vielä työsuhteen päättymisen jälkeenkin. Käyttäjätunnuksen ja identiteettitietojen välisen yhteyden katkettua, on henkilön kiistattoman identiteetin tunnistaminen vaikeaa.\nStandardin näkemyksen mukaan ylläpito-oikeuksia on hallittava muodollisella hallintaprosessilla, joka perustuu yrityksen käytäntöihin. Pääsyoikeuksia tulee uudelleen arvioida säännöllisin aikavälein ja työsuhteen muutosten jälkeen. Sisäisten\norganisaatiomuutosten tai tehtävien vaihdon jälkeen oikeudet on katselmoitava ja\nmyönnettävä uudelleen. Ylläpito-oikeuksien käyttövaltuuksien kohdalla katselmointi\nja käyttöoikeuden tarkastus on suoritettava useammin kuin normaaleille päivittäisessä käytössä oleville käyttöoikeuksille. Katselmuksia varten ylläpito-oikeuksien\nkäyttäjätileihin kohdistuvat muutokset on talletettava. (Suomen standardisoimisliitto\nSFS 2014, 58–60). Havaintojeni mukaan konsulttitunnusten ja pääkäyttäjäoikeuksien katselmointi suoritetaan säännöllisin väliajoin managerien toimesta. Muutoksien tallettaminen ei havaintojeni mukaan ole toiminnassa.\nHenkilötietolain 8. §:ssä kuvataan henkilötietojen käsittelyn yleisiä edellytyksiä.\nLaissa mahdollistetaan henkilötietojen kerääminen rekisteriin muun muassa perustuen seuraavaan mainintaan. "Henkilötietoja saa käsitellä ainoastaan, jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun näihin verrattavan\nsuhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan (yhteysvaatimus)."\n(Henkilötietolaki 1999/523). Edellisen perusteella voidaan myös tulkita, että rekisterin pitäjä on velvollinen poistamaan rekisteröidyn tiedot sopimuksen päättyessä.\nRekisterinpitäjän on osoitettava käyttötarve henkilötietojen rekisteröintiin. Samalla\nrekisterinpitäjän on osoitettava, että rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn. Tiedonantovelvollisuuden perusteella rekisteröidyllä on\noikeus tarkastaa tietonsa. Samainen tiedon suojaamispykälä vaati suojaamaan\nvälitettävän tiedon ja varmistumaan vastaanottajan oikeellisuudesta. (Henkilötietolaki 1999/523).\nValtiovarainministeriön julkaiseman kokonaisarkkitehtuurin hallintamallin mukaan\nkokonaisarkkitehtuurilla tarkoitetaan systemaattista ja rakenteista kuvausta toimintakokonaisuudesta ja kokonaisuuteen kuuluvien osien välisestä suhteesta. Kokonaisarkkitehtuurin avulla kuvataan organisaation toimintaprosessien, tietojen ja\njärjestelmien toiminnankokonaisuus. Kokonaisarkkitehtuurin avulla muodostetaan\nyhdenmukainen näkemys organisaation toimintaympäristöstä toiminnan kehittämiseksi ja muutosten hallinnan tueksi. Kokonaisarkkitehtuurin kuvaamisella edistetään tietojärjestelmien yhteen toimivuutta, ja varmistetaan tiedon käytettävyys organisaation palvelutoiminnassa. (Valtiovarainministeriö 2013, 7).\nLidenin näkemyksen mukaan kokonaisarkkitehtuuri on strategisen johtamisen väline, joka on kehitetty organisaatioiden tueksi jäsentämään IT-toimintaa hallittaviksi\nja ymmärrettäviksi kokonaisuuksiksi. Kokonaisarkkitehtuurimallin tavoitteena on\nyhtenäistää toiminnan kehittämistä. Malli pyrkii kuvaamaan, kuinka eri elementit\nliittyvät toisiinsa. Näitä elementtejä ovat ihmiset, prosessit, järjestelmät ja liiketoimintayksiköt. Identiteetinhallinta nähdään kokonaisarkkitehtuurin näkökulmassa\njohtamiskysymyksenä, eikä niinkään teknisenä haasteena. (Liden 2012, 39).\nJulkisen hallinnon tietohallinnon neuvottelukunnan (JUHTA) on julkaissut kokonaisarkkitehtuurin suunnittelumenetelmän JHS 179. Menetelmässä kuvataan toiminnan, prosessien, palvelujen, tietojen, tietojärjestelmien ja niiden tuottamien palvelujen muodostaman kokonaisuuden rakenne. Kokonaisarkkitehtuurin tavoitteena\non muodostaa kokonaisvaltainen lähestymistapa organisaation toimintaan, prosessien hallinnointiin ja kehittämiseen (JHS179 2012, 9).\nValtiovarainministeriön julkaiseman KA-hallintamalli ohjeen mukaan kokonaisarkkitehtuuri tarjoaa organisaation johdolle tilannekuvan organisaation toiminnasta ja\ntoimintaa tuottavista rakenteista. Malli auttaa samalla ymmärtämään paremmin\nkehitystavoitteiden vaikutuksia toimintaan ja rakenteisiin. Kokonaisarkkitehtuurimallin avulla voidaan perustella toiminnan kehittämiseksi tarvittavien resurssien han-\nkintaa. Mallin avulla voidaan varmistua kehittämistyölle asetettujen tavoitteiden\nlaadukkuudesta. Samalla voidaan varmistua, ettei toiminnassa synny perustelemattomia päällekkäisiä menetelmiä ja toimintoja. (Valtiovarainministeriö 2013, 8).\nKokonaisarkkitehtuuri jaetaan neljään osa-alueeseen, jotka ovat liiketoimintaarkkitehtuuri (business architecture), tietoarkkitehtuuri (information architecture),\njärjestelmäarkkitehtuuri (system architecture) ja teknologia-arkkitehtuuri (IT architecture).\nLiiketoiminta-arkkitehtuurimallissa (business architecture) kuvataan ydinliiketoiminnan organisaatioiden rakenne, tavoitteet ja liiketoimintaprosessit. Prosessinäkökulmasta identiteetinhallinta liittyy vahvasti liiketoiminta-arkkitehtuuriin. Palvelun\nhyötynäkökulmasta tarkasteltuna liiketoimintaprosesseilla on tarpeita saada identiteettejä ja käyttöoikeuksia henkilöille, jotka käyttävät ydinliiketoiminnan käytössä\nolevia järjestelmiä. Toiminnan ja tehtävien muuttuessa tarpeettomat oikeudet poistetaan pienimmän käyttöoikeuden (least privilege) periaatteiden mukaisesti. (Liden\n2012, 40; Suomen standardisoimisliitto SFS 2014, 38).\nTietoarkkitehtuurissa (information architecture) kuvataan tietovirtoja ja käytettäviä\ntietovarastoja, sekä organisaation käyttämien tietojen merkityksiä liiketoiminnalle.\nTietojen yksikäsitteinen ymmärtäminen, toiminta ja yhdenmukaisuus tuottavat johtamisen näkökulmasta tehokasta ja virheetöntä toimintaa. (Liden 2012, 40).\nTietoarkkitehtuurin kannalta on tärkeää tunnistaa kunkin tiedon ns. autoratiivinen\nlähde. Tällä tarkoitetaan tiedon attribuuttien perussijaintia, josta tiedot siirretään\nmuiden järjestelmien käytettäväksi. Tietojen ylläpitotoimenpiteet toteutetaan vain\ntähän autoratiiviseen lähteeseen. Todennäköisesti yrityksessä on useita autoratiivisia lähteitä. Kuitenkin jokin näistä lähteistä on valittava identiteetinhallinnan kannalta perusrekisteriksi. Tämän rekisterin välityksellä organisaatioon tuotetaan uudet identiteetit (Liden 2012, 40–42).\nJärjestelmäarkkitehtuurissa (system architecture) kuvataan yrityksen käyttämän\njärjestelmä- tai sovelluspaletti, vastuut, vastuuvapautukset sekä järjestelmien väliset liittymät. Järjestelmäarkkitehtuurin avulla osoitetaan, kuinka käytössä olevat\njärjestelmät tukevat yrityksen ydinliiketoiminnan tavoitteita. Keskitetyn identiteetinhallinnan kannalta järjestelmäarkkitehtuuri ottaa kantaa mihin järjestelmiin keskitetty identiteetti halutaan tai voidaan provisioida.\nTeknologia-arkkitehtuuri (IT architecture) tuottaa organisaatiolle nimensä mukaisesti tekniset ratkaisut, joilla tuetaan muiden arkkitehtuuriosa-alueiden toimintoja ja\ntavoitteita. Mallissa kuvataan yrityksen käytössä olevat standardit, teknologialinjaukset\narkkitehtuurin ominta kenttää on kuvata järjestelmät, joilla identiteetinhallinta ja järjestelmien väliset käytettävissä olevat tekniset rajapinnat toteutetaan. (Liden 2012,\nPäätöksen teko perustuu oikea-aikaiseen ja oikeaan tietoon. Tiedon laadulla on\nmerkittävä rooli oikeiden ja oikea-aikaisten päätösten tekemisessä. Identiteettien\nkäsittelyssä käyttäjän tunniste- ja sopimustietojen laadulla ja oikeellisuudella on\nsuuri merkitys päätöksenteon pohjana. Identiteetti- tai sopimustiedon heikko laatu\nlisää operatiivisia kustannuksia. Väärän tiedon korjailuun, sekä oikean tiedon etsintään kulutetaan tiedon käsittelijöiden työaikaa ja energiaa.\nTiedon laatua on kuvattu muun muassa seuraavilla termeillä; tarkkuus (accuracy),\najantasaisuus (timeliness), täydellisyys (completeness) ja luotettavuus (consistency) (Haug et al. 2011, 6). Tarkkuudella voidaan tässä yhteydessä käsittää henkilöydintiedon attribuuttien yksilöiviä ominaisuuksia. Ajantasaisuudella pyritään kuvaamaan oikea-aikaista tietoa käyttöoikeuksista tai tiedon omistajuuksista. Täydellisyys termillä voidaan tavoitella esimerkiksi henkilöydintiedossa täydellistä osoitetietoa. Luotettavuutta voidaan tarkastella tietojen tarkastusvelvollisuuden kautta.\nIdentiteetinhallinnan eräs tavoite on tilanne, jossa valtuutetuille henkilöille taataan\noikea-aikainen pääsy tavoiteltuun tietoon tai resursseihin, käyttäjäkokemuksen ollessa miellyttävä. (Kasanen 2010). Tietotekniikassa digitaalinen identiteetti on kokoelma attribuutteja, jotka kuvaavat objektia tai tarkasteltavaa kohdetta. Objektit\nvoivat tässä yhteydessä olla vaikkapa henkilöitä. Näiden attribuutteina tunnistetaan\nnimi, käyttäjätunnus ja käyttöoikeus. Identiteetinhallinta toimii kokoavana prosessina, jonka avulla ohjataan identiteetin käsittelyä eri prosessien ja järjestelmien välillä. Toimintaa sopimuksilla, toimintakäytännöillä ja tietojärjestelmillä ohjaavaa arkkitehtuuria Liden kutsuu identiteetinhallinta-arkkitehtuuriksi. (Liden 2012, 11).\nArvidssonin ja Lidenin mukaan käyttäjäobjektin sähköinen identiteetti rakennetaan\nerilaisien attribuuttien avulla, jossa attribuutit toimivat identiteetin pienimpinä rakenneyksikköinä. Tässä yhteydessä henkilön ydinattribuuttien esimerkkeinä ovat\netu- ja sukunimi, sähköpostiosoite, puhelinnumero ja käyttäjätunnus. Käyttäjän\nidentiteetin ydinattribuuteissa on mukana myös yksilöiviä tunnisteita. Näiden tunnisteiden avulla henkilöt pystytään erottamaan toisistaan. Käyttäjätunnus, suomalainen henkilötunnus tai työntekijänumero on useimmiten riittävän erottavia tunnisteita. Identiteetinhallinnan kannalta on tärkeää, että yksilöivä tunniste on yksiselitteisesti tietyn käyttäjän attribuutti. (Liden 2012, 12., Arvidsson 2014, 21). Tutkittavan yrityksen tapauksessa on huomattava, että konsultille ei saada työntekijänumeroa yrityksen henkilöstönhallintajärjestelmästä. Konsultin yksilöivä tunnus identiteetinhallintajärjestelmälle on tuotettava siis jonkin muun tiedon pohjalta.\nIdentiteetin ja käyttöoikeuden hallinta\nKokemukseni mukaan identiteetin ja käyttöoikeuksien hallinnassa kohdataan päivittäin haasteita käytettävyyden, joustavuuden ja tietoturvan alueilla. Käyttöoikeuden käsittelyprosessin, joka sisältää tilaamisen, arvioinnin, hyväksymisen ja toteuttamisen kohdejärjestelmiin, on tuettava liiketoimintoja joustavasti ja turvallisesti.\nOikea-aikainen ja riittävillä käyttöoikeuksilla varustettu käyttöoikeus tukee liiketoimintojen tarpeita saada työhön varattu resurssi tehokkaasti käyttöön.\nJärjestelmien käyttäjillä ja asiakkailla on tarpeita käyttää toimintoja mistä ja milloin\nvain. Käyttäjien lisääntyneet vaatimukset asettavat identiteetinhallinalle itsepalveluvaatimuksia ja automaattisia oikeuden välittämistarpeita (federointi) muihin järjestelmiin. Toimintaa valvovat viranomaiset tai käytössä olevat standardit voivat asettaa vaatimuksia tarkastella käyttäjien suorittamia toimenpiteitä. (ISO/IEC 27002\n2005, 56). Oikea-aikaisella ja tehtävän mukaisella käyttöoikeudella on merkitystä\nresurssien tehokkaassa hyödyntämisessä. Tietoturvan ja riskienhallinnan näkökulmasta katsottuna on tunnuksen nopealla sulkemisella työ- tai palvelusuhteen\npäättyessä erityistä merkitystä liiketoimintojen informaation suojaamisessa.\nKäyttäjien identiteettien ja käyttöoikeuksien hallintaan on kehitetty järjestelmiä, jotka tunnetaan yleisesti nimellä Identity and Access Management (IAM). Identiteetin\nja käyttöoikeuden hallintaa käytetään tyypillisesti käyttäjätunnusten luomiseen,\nkäyttöoikeuksien muutoksiin, käyttöoikeuksien raportointiin ja käyttöoikeuden lopettamiseen. (Cser et al. 2012, 3).\nCserin näkemyksen mukaan identiteetin ja käyttöoikeuden hallintaa voidaan toteuttaa seuraavilla tavoilla. 1. manuaalinen käyttöoikeuksien hallinta, 2. toteutetaan\nitse tarjolla olevilla työvälineillä, 3. omissa tiloissa sijaitsevilla kaupallisilla tuotteilla,\ntai 4. hankitaan palveluntuottajalta jaettuna palveluna Identity and access management as a service (Idaas) periaatteella. (Cser et al. 2012, 2).\nManuaalisen käyttöoikeuksienhallinnan työllistävä vaikutus on syytä huomioida\nvalmisteltaessa IAM-projektin liiketoimintamallia. Tarkasteltavassa yrityksessä\nkäyttöoikeuksien perustamisia ja päättämisiä suoritettiin vuoden 2014 aikana 3311\nkappaletta (CMDB 2015). Forresterin arvion mukaan help desk puhelun hinta vaihtelee 9 ja 10 dollarin välillä (Cser et al. 2012, 4). Laskennallisena ITSD-tapahtuman\nhintana voidaan käyttää 10 euroa. Edellä esitetyllä käyttäjätunnusavausten tapahtumamäärillä IT Service Desk -työn hinta uusien tunnuksien avauksille olisi 33.000\neuroa. Tässä laskelmassa ei ole huomioitu esimiehen ja työntekijän tunnuksen tilaukseen kuluttamaa aikaa. Manuaalisen prosessin tehokkuus vaihtelee IThenkilökunnan työkuorman mukaan. Manuaalisen toiminnan yhtenä haittana on\nhavaittu myös alttius virheisiin. Lyhyellä tähtäimellä organisaatio säästää rahaa\nvälttämällä investointeja. Forresterin tutkimus suosittelee ottamaan käyttöön käyttöoikeuksien automatisoinnin yli 1000:n käyttäjän ympäristöissä (Cser et al. 2012).\nOman tai vuokratun henkilökunnan avulla toteutettu IAM-ratkaisu on ohjelmoitavissa tarkasti vastaamaan yrityksen erityistarpeita. Itse rakennetussa ja ylläpidetyssä\ntuotteessa on varauduttava ylläpitoon varattujen resurssien käytöstä aiheutuviin\njatkuviin kustannuksiin. (Cser et al. 2012, 7). Valmiiden kaupallisten tuotteiden sijoittaminen omiin tiloihin ja omalle laitealustalle aiheuttavat yritykselle Forresterin\nnäkemyksen mukaan 15–50 dollarin kustannukset per käyttäjätunnus. Tässä mallissa lisenssi- ja ylläpitokustannukset ovat tarkasti budjetoitavissa. Automatisoinnin\navulla ylläpidon ja IT Service Desk toiminnan työvoimakustannukset saadaan pysymään maltillisina. Luonnollisesti tässä sitoudutaan toimittajaosapuoleen ja tuotteen ylläpitoihin ja elinkaareen. (Cser et al. 2012, 7).\nIdentity as a Service (IdaaS) mallin etuina voidaan nähdä tehokas kustannusvastaavuus. Tilaaja maksaa todellisesta käytöstä. Käyttöoikeuden hinta on verrannollinen hallittaviin käyttäjämääriin. Työvoimakustannukset ja laiteinvestoinnit ovat siirretty palveluntuottajan vastattavaksi. Mallista on hyvä huomata, että toiminnallisuudet ovat juuri sitä, mitä toimittaja on luvannut toimittaa. Samoin järjestelmän\nmuuttaminen vastaamaan yrityksen omia tarpeita voi olla hyvin vaikeaa tai mahdotonta. (Cser et al. 2012, 8). IdaaS-mallissa näen mielenkiintoisia mahdollisuuksia\nsuurten asiakasmassojen identiteettien hallintaan.\nArvioitaessa kaupallisia tuotteita itse ylläpidettyihin ohjelmistoihin, voidaan vertailussa aloittaa ylläpitokustannuksista, tapahtumamääristä ja tarvittavista lisensseistä. IAM-tuotteissa hallinnoitavien käyttöoikeusroolien lisenssihinnat voivat vaihdella\nmerkittävästi. Lisenssi- ja käyttöoikeusmääriä tarkastellessa on hyvä tunnistaa\nidentiteettimäärien käsittelytarve. Taloudellisesta näkökulmasta katsottuna on eri\nasia käsitellä järjestelmässä yrityksen omaa henkilökuntaa ja ulkoisia palveluntuottajia, kuin ottaa mukaan myös asiakkaiden identiteettien käsittely. Riskien hallinnan\nja tietoturvan kannalta tarkasteltuna on hyvä hallita IdaaS-palvelun mahdolliset tietoturvariskit. Käyttäjien identiteettien tallettaminen ja käsittely palvelumallissa voi\nolla yrityksen liiketoiminnoille mahdotonta tiedon kriittisyyden tai toimintaa valvovien viranomaisten asettamien rajoitusten vuoksi.\nJulkisen hallinnon suositusten (JHS179 2012) mukaan "Master Dataksi eli ydintiedoksi luokitellaan tieto, jota käytetään useassa käyttökohteessa samanlaisena ja\njota useampi prosessi tai toiminto tarvitsee tai hyödyntää. Ydintieto on pysyväisluonteista tietoa, joka kuvaa tietokokonaisuuksia. Ydintiedosta tulisi olla yhtenäinen\nkäsitys koko organisaatiossa ja samalla se on avaintietoa organisaation toiminnalle. Ydintietoa on yleisesti asiakas-, tuote-, henkilöstö-, materiaali- ja toimittajatieto."\n(JHS179 2012, 9).\nJulkisen hallinnon suositukset kuvaavat Master Data Management (MDM) toiminnon seuraavasti. "MDM on toiminto ja prosessi joka hallinnoi, korjaa ja ylläpitää\ntoiminnan edellyttämää Master Dataa eli ydintietoa. Sen tehtävänä on huolehtia\nriittävästä ydintiedon laadusta, jotta raportointi ja seuranta voidaan pitää luotettavana ja yksikäsitteisenä." (JHS179 2012, 10). Henkilöydintiedon hallintaan käytetään yleisesti MDM-hallintomallia. Arvidssonin mukaan MDM voidaan käsitteellistää kokoelmaksi prosesseja, hallintomalleja, toimintoja, standardeja ja työkaluja.\nNäiden avulla hallinnoidaan ja määritellään organisaation staattista ydintietoa yksiselitteisesti. Tyypillisesti ydintieto ei ole muuttuvaa tapahtumatietoa. (Arvidsson\nYdintiedon lähteessä pidetään yllä keskitetysti tietoja henkilön tunnistamiseen, työsuhteeseen ja sopimuksen kestoon liittyviä attribuutteja. Yrityksen henkilöydintieto\nstandardissa määritellään ymmärrettävästi henkilöydintieto entiteetin attribuutit.\nHenkilötietojen tapauksessa ydintietojen dominanttilähteen omistajalla on vastuu ja\nvalta henkilöydintietojen ylläpidon järjestelyihin ja käsittelyyn. Järjestelmän suunnittelussa ja prosessien kehittämisessä on lähdettävä liikkeelle huomiosta, että olemassa oleva liiketoiminnallinen tilanne tulee muuttumaan. Liiketoimintarakenne voi\nmuuttua, yrityksiä ostetaan, toimintayksiköitä yhdistetään ja liiketoimintoja myydään. Näihin jatkuviin muutoksiin järjestelmien on taivuttava tiedon laadun heikentymättä. (Päijänen 2014, 12).\nYdintiedon käsittelyssä voidaan käyttää periaatetta "kirjoita kerran käytä monesti".\nSaman tiedon tallettaminen useaan paikaan lisää myös virheen mahdollisuuksia ja\ntyöajan hukkaa. Henkilöydintiedon laatupoikkeamat voivat myös lisätä yrityksen\nkokemia tietoturvariskejä. Puutteelliset tai väärät tiedot aiheuttavat helposti ongelmia esimerkiksi ohjelmistolisenssien hallintaan. Kuten Gröbner ja Frenken ovat\nartikkelissaan todenneet, virheet henkilö ydintiedoissa lisäävät viivettä ongelmien\nratkaisussa, lisäävät virheiden mahdollisuutta ja tuottavat ylimääräisiä kuluja käyttöoikeuksien käsittelyyn. (Gröbner et al. 2013).\nArvidssonin mukaan henkilötietojen laatumittarit on syytä tunnistaa. Laatumittareina voidaan käyttää vaikkapa tiedon ajantasaisuutta, oikea-aikaisuutta ja oikeellisuutta. Sitä saat mitä mittaat lausahdukseen perustuen, ydintiedon tunnistamisen\nja tiedon laadun mittaamisen avulla käsiteltävän ydintiedon laatutaso saadaan\nnousemaan. Henkilötietojen tulee olla ajantasaista ja samalla tasolla eri järjestelmissä. Tietoja julkaistaan järjestelmiin sovitusti ja ylläpitoprosessin tulee olla näkyvillä prosessissa toimiville. Ydintietojen tulee olla jatkuvassa ylläpidossa koko elinkaarensa ajan. (Arvidsson 2014).\nHaug et al. ovat tutkimuksessaan todenneet seuraavaa. Liiketoimintaprosessien\nkeskeisiä käsitteitä ovat asiakas, pääsyoikeus, sopimus, sopimuksen kesto, tuote\nja sijainti. Muun muassa näitä käsitteitä voidaan tunnistaa henkilöydintiedon rooleissa. Henkilöydintieto määritellään tiedoksi, jossa talletetaan toiminnalle ominaisia harvoin muutettavia perustietoja. Tyypillisesti henkilöydintieto talletetaan vain\nkerran yhteen tietojärjestelmään ja muut järjestelmät voivat käyttää näitä tietoja.\n(Haug et al. 2011, 169).\nMaster Data Management käsite pitää sisällään välineet ja prosessit, joiden avulla\nvähennetään saman tiedon uudelleen tallentamista. Identiteetin attribuuteille määritellään yhteinen tietojärjestelmä, josta identiteettitietoa siirretään muihin järjestelmiin. Tätä tietolähdettä kutsutaan autoratiiviseksi lähteeksi. Näitä autoratiivisia lähteitä voi olla useampia, mutta jokin järjestelmistä on syytä asettaa perusrekisteriksi.\nTämän perusrekisterin tehtävänä on tuottaa uudet identiteetit muiden tietojärjestelmien käyttöön. Etuna keskitetyllä perusrekisterillä on, että identiteettejä pidetään\nyllä vain yhdessä paikassa. Näin toimien vältetään saman tiedon päällekkäistä ja\ntoistuvaa käsittelyä. Identiteetin päättäminen perusrekisteristä käynnistää käyttöoikeuksien poistamisen samalla myös muista järjestelmistä. (Liden 2012, 42).\nShah, Manathara ja Hoeppen mukaan MDM-järjestelmän arkkitehtuuriratkaisua\nvoidaan lähestyä erilaisista näkökulmista ja tarpeista. MDM-ratkaisu voidaan rakentaa konsolidoimalla ydintietoa eri lähteistä yhteen tietokantaan. IT-alusta voi\nolla mikä tahansa käyttöön parhaiten sopiva alusta. Tässä tarkoituksessa voi toimia tähän tehtävään tarkoitettu SQL-kanta, yrityksen ITSM-järjestelmä, tai vaikkapa olemassa oleva HR-järjestelmä. Keskitetyssä mallissa tietoa syntyy yhdessä\ndominantissa järjestelmässä, joka voi toimia globaalina toiminnanohjausjärjestelmänä tai HR-järjestelmänä. Järjestelmässä ydintiedot suodatetaan sekä jaellaan\nmuille IT-järjestelmille. (Shah et al. 2012, 11).\nRekisteri dataviittaus toteutuksessa ydintiedot on hajautettu erillisiin tietojärjestelmiin. (Shah et al. 2012, 11). Kuten teoriaosassa aiemmin on huomioitu, hajautetussa mallissa ongelmaksi voi muodostua tiedon oikea-aikainen ja luotettava yllä-\npitäminen (Haug et al. 2011, 169). Lisäksi moneen paikaan talletetun ydintiedon\nylläpito voi aiheuttaa ylimääräisiä kustannuksia.\nRinnakkaisessa transaktiomallissa syntyy perustietoa, jonka laatu on vaihtelevaa.\nTämä tieto välitetään MDM-järjestelmään, jossa tieto siistitään liiketoimintatarpeiden ja tietojärjestelmien vaatimusten mukaiseksi. Keskitetyssä MDM-mallissa ydintiedon puhdistaminen ylimääräisestä tiedosta ja tiedon oikeellisuuden varmistaminen (validiointi) suoritetaan MDM-järjestelmässä. Malli ei ole reaaliaikainen, joten\nesille voi nousta ongelmia ja viiveitä tietojen vahvistamisessa ja siistimisessä.\n(Shah et al. 2012, 11).\nHybridimallissa ydintietoa luodaan useissa eri lähteissä. Tietoa suodatetaan ja siistitään keskitetysti tarpeita vastaavaksi. Ydintieto talletetaan keskitettyyn kohteeseen ja toimitetaan yhdestä lähteestä eri IT-järjestelmien käyttöön. (Shah et al.\n2012, 11). Tutkittavassa yrityksessä on käytössä henkilöydintietojen tallennuksessa hybridimalli. Henkilökunnan tietoja talletetaan yrityksen HR-järjestelmässä ja\nkonsulttien tiedot löytyvät keskitetysti yrityksen AD-järjestelmästä.\n3.11 Riskialttiit työyhdistelmät ja pienimmän käyttöoikeuden periaate\nSaltzer ja Schroeder ovat esitelleet perustutkimuksessaan "The Protection of Information in Computer Systems" (Saltzer et al. 1975) muun muassa käyttöoikeuksien erottamisen (engl. separation of privilege) ja pienimmän käyttöoikeuden (engl.\nleast privilege) periaatteet. (Saltzer et al. 1975, e., f).\nTutkijat olivat lähestyneet separation of privilege termiä konkreettisesti tietojen suojaamisen suojausmekanismilla. Käyttöoikeuksien erottamisen perusperiaate esiteltiin suojattavan kohteen avaamiseen kahdella fyysisellä avaimella. Suojausavaimet\novat kahden henkilön hallussa. Menettelystä on luotu kontrolli, jossa vaikuttava\ntoimenpide aktivoidaan kahden toimijan yhteisellä päätöksellä. (Saltzer et al. 1975,\nKahden avaimen perusperiaatetta on kehitelty edelleen työtehtävien eriyttämiseen.\nTehtävien eriyttämisen perusperiaate tunnistetaan separation of duties tai segregation of duties -merkityksillä. Riskialttiit tehtävät pyritään jakamaan toiminnassa\nusealle työntekijälle. Riskialttiiden toimintojen jaon tavoitteena on estää vaarallisten\ntyöyhdistelmien syntyminen. Tästä käy esimerkkinä laskun hyväksyminen ja maksattaminen yrityksen tilitä kahden henkilön suorittamana työnä.\nPääsyoikeuksien hallinnassa käytetty least privilege -ajatusmalli, on yleisesti tunnustettu tietoturvaperiaate. Tutkijat Guttman ja Boback esittelivät periaatteen tavoitteena tarjota tietojärjestelmien käyttäjille vain ja ainoastaan heidän työssään\ntarvitsemansa oikeudet. "Least privilege refers to the security objective of granting\nusers only those accesses they need to perform their official duties." (Guttman et\nTietoturvallisuuden hallintakeinojen menettelyohjeissa (standardi SFS ISO/IEC\n27002) kehotetaan pääsynhallintasääntöjä määriteltäessä oletusarvoisesti estämään kaiken mitä ei erikseen ole sallittu. "Kaikki on kiellettyä, ellei sitä erikseen\nsallita", "Everything is generally forbidden unless expressly permitted." (Suomen\nstandardisoimisliitto SFS 2014, 52–53).\nPienimmän käyttöoikeuden politiikalla pyritään ennaltaehkäisemään vahinkoja tai\nhaittavaikutusten laajuutta. Työntekijälle annetaan vain hänen kyseisessä tehtävässä tarvitsemat oikeudet ei enempää. Samalla on varmistuttava, että työntekijällä on tehtävistä suoriutumiseen riittävät valtuudet. (Saltzer et al. 1975).\nEdellä kuvattua pääsynhallinnan perusperiaatetta on noussut haastamaan ihmiskeskeinen tietoturvan lähestymistapa People Centric Security (PCS). Tutkijoiden\nAnt ja Scholtz 2014 esittämän näkemyksen mukaan käyttöoikeuksia laajentamalla\nlisätään työntekijöiden vastuuta. Tavoitteena ihmiskeskeisessä lähestymistavassa\novat työtehtävien joustavuus ja identiteettihallinnon sopeuttaminen. (Ant et al.\nTällä hetkellä yrityksen tietoturvapolitiikka on rakennettu pienimmän käyttöoikeuden toteutusvaatimusten mukaiseksi. Tietoturvapolitiikan muutosajatukseen en ota\ntässä tutkimuksessa kantaa. Kuitenkin käytettävissä politiikoissa ja kontrolleissa on\ntarkoituksellisia poikkeamia. Otetaan esimerkkinä tästä vaikkapa palvelinten ylläpitotehtäviin tarkoitetut laajennetut pääkäyttäjäoikeudet (PAR). Työasemien Local\nAdmin Rights (LAR) oikeuskäsittelyllä annetaan käyttäjälle perusteltuja liiketoimintatarpeita varten pääkäyttövaltuudet ja ohitetaan pienimmän käyttöoikeuden periaate.\n3.12 Privileged Access Management (PAM)\nPalvelinympäristössä laajennetuilla käyttöoikeuksilla suoritetaan tyypillisesti ohjelmistojen asennuksia, muutoksia ja ylläpitotöitä kohdejärjestelmään. Paikalliset\npääkäyttäjäoikeudet mahdollistavat kohdejärjestelmän täydellisen hallinnan. Osaavan pääkäyttäjän käsissä pääkäyttäjäoikeudet kuuluvat ylläpitäjän luonnolliseen\ntyökalupakkiin. Kuitenkin on tilanteita jolloin pääkäyttäjän oikeuksia halutaan järjestelmän omistajan toimesta hallita ja valvoa tehtyjä toimenpiteitä.\nLaajennettujen käyttöoikeuksien hallintajärjestelmää kutsutaan englanninkielisellä\nnimellä Privileged Access Management (PAM) tai Privileged Identity Management\n(PIM). Käytän tässä yhteydessä lyhennettä PAM. PAM-järjestelmän perusominaisuuksina voidaan tunnistaa pääkäyttäjäoikeuksien hallinnointi, pääkäyttäjätunnuksien avulla tehtyjen tapahtumien rekisteröinti ja tapahtumien todennettavuus. On\nhyvä huomata, että pääkäyttäjätasoisilla oikeuksilla voidaan päästä suoraan liiketoimintakriittisiin tietoihin.\nRiskien hallinta, toiminnan ulkoinen auditoija tai toimintaa valvova viranomainen\nkiinnittää huomiotaan yrityksen pääkäyttäjäoikeuksien valvontaan. Joissakin tapauksissa vain henkilökohtaiset pääkäyttäjäoikeudet ovat sallittuja, mutta tapahtumien talletus jää järjestelmän oman tapahtumarekisteröinnin varaan. Pääkäyttäjäoi-\nkeuksilla on mahdollista tyhjentää tapahtumatiedostot, joten kontrolli on näennäinen.\nPAM-järjestelmä antaa mahdollisuuden hallinnoida pääkäyttäjäoikeuksia keskitetysti. Oikeuksien hallinta tapahtuu erillisessä palvelussa, joka ei päästä laitteen\nylläpitotehtäviä suorittavaa henkilöä kirjautumaan suoraan kohdelaitteelle. Tässä\nkäyttötapauksessa PAM-järjestelmä voidaan nähdä välitinpalvelimen roolissa.\nKäyttötapauksista tavallisin lienee tapahtumien tallennus. Kohdelaitteella suoritetut\ntapahtumat voidaan tallettaa lokiriveinä tai vaikkapa kuvaruututapahtumien videotallennuksina erilliseen palvelimeen. Tällöin historiallisten tapahtumien seuranta\nonnistuu, vaikka kohdelaitteen tapahtumalokit olisi tarkoituksellisesti ylikirjoitettu.\nKuviossa 2 on esitelty PAM-toiminnallisuuksia arkkitehtuuritasolla.\nkaksitasoinen autentikointi, työnhallinta, raportointi\nITSM, AD, HR, SIEM,\nPAM Tietokanta palvelut\nActive Directory, muut\nKuvio 2. Privileged Account Management -arkkitehtuuri.\n3.13 Role Based Access Control (RBAC)\nRooliperusteisen käyttöoikeusmallin Role Based Access Control (RBAC) teorian ja\nperustan julkaisivat NIST-tutkijat Ferrairo ja Kuhn vuonna 1992. Mallia on laajennettu useasti ja standardiksi RBAC-käyttöoikeusmallia esittelivät tutkijat Sandhu,\nFerraiolo ja Kuhn jo vuonna 2000. Standardiksi RBAC-käyttöoikeusmalli julkaistiin\nvuonna 2004. (O'Connor et al. 2010).\nRoolipohjainen käyttöoikeusteoria lähestyy käyttöoikeuksien hallintaa työtehtävien\nryhmittelyyn perustuvan näkökulman kautta. Liiketoiminnoilla ja sen yksiköillä on\nkullakin omat tehtävänsä ja osaamisalueensa. Näiden olettamusten avulla voidaan\nmuokata käyttöoikeuksista kutakin työtehtävää parhaiten palvelevat oletusroolit ja\nkäyttöoikeusmallit. Työntekijät liitetään näihin rooleihin omien osaamisalueidensa\nmukaisesti. Tässä mallissa nousee korostetusti esille työntekijän oikeus informaatioon tai tehtävän suorittamiseen. Rooliperustainen malli on joustava ja mallin avulla voidaan hyvällä suunnittelulla ehkäistä vaarallisten työyhdistelmien syntymistä.\nRavi Sandhun ja työryhmän julkaiseman tutkimuksen mukaan rooli voidaan nähdä\ntoisaalta kokoelmana käyttäjiä ja toisaalta kokoelmana käyttöoikeuksia. Käyttöoikeusroolin avulla kytketään nämä kokoelmat toisiinsa. (Sandhu et al. 1995, 5).\nKuviossa 3 esittelen roolipohjaisen käyttöoikeusmallin perusideoita. Yhdellä käyttäjällä voi olla erilaisia työrooleja ja näillä rooleilla työtehtävien vaatimusten mukaisia\noikeuksia eri liiketoimintasovelluksiin tai tietojärjestelmiin. Lisäksi käyttäjällä voi olla\nsuoria rooliperustaisen järjestelmän ulkopuolisia oikeuksia suoraan haluttuihin tietojärjestelmiin. Tällä mahdollistetaan poikkeamamenettely järjestelmiin joiden käytössä roolipohjaisuus ei toimi tai ei ole järkevää toteuttaa.\nKuvio 3. Roolipohjainen käyttöoikeusmalli. Mukailee koulutusmateriaalia. Sparta\nHenkilöydintieto, roolitieto ja sähköinen identiteettitieto. (Sparta 2014) ja (Sandhu\net al. 1995, 18).\nEräänä ongelmana voi olla tiedonomistajien ja tuottajien sitouttaminen roolipohjaiseen ajatteluun. Siirtymisvaiheessa roolipohjaiseen malliin suunnittelun ja mallin\nvalmistelutyön määrä on suuri. Tätä kautta RBAC-mallin käyttöönotto ja perustaminen yrityksen käyttöön voidaan nähdä työläänä. On normaalia, että organisaatioiden tiedon omistaminen on hajautunut. Tiedonomistajien velvollisuudet voivat\nolla epämääräisiä tai hallintomallissa määriteltyjä vastuita ei ole jalkautettu aina\nkäytännön toimintaan saakka. Tiedon omistajuuden ollessa epäselvä on käyttöoikeusroolien luominen työlästä. Rooliperusteisessa käyttöoikeuskäsittelyn määrittelyssä (RBAC) on roolimassasta pyrittävä seulomaan perusroolit tai niin sanotut tehtävien suorittamisen arkkiroolit.\nRooliperustaisen käyttöoikeuksien hallinnan perusteiden mukaisesti, osa työntekijän käyttöoikeuksista voidaan perustaa jo työntekijän rekrytoinnin yhteydessä.\nTyöntekijä tulee kuulumaan valittuun liiketoiminta-alueeseen, osastoon ja työryhmään. Hän sijoittuu maantieteelliseen tai vaikkapa kielialueen mukaiseen ryhmään.\nRyhmille voidaan tarvittaessa luoda ennakkoon valittuja ominaisuuksia ja pääsyoikeuksia haluttuihin tietovarastoihin tai niiden osiin. Samalla voidaan tarjota oletusarvoisesti työntekijän perusroolin mukaisia sovelluksia tai näkymiä yrityksen\nyhteisiin palveluihin sekä liiketoimintasovelluksiin. Asiantuntijuuden perusteella\ntyöntekijälle voidaan roolipohjaisen ajattelun mukaan tuottaa oletusarvoiset oikeudet samoilla perusteilla, kuten hänen kollegoilleenkin on tuotettu. Näistä perusasetuksista muodostuu roolipohjaisen käyttöoikeuden hallinnan peruskivi. Kerran\nsuunniteltu käyttöoikeusmalli voidaan monistaa seuraaville työntekijöille helposti ja\ntehokkaasti. Roolipohjaisen käyttöoikeusmallin hyödyntäminen helpottaa ja nopeuttaa linjaesimiehen toimintaa uuden henkilön rekrytointitilanteessa ja käyttöoikeuksien muutos- ja päättämistilanteissa.\nRooliperustaisen käyttöoikeuskäsittelyn etuina ovat tutkimuksessaan O'Connor ja\nLoomis kuvanneet joustavuuden, läpinäkyvyyden ja kehittyneen käyttöoikeuksien\nprovisioinnin. Rooliperustaisesta käyttöoikeuskäsittelyn hyötyjinä he esittävät liiketoimintajohdon, henkilöstöhallinnon ja IT-hallinnon. (O'Conor et al. 2010, 12). Nähdäkseni rooleihin perustuva käyttöoikeuksien hallinta tuo mukanaan holistisen näkymän käyttöoikeuksiin. Käyttöoikeuksien keskitetty raportointimahdollisuus aina\nsovellustasolle saakka auttaa ehkäisemään vaarallisten työyhdistelmien syntymistä.\n3.14 Valittu teoria\nTutkimuksen otsikon mukaisesti keskityn yrityksen henkilöydintietojen ja identiteetinhallinnan toimintaan. Valitsen analyysin tueksi identiteetin ja pääsynhallinnan\nnäkökulman (Identity and Access Management). Identiteetin ja pääsynhallintajärjestelmä tukee käyttäjätunnusten luomista, käyttöoikeuksien muutoksia, käyttöoikeuksien raportointia ja käyttöoikeuden lopettamista. (Cser et al. 2012, 3). Mielestäni IAM-tietoperusta tukee hyvin asetettua tutkimustehtävää.\nKehittämistyön lähestymistapana tai menetelmänä on mahdollista käyttää tapaustutkimusta tai toimintatutkimusta. Seuraavassa perustelen tutkimuksellisen lähestymistavan valintaa eri näkökulmista tarkasteltuna. Mika Metsämuuronen on todennut seuraavaa. "Koska tutkittavat ilmiöt ovat joskus hankalasti hahmotettavissa,\nsaattaa tietomme ja ymmärryksemme ulkopuolelle jäädä jotain mitä emme pysty\ntavoittamaan" (Metsämuuronen 2009, 217). Tällä ajatuksella varustettu tutkija antaa ikään kuin etukäteen anteeksi itselleen sen, että kaikkia ilmiöitä ei välttämättä\ntässä tutkimuksessa havaittu tai huomattu etsiä. Kvantitatiivinen tutkimus perustuu\nvahvasti positivismiin tai postpositivismiin. Tutkija pyrkii ajattelemaan, että totta on\nse, mitä voidaan konkreettisesti tavoittaa. (Metsämuuronen 2009, 220). Kokemukseni mukaan haastattelujen analysoinnin ja tarkentavien kysymysten avulla tieto\ntutkittavasta aiheesta tai ongelmasta luonnollisesti lisääntyy.\nKonstruktivismissa todellisuus on eri henkilöiden suhteellinen kokemus todellisuudesta. Tietoa todellisuudesta voidaan saada tutkijan ja tutkittavan ollessa toisiinsa\ninteraktiivisesti yhteydessä (Metsämuuronen 2009, 218). Ajatuksen voi konkretisoida haastattelu- tai kyselytutkimuksen suorittamiseksi. Kvalitatiivisen tutkimuksen\nmetodologia eli oppi tiedon hankinnan menetelmistä perustuu konstruktivismiin.\nKvalitatiivisen tutkimuksen tiedonhankintavälineinä käytetään tyypillisesti haastatteluita.\nLähestyn tutkimusotteen valintaa metodologisten pohdintojen kautta. Tavoitteeni\non kerätä tietoa toiminnassa havaituista ongelmista prosessin auditoinnin, läpimenoaikojen mittauksen ja haastattelujen avulla. Valitut työvälineet antavat näkymän tutkittavaan kohteeseen. Kvantitatiivisia menetelmiä käyttämällä voin mitata ja\ntodistaa prosessin läpimenoaikoja ja näin tavoittaa näkymän prosessin pullonkauloihin. Numeeriset mallit eivät kuitenkaan kykene täysin yksiselitteisesti ratkaisemaan varsinaista tutkimusongelmaa, joka liittyi käyttöoikeuksien elinkaaren jat-\nkumiseen työsuhteen päätyttyä. Pohdiskelun tuloksena valitsen tutkimuksen päämetodologiaksi kvalitatiivisen tutkimusotteen.\nKvalitatiivisen tutkimuksen strategia\nLaadullisen tutkimuksen tiedonhankinnassa käytetään erilaisia toimintamalleja.\nTapaustutkimuksella pyritään kokoamaan tietoja tutkittavasta aiheesta monipuolisesti. Tavoitteena on ymmärtää ilmiötä syvällisesti. Tapaustutkimukset toimivat\nusein ponnahduslautana toiminnan kehittämiseen. Tehtävänannossa esiintyi vaatimus kehittää toimintaa tai tuottaa kehitysideoita.\nFenomenologinen tutkimus on oppi ilmiöistä. Tässä tutkimusalueessa tutkimusaineistoon tutustutaan avoimesti pyrkien kokonaisnäkemykseen. Näkemyksestä\nmuodostetaan yleinen merkitysrakenne, jonka avulla ongelma pyritään analysoimaan ja ratkaisemaan. Etnografisen tutkimuksen välineitä voidaan käyttää erityisesti ihmisten ja ilmiöiden tarkkailuun ja\nymmärtämiseen. Analyysissä pyritään\ntuomaan julki inhimillisen käyttäytymisen merkityksiä. Aineistopohjaisessa teoriassa (grounded theory) pureudutaan käytössä olevaan tutkimusmateriaaliin, jonka\npohjalta luodaan tutkimuksen teoria. Aikaisempia teorioita ei tässä tutkimusmenetelmässä välttämättä käytetä, vaan tavoitteena on uuden teorian luominen.\nToimintatutkimuksessa osallistutaan tutkittavan ilmiön toimintaan tai prosessiin.\nTavoitteena on ratkaista käytännön tilanteita, ongelmia, muuttaa sosiaalisia käytäntöjä tai vaikkapa tarjota uusia näkökulmia työskentelyyn. Diskurssianalyysi ja narratologia tutkivat tekstiä, puhetta, kielen käyttöä, kertomuksia ja tarinoita. Tämä tutkimussuunta ei vastaa tällä kerralla asetettuihin tavoitteisiin.\nIhmisten käsityksiä asioista ja ilmiöistä tutkitaan fenomenografisella tutkimuksella.\nTässä yhteydessä tämän tutkimusmenetelmän ongelmana on tutkittavien käsityksien muuttuminen riippuen kysymysten näkökulmasta kohteena olevaan tutkimus-\nongelmaan. (Metsämuuronen 2009, 222–242). Käsittääkseni tässä menetelmässä\ntulosten yleistettävyys on haasteellista, ja tämän tutkimuksen tarkoituksena on\npäästä kiinni yleistettäviin ja pragmaattisiin tuloksiin.\nEdellisten pohdintojen perusteella tutkimusstrategioista osallistuva toimintatutkimus\ntukee hyvin tehtävänannossa määriteltyjä tavoitteita. Valitsen tutkimusstrategiaksi\nkvalitatiivisen osallistuvan toimintatutkimuksen.\nTutkimusmetodeina käytän avainhenkilöiden haastatteluita, identiteetinhallinnan\nprosessien tukimusta ja käytännön toiminnan havainnointia. Tulosten analysoinnin\nsuoritan haastatteluaineiston sisältöanalyysin avulla (Ojasalo et al. 2009, 124).\nOletuksenani on, että ulkoisten työntekijöiden elinkaaren hallinnassa on epävarmuutta, ja yrityksen IT-hallinnon asettamat tietoturvavaatimukset vähimmän käyttöoikeuden vaatimuksesta eivät täyty. Työssä havainnoidaan myös muiden vastaavan kokoisten yritysten käyttämiä identiteettien hallintamalleja ja parhaita toimintamalleja (best practises). Tässä työssä tehtävien tutkimusten ja haastatteluiden pohjalta luodaan käsitys yrityksen käyttäjätunnusten ja käyttöoikeuksien elinkaaren tapahtumista.\nValitsin haastatteluihin kaksikymmentä yrityksen, ulkoistuskumppanin ja samalla\nalalla toimivien yritysten palveluksessa työskentelevää johtaja-, esimies- tai asiantuntijarooleissa olevaa henkilöä. Henkilöhaastattelut valmistelin ennakkoon vapaamuotoisiksi keskustelutilaisuuksiksi. Haastattelutilanteissa ohjasin keskustelua\naihealueittain käsittelemään havaittuja ongelmia ja mahdollisia kehittämiskohteita.\nTavoitteeni oli löytää kommentteja ja ideoita identiteetin ja käyttöoikeuden hallinnan prosessien ongelmakohtiin, henkilöydintiedon lähteisiin, käyttöoikeustyyppeihin, käyttötapauksiin ja toivottuihin prosessien läpimenoaikoihin. Tavoitteeni va-\npaamuotoisissa haastatteluissa oli välttää haastateltavan vastauksia mahdollisesti\nohjaavaa kysymys ja vastaus haastattelumallia.\nLisäksi kävin vapaamuotoisia keskusteluja kollegayritysten edustajien kanssa\nbenchmark-hengessä. Aiheena keskusteluissa olivat ulkoisten työntekijöiden henkilöydintiedon hallinta ja IAM-hankkeet. Tavoitteenani oli havainnoida muiden saman kokoluokan yritysten toimintamalleja sekä kokemuksia IAM-käyttöönotoista.\nNäitä keskusteluita kävin eri yhteyksissä talvella 2014. Kahdenkeskisiin keskusteluihin osallistui viiden yrityksen edustajia Suomesta ja Ruotsista.\nTunnuksen perustamiseen käytetyn ajan havaitseminen ja mittaaminen on yksi\nperusedellytys tunnuksen perustamistapahtuman tehokkuuden ja toiminnan ymmärtämiseksi. Samalla voidaan tarkastellaan Service Level Agreement (SLA) vaatimustenmukaisuuden toteutumista. Vanha viisaus "sitä saat mitä mittaat" auttaa\nkokemukseni mukaan toteuttamaan tilaajan tahtotilan seurattavissa prosesseissa.\nHaastatteluiden ja prosessien havainnoinnin tukena poimin tapahtumamääriä käyttäjätunnustilaus- ja PAR-prosessin tapahtumista. Varmistaakseni haastateltavien\nantamien lausuntojen paikkansapitävyyttä tarkastelin käyttäjätunnustilausten ja\nPAR-avauspyyntöjen läpimenoaikoja. Läpimenoaikojen poimintaa suoritin yrityksen\nIT Service Management Data Warehouse raporttigeneraattorin avulla. Tapahtumamäärien havainnointiin käytin toiminnanohjausjärjestelmästä saatuja raportteja.\nTarkasteltavat aineistot on poimittu pääasiassa aikavälillä 1.6.2014–31.12.2014,\njos ei erikseen muuta mainita.\nOsallistuvan toimintatutkimuksen työkalupakkiin sopii erinomaisesti prosessien ja\ntapahtumien omakohtainen ja kokemusperäinen havainnointi. Tässä menetelmässä tutkijalla on mahdollisuus osallistua itse prosessin toimintoihin ja kokea henkilökohtaisesti prosessin toiminnallisuus. Metodin hyvänä puolena on tutkijan ja luonnollisesti haastateltavien läheinen kosketus prosessin toimintaan.\nLäheinen kokemus prosessiin voi toisaalta luoda tilanteen, jossa prosessin ongelmat ovat muuttuneet ominaisuuksiksi. Riskinä on, että ominaisuuksia ei osata nähdä ongelmina. Tätä huomiota voi tukea haastateltavan kommentti PARoikeuskäsittelyprosessin läpimenoajoista. "Jengi ei kuitenkaan ole valittanut\nPAR:ien läpimenosta. Onko jengi tottunut siihen että PAR on hidas. Joko ovat kyllääntyneet tai ovat tyytyväisiä. Ehkäpä pahimmat valittajat ovat löytäneet automaattisen tavan re-aktivoida PAR:it." (Haastateltava 5 2014). Kommentista voidaan\ntunnistaa epäily, että käytännössä prosesseja voidaan käyttää vastoin alkuperäisiä\nprosessin tarkoitusta tai tavoitteita.\nTavoitteenani oli kerätä käyttäjäkokemuksia henkilöiltä, jotka käsittelevät ulkoisten\ntyöntekijöiden, kuten konsulttien käyttöoikeuksia tai identiteetin hallintaprosessia.\nHaastatteluilla pyrin tavoittamaan käyttäjien prosessiin kohdistuvia odotuksia.\nHaastatteluissa sain esille mielenkiintoisia ja kehittäviä ajatuksia identiteetinhallinnan prosessien kehittämiseksi.\nHaastatteluiden tukena käytin haastattelukysymyksiä, joiden perusteella jatkoimme\nhaastateltavan kanssa vapaata keskustelua. On myönnettävä, että tiukasti samoissa kysymyksissä pysyttelevä haastattelu kaikille haastateltaville olisi ollut haastat-\ntelijalle helpompi menettelymalli. Vastausten jatkokäsittely ja analysointi olisi ollut\nyksinkertaisempaa kysymys ja vastaus menetelmän avulla. Monipuoliseksi kertynyt\nhaastatteluaineisto antoi laajan näkymän tutkittavaan aiheeseen. Haastatteluissa\nkäyttämäni kysymykset on kuvattu liitteessä 9.\nTilaajan toivomuksesta olen anonymisoinut lähteenä käytettyjen henkilöiden nimet\nja tehtävänimikkeet. Samoin yrityksen tunnistetiedot, alkuperäisissä raporteista ja\nkuvakaappauksissa nähtävillä olevat käyttäjätunnustiedot tai liiketoimintaan viittaavat tiedot on sanitoitu tunnistamattomuusvaatimuksen vuoksi.\nHaastateltavien mielipiteet perustuivat heidän kollegoiltaan saamiinsa tietoihin ja\nomakohtaisiin kokemuksiinsa. On huomattava, että haastattelussa saadut tulokset\novat henkilöiden subjektiivisia näkemyksiä, jotka perustuvat muodostuneeseen\nnäkemykseen ja haastateltavan asenteesta syntyviin mielipiteisiin. Haastattelujen\ntulokset eivät välttämättä perustu mitattuun toistettavaan ja todistettavaan tietoon.\nHaastateltavien vastaukset kirjasin tekstinkäsittelyohjelmalla tekstidokumenteiksi.\nTyöstin haastatteluaineistot käyttäen haastattelujen luokitteluun teemoittelu ja tyypittelymenetelmää (Silius. 2008). Haastattelujen sisällöt jaoin käsiteltävän asian\nmittaisiin lauseisiin tai kokonaisuutta palveleviin osiin. Lauseista poimin samankaltaisuuksia ja tyyppejä, jotka kuvasivat yhtä asiaa tai asiakokonaisuutta. Teemoittelun tuloksena syntyneen materiaalin siirsin taulukkolaskentaohjelmaan havaitsemieni kokonaisuuksien tai tyyppien mukaan.\nTyyppeinä käytin kuvaavia termejä. Esimerkkeinä termeistä; toiminta, omistaja,\nongelma, riski, kehitys, master data. Tässä yhteydessä esimerkiksi "master data"\nteeman alle keräsin lausuntoja, joissa otettiin kantaa henkilöydintiedon tallentamiseen. Teemoittelun avulla sain kerättyä haastateltavien yhteisiä näkemyksiä ja näin\nsain rekisteröityä kannanottoja tutkimuksen kysymyksien tueksi.\nSiliuksen mukaan teemoittelussa pyritään pelkistämään haastatteluja ja tekstistä\npyritään hakemaan koodituksen tai indeksoinnin avulla kokonaisuuksia. Käytännön\nongelmien ratkaisemisessa teemoittelun on havaittu olevan toimiva ratkaisu. (Silius\n2008, 4). Kokemukseni mukaan teemoittelun avulla sain rakennettua aihepiirin mu-\nkaisia kokonaisuuksia. Ja kuten aiemmin totesin, teemoittelun avulla pystyin havaitsemaan ja hakemaan haastatteluaineistosta yhdistäviä tekijöitä.\nHaastatteluissa pyrin hakemaan käyttöoikeuden tilaajien odotuksia tilausprosessiin, käyttöoikeuden toimittamisen oikea-aikaisuuteen ja identiteettien hallintaan.\nHaastatteluissa erottuivat omiksi kokonaisuuksiksi ulkoisten työntekijöiden henkilöydintiedon hallinta, sekä läpimenoaikojen ennustamattomuus normaalin käyttöoikeuden ja PAR-oikeuden tilauksessa. Esille nousi myös havaintoja konsulttien\nkäyttöoikeuksien elinkaaren hallinnassa.\nHaastatteluissa käydyissä keskusteluissa tuotiin esille myös koulutuksen ja viestinnän merkitys tiedon ja asenteiden muokkaajana. Kehitysidea konsulttitunnuksen\naktiivisuuden sitomisesta sopimuksen kestoaikaan nousi esille useissa haastatteluissa.\nTunnustilauksen läpimenoaikojen ennustamattomuus\nKäyttäjätunnustilauksen ja varsinkin PAR-oikeuden tilausprosessien läpimenoajat\nolivat useiden haastateltavien mielestä pitkiä. Erityisen harmilliseksi haastateltavat\nkokivat käyttäjätunnusprosessien läpimenoaikojen voimakkaan vaihtelun. Haastateltavien odotusarvot prosessin läpimenoajoille kuvaavat mainiosti nykytilannetta.\n"Käyttäjätunnuksen läpimenoaika vaihtelee paljon. Voi heitellä laidasta laitaan."\nTämän haastateltavan toiveena oli, "Jos edes kolmessa päivässä tunnuksen voisi\nsaada, niin olisi hyvä." (Haastateltava 5 2014).\nKäyttöoikeuden tilaus- ja toimitusprosessin keston ennustamattomuus aiheuttaa\ntyönjohdolle houkutuksen jättää tunnus aktiiviseksi. Haastatteluista kävi ilmi, että\ntunnuksia on jätetty tarkoituksella aktiiviseksi. Tärkein syy tunnuksen aktiiviseksi\njättämiseen oli haastateltavien mielestä käyttäjätunnuksen ja pääkäyttäjäoikeuden\naktivoinnin ajallinen kesto ja tunnuksen toimitusprosessin läpimenoaikojen vaihtelevuus. Haastateltava perusteli tunnuksen avoimeksi jättämistä, "Tunnuksia pidetään auki kaiken varalta, koska tunnuksen avaaminen on hidasta ja incident [häiriö]\ntilanteessa apua tarvitaan nopeasti." (Haastateltava 13 2015).\nPääkäyttäjäoikeusprosessin läpimenoajat eivät haastateltavien mielestä olleet tyydyttävällä tasolla. Kuten seuraavassa haastattelun lainauksessa todetaan, "Miten\npaljon nyt maksetaan PAR-oikeuden odottelusta." Haastateltava on valmis rakennuttamaan prosessiin lisää automaatiota, joka on luettavissa seuraavasta ajatuksesta. "PAR läpimenoajan ennustamattomuus on riittävä syy automaation lisäämiselle." (Haastateltava 4 2014)\nUseimpien haastateltavien mielestä PAR-tilauksen läpimenoaika ei vastannut System Managereiden odotuksia. Odotusarvo oikeuspyynnön kestolle käy hyvin ilmi\nseuraavasta kommentista. "PAR-oikeuden liittäminen tunnukseen ideaali tilanteessa yhdessä työpäivässä." sekä "Valtaosa parreista on käytössä seuraavana päivänä." (Haastateltava 4 2014) Kuitenkin sama haastateltava toteaa, "Läpi talon\nturhautuminen prosessin hitauteen." Edellisistä kommenteista voidaan havaita\nfrustraatiota ja kyllääntymistä prosessin läpimenoaikojen vaihteluun ja hidasteluun.\nUlkoistuskumppanin edustajan kanssa käydyissä keskusteluissa nousi esille, että\nulkoistuskumppanin agentit eivät olleet kaikissa tapauksissa kirjanneet tapahtumia\nasiakkaan CMDB-järjestelmään. Tapahtumien kirjaamattomuus näkyy tilaajalle\ntilatun oikeuden puutteena. Tämän havainnon perusteella päätin kerätä lisätodisteita PAR-prosessin läpimenoajoista muista lähteistä. Palaan näihin tuloksiin myöhemmin.\nUseimmat haastateltavat kiinnittivät huomionsa ulkoisten työntekijöiden henkilöiden\nydintiedon käsittelyyn. Yrityksen asiakkaiden master datan eli henkilöydintiedon\ntodettiin sijaitsevan yrityksen asiakastietojärjestelmissä (CRM). Työntekijöiden\nosalta master data tiedot on talletettu henkilöstön hallintajärjestelmään (HR).\nHavaintojen mukaan yritysten väliset toimeksiantosopimukset pitävät harvoin sisällään varsinaisten työntekijöiden identiteettitietoja. Haastatteluissa tuotiin esille\nmuun muassa seuraavaa. "Sopimussuhteessa olevien henkilöiden osalta sopimustietoja on talletettu moniin kohteisiin." "Ei ole keskitettyä näkymää sopimussuhteessa olevien työntekijöiden sopimusten omistajuuteen tai kestoon." (Haastateltava 8 2014). Näistä kommenteista voidaan havaita puutteita ulkoisten työntekijöiden\nIdentiteetinhallinnan kannalta erottava tekijä yrityksen varsinaisiin työntekijöihin on,\nettä heitä ei ole rekisteröity yrityksen HR-järjestelmään. "Konsulttien sopimukset\njäävät oletusarvoisesti liiketoiminnan ja konsultin palkanneen henkilön tiedoksi.\nSopimuksen tekohetkellä on harvoin tiedossa työhön konkreettisesti osallistuvien\nhenkilöiden tietoja." (Haastateltava 7 2014). "Sopimustietokanta puuttuu, mistään\nei kumuloidu sopimuksen tai käyttäjätunnuksen kestoja." (Haastateltava 1 2014).\n"Tiedot löytyvät omasta sopimuksesta, jos olen itse palkannut konsultin." (Haastateltava 4. 2014).\nKäyttöoikeuksien käsittelyn osalta todettiin seuraavaa. "Esimiehen tai yrityksen\nmanagerin velvollisuus on ilmoittaa työsuhteen päättämisestä. HR-järjestelmä tuo\nsen edun, että työsuhteen päättyessä tunnus voidaan sulkea automaattisesti. Jos\npoislähtevän työntekijän tunnarit jäävät roikkumaan, niin on mahdollista, että käyttäjä pääsee tunnuksillaan kiinni [yrityksen tietojärjestelmiin] etäkäyttöyhteyden\nkautta." (Haastateltava 7 2014). Edellä olevasta kommentista voidaan tunnistaa\nesimiehen tai managerin vastuu tunnuksen sulkemiseen työsuhteen päättymisessä. Työsuhteen päättäminen katkaisee automaattisesti käyttöoikeudet vain henkilökuntaan kuuluvalta henkilöltä. Konsultin tunnuksien etäkäyttömahdollisuus jatkuu,\njos esimies tai manageri ei tilaa tunnuksen sulkemista.\nTähän samaan ongelmaan on kiinnittänyt huomiotaan myös yrityksen käyttämä\nulkoinen tilintarkastusyhtiö. Tilintarkastusraportissaan "Corporate IT Service management letter 2013" tilintarkastus on antanut korjausehdotuksia ja suosituksia käyttäjäoikeuksien käsittelyyn. Raportissa kuvataan muun muassa huomioita ja riskejä\nkonsulttien AD-käyttäjätunnusten sulkemismenettelyissä. Tilintarkastusraportissa\nsuositellaan kehittämään ja automatisoimaan muutoksenhallinnan prosesseja ja\ntoimintamalleja. Raportissa annetaan muun muassa suositus poistaa turhat ja käyttämättömät tunnukset välittömästi käyttötarpeen päätyttyä.\nOletukseni ulkoisten työntekijöiden käyttäjätunnuksen elinkaaren hallintaan liittyviin\nepävarmuuksiin ovat haastattelujen analyysissä paljastuneet todelliseksi. Näyttää\nvahvasti siltä, että yrityksen tietoturvapolitiikan vaatimus vähimmän käyttöoikeuden\nvaatimuksesta ei kaikissa käyttötapauksissa täyty. Ulkoisten palveluntuottajien palvelusopimuksien päättyminen ei käynnistä automaattista konsulttien käyttäjätunnuksen sulkemista. Esimiesohjeiden mukaan työsopimuksen päätyttyä vastuu tunnuksen sulkemisen tilaamisesta on yrityksen managerilla.\nHaastatteluiden perusteella voidaan olettaa, että konsulttien tunnuksia voi jäädä\ntahattomasti avoimeksi. Joissakin tapauksissa haastateltavat kertoivat ongelmana\nolevan, että sopimuskumppanit eivät ilmoita konsultin työsopimuksen purkautumisesta. "Konsultin työsuhteen päättyessä ei välttämättä ilmoiteta mihinkään." (Haastateltava 5 2014). Haastatteluissa nousi esille seuraava toteamus olemassa olevasta tilanteesta, "Konsulttitunnuksia suljetaan harvoin heti välittömästi [työn päättymisen jälkeen]." (Haastateltava 5 2014). Palvelusopimuksessa olevista puutteista\nkumpuava ongelma nousee esille seuraavassa kommentissa, "Poislähtevistä konsulteista saadaan harvoin tietoa." (Haastateltava 4 2014). Kehitystoiveena tämän\nongelman poistamiseksi esitettiin teknistä kontrollia, "Voisiko konsultin tunnuksen\n[päätymisen] kytkeä sopimuksen elinkaareen." (Haastateltava 4 2014).\nKuten haastateltava seuraavassa kehitysideanaan esittää, "Tunnus automaattisesti\ndisabloidaan, jos tunnusta ei ole käytetty viiteen viikkoon. Jos tunnus disabloidaan,\nniin enabloimisen on oltava nopea ja tapahduttava soitolla tai automaattitoiminnalla." (Haastateltava 9 2014). Vaikka haastateltava suosittelee asentamaan automaattilukituksen käyttämättömälle tunnukselle, niin on huomattava, että tunnusten\nautomaattinen lukitus lyhyissä työsuhteissa voi olla resurssien käytettävyyden kannalta haastavaa. Kuten haastateltava toteaa on käyttämättömien tunnusten automaattinen lukitseminen ja samalla tunnuksen nopea palautus mahdollisuus eräs\ntapa kontrolloida ulkoisten työntekijöiden tunnusten käyttöä.\nTunnuksen sulkemattomuus voi aiheuttaa tilanteen, jossa irtisanotun konsultin\nkäyttäjätunnus on aktiivisena yrityksen järjestelmiin. Tätä kautta ex-konsultilla on\nkäyttöoikeuksien mukainen suora pääsyoikeus liiketoimintasovelluksiin tai vaikkapa\navoimena olevan projektin suunnittelutietoihin. Tämä on selkeä tietoturvariski, joka\non pyrittävä poistamaan järkevillä ja toimivilla kontrolleilla. Aktiivisena olevat käyttämättömät tunnukset aiheuttavat oikeutettua huolta haastateltavissa. Konsulttitunnusten sulkemattomuus työvelvollisuuden päätyttyä on selkeästi riski ja Akilleen\nkantapää yrityksen käyttöoikeuksien hallinnassa.\nHavaintoja identiteetin hallinnasta\nHavaintojeni mukaan yrityksen hallussa oleviin identiteetteihin liittyy erilaisia näkökulmia. Yrityksen hallinnollinen IT (CIT) tarkastelee henkilöidentiteettiä liiketoiminta-arkkitehtuurin kannalta. Henkilöstöhallinto katsoo identiteettejä pääasiassa varsinaisen työntekijän identiteetin ja henkilön tunnistamisen näkökulmasta. ITpalveluyksikkö tunnistaa käyttäjän teknisenä objektina ja identiteetinhallinnan teknologia-arkkitehtuurin näkökulmasta. Liiketoimintojen sovellustenomistajat taas\nkatsovat henkilöiden identiteettejä liiketoiminnan sovellusten käyttöoikeuksien näkökulmasta.\nKäyttöoikeuden tilausprosessin käynnistäminen, käyttöoikeuden muutokset ja päättämisen tilaaminen ovat linjajohdon vastuulla. Työnjohdollisesta näkökulmasta prosessien ongelmien tunnistaminen ja prosessin automatisoinnin oletetaan antavan\nlisäarvoa käyttöoikeushallinnan toimintoihin. Haastatteluissa nousi esille huomioita\nulkoisen tarkastuksen antamista huomautuksista konsulttitunnusten käsittelyssä.\nSeuraava kommentti kokoaa useiden haastateltavien huomiot auditoinnin palautteista. "Audit [ulkoinen toiminnan tarkastelu] rokottaa joka vuosi konsulttitunnuksien\nhallinnasta." (Haastateltava 9 2014). Yrityksen käyttämä ulkoinen tilintarkastus on\nkiinnittänyt huomionsa konsultointisopimusten päättymisen yhteydessä epämääräiseksi ajaksi avoimeksi jääviin käyttäjätunnuksiin. Auditoijataho on kirjannut tämän\ntoiminnan tutkimusraporttiin poikkeamaksi hyviin käytäntöihin ja on antanut kehotuksen korjata toimintatapoja tai prosesseja.\nKonsulttien identiteettien hallinnan osalta on nähtävissä, että ulkoisten työntekijöiden henkilöydintietojen hallinta on jäänyt paikallisten työnjohtajien oman aktiivisuuden ja ammattitaidon varaan. Esimerkiksi manageri- tai esimiestietojen paikkansa\npitävyyteen ei voi kaikissa tapauksissa luottaa. Konsulttien henkilöydintietoja käsitelleessä keskustelussa sain esille muutaman henkilöydintietojen ylläpitoa kuvaavan kommentin. "Tällä hetkellä tällaista konsultti Master Dataa ei ole." (Haastateltava 7 2014).\nHaastateltava kertoi konsulttien identiteetin tallettamisesta HR-järjestelmään seuraavaa. "We do register some consultants in HR system today but that is when you\nhave a specific need e.g. acting as a manager for employees." Joidenkin esimiesasemassa toimivien konsulttien tietoja on viety HR-järjestelmään. (Haastateltava 14 2015). Tästä lausunnosta voidaan nähdä, että HR-järjestelmässä on valmius tallettaa konsulttien henkilöydintietoja.\nHR-järjestelmässä on käytössä erilaisia syötettävän tiedon laatuun liittyviä varmistuksia. Seuraavassa kommentissa kerrotaan HR-järjestelmän tietojen laatukontrolleista. "The principle regarding employment is that you have to have a valid contract, a valid manager and proper contact information. There are also a lot of processes to follow up the data quality of the registered data." (Haastateltava 14\n2015). Tietojen syöttämisen yhteydessä varmistetaan seuraavat tiedot; sopimus-,\nmanageri- ja yhteystiedot on syötettävä järjestelmään työntekijän tietoja perustettaessa. Tietojen syöttämisen yhteydessä syötettävän tiedon laatua valvotaan prosessin eri vaiheissa.\nTyösuhteen päättyessä suoritetaan automaattisia de-provisiointi toimenpiteitä.\n"When employment ends certain action will also be executed e.g. sending the status terminated to IT systems in an automated fashion. This automation I guess is\nwhat you strive for related to the consultants." (Haastateltava 14 2015). Tämän\nperusteella voin olettaa, että konsulttien identiteetinhallinta toimisi teknisenä suorituksena HR-järjestelmässä. Jos tekninen toteutus onnistuisikin, niin prosessin kannalta tilanne ei ole niin yksinkertainen, kuten seuraavasta kommentista voin päätellä. "I guess if the process is defined how things should be handled a tool like HRsystem could possibly help but would in our case be a new scope of usage."\n(Haastateltava 14 2015). Kommentin mukaan konsulttien käyttöoikeuksien siirtäminen käsiteltäväksi HR-järjestelmään olisi HR-toiminnoille uusi aluevaltaus. Tämän saman huomion vahvisti myös HR-yksikön prosessivastaava haastattelussaan. Myös hänen mukaansa HR-järjestelmällä on valmius käsitellä konsulttien\nidentiteettejä. Hänen kertomansa mukaan tällä hetkellä muutamien konsulttien\nidentiteetit on talletettu HR-järjestelmään.\nUlkoisen työntekijän käyttäjätunnuksen käyttöoikeuden jatkaminen tapahtuu automaattisesti kuuden kuukauden välein. Päätös käyttöoikeuden jatkamisesta on konsultin managerilla. Kuten aiemmista kommenteista on voitu havaita tunnuksia voidaan pitää aktiivisena tilanteita varten, joissa konsultin palveluksia tarvitaan nopeasti. Tähän toimintaan lienee osaltaan johtanut käsitys käyttäjätunnuksien tilausprosessin hitaudesta. Tunnuksien auki pitäminen ilman toimittajan ja asiakkaan\nvälistä sopimusta ja työvelvoitetta ei ole hyvien tietoturvakäytäntöjen mukaista toimintaa. Sopimuksettomassa tilassa olevien ulkoisten työntekijöiden rekisteröinnissä yhtiön järjestelmiin, voidaan nähdä vastakkainasettelu myös henkilötietolain\nhenkeä vastaan (Henkilötietolaki 1999/523).\nTällä hetkellä ei ole käytössä kattavaa käyttöoikeuksien raportointia. Käyttöoikeusnäkymien puuttuminen on johtanut tilanteeseen, jossa vaarallisten työyhdistelmien\nhallinta pyritään toteuttamaan sovellustasolla. Sama ongelma toistuu myös asiakirja-arkistojen kohdalla. Tutkiessani jaettujen hakemistojen omistajuuksia, hämmästyin orpojen hakemistorakenteiden suuresta (23000) määrästä. Tästä on seurauksena, että hakemiston käyttöoikeuden saamisessa IT-henkilökunnan on tehtävä\nmanuaalista selvitystyötä omistajuuden ratkaisemiseksi. Sillä aikaa tiedon tarvitsija\nkäy tyhjäkäynnillä ja odottaa käyttöoikeuksia tarvitsemaansa tietoon. Tämä on\nkonkreettinen esimerkki ydintiedon laatupoikkeamasta. Tiedon omistajuuden puuttuessa aineiston käyttöoikeuden selvittelyyn kuluu manuaalisena selvittelytyönä\naikaa ja resursseja. Selvitystyön aikana tieto ei ole käytettävissä tiedon tarvitsijalle.\nVastuussa olevan managerin ja työntekijän välillä oleva kytkentä voi kadota. Syyksi\ntähän paljastui automaation puuttuminen identiteetinhallinnassa. Konsultin työtehtävien muuttuessa tai palkkaavan liiketoiminnan vaihtuessa managerin tieto ei\nvaihdu automaattisesti. Tilanteessa, jossa managerilla on kymmeniä konsultteja\nhallinnollisina alaisinaan, on riskinä että manageri ei tiedosta konsulttien työtehtävien vaihtumista tai päättymistä. Osittain tämän hallinnollisen esimiesroolin tuloksena konsulttien tunnuksia voidaan pitää yllä tarpeettomasti.\nHaastatteluissa nousi esille eräs mielenkiintoinen relaatio manageritiedon ja konsulttitunnuksen välille. Haastateltavan 4 mukaan "Murhe on siinä että, kun konsultin manageri poistuu, niin meillä ei ole mitään tapaa kontrolloida konsulttitunnuksen\npoistamista. Kontrollimekanismi yrityksen palveluksesta poistuneen managerin ja\nkonsulttitunnuksen väliltä puuttuu. Riskinä on että tunnus jää auki pitkäksi ajaksi".\nTämä kommentti tukee myös tiedon laadussa olevia poikkeamia. Teknisten kontrollien ja automaation puute aiheuttavat edellä kuvattuja ongelmia henkilöydintiedon laatuun.\nKonsultin palkkaavalla henkilöllä on luonnollisesti paras tieto konsultin työsopimuksen kestoajasta, kuten seuraavasta kommentista voidaan päätellä. "Ainoastaan\nkonsultin palkkaaja tietää milloin konsultti aloittaa työn tekemisen ja kuinka kauan\nhän on työssä ja milloin tunnus on tarpeen poistaa." (Haastateltava 9 2014). Esimiesten käytössä ei ole keskitettyä konsulttien henkilöydintietokantaa. Tästä johtuen esimiehet tai managerit ovat järjestäneet sopimushallinnan ja vuokratyöntekijöiden identiteetinhallinnan parhaaksi katsomallaan tavalla. Esimiesten suorittama\nydintiedon hallinta omissa paikallisissa järjestelmissään tuottaa samaa tietoa käsitteleviä tietovarastoja eripuolille organisaatiota.\nHaastatteluissa nousi esille toive sopimuksen sulkemispäivämäärän tallettamisesta\nesimerkiksi tunnuksen tilauksen yhteydessä. "Tunnuksen sulkemispäivämäärä olisi\nuusi ominaisuus, jonka toiminta on määriteltävä, rakennettava ja implementoitava.\nTavoitteena on, että konsulttitunnus disabloidaan sopimuksen päättymispäivänä."\n(Haastateltava 2 2014). "Koska sopimustietokanta puuttuu, niin mistään ei kumuloidu sopimuksien tai käyttäjätunnuksen kestoja." (Haastateltava 1 2014). Haastateltava 4 totesi seuraavaa. "Usein tiedetään sopimuksen päättymispäivä.", "Konsulttitunnuksia suljetaan harvoin heti välittömästi työn päätyttyä." ja "Konsulttisopimuksia ei kirjata keskitetysti mihinkään." Lisäksi haastateltava esitti seuraavan toi-\nvomuksen, "Konsulttisopimuksessa on oltava sopimuksen aikaikkuna ja sopimuksella on oltava selkeä omistajuus." (Haastateltava 4 2014).\nEdellä havaituista kommentista voidaan päätellä, että sopimuksen päättymispäivän\ntietoja ei kirjata tai sopimuksen päättymispäivää ei käytetä käyttöoikeuden automaattisen päättämisen tukena. Havaintojeni mukaan ITSM-lomakkeella on tunnusta tilatessa mahdollista syöttää tunnuksen päättymispäivä (termination date). Tämän ominaisuuden avulla tunnus on teknisesti mahdollista sulkea automaattisesti\nOjasalo et al. mukaan haastattelun tulosten analysointia voidaan suorittaa haastatteluaineiston teemoittelun ja sisältöanalyysin avulla. Haastattelujen analysoinnin\ntavoitteena on määritellä mitä toimintoja ja tavoitteita yrityksessä pidetään prosessin toiminnan kannalta tärkeinä menestystekijöinä. (Ojasalo et al. 2009, 124).\nHaastatteluiden analysoinnin ja teemoittelun avulla pystyin nostamaan esille ongelmakohtia, selkeitä kehityskohteita ja haastateltavien yhteisiä toiveita prosessien\ntuotosten kehittämiseksi. Teemoittelutekniikan avulla yksinkertaistin ja selkeytin\nhaastattelumateriaalia. Sain nostettua haastatteluista näkyviin tutkimusongelmien\nkannalta olennaisia aiheita. Kokemukseni mukaan haastateltavat osallistuivat innokkaasti haastatteluihin. Havaintojen perusteella he kokivat omalla panoksellaan\nkehittävänsä yrityksen käytössä olevia prosesseja. Haastateltavien panos työssä\nsaatuihin tuloksiin on ollut merkittävä.\nKarjalaisen esityksen mukaan "Mitä benchmarking on". Benchmarking-arviointi\nsisältää vertailua ja kiinnostusta muiden suoriutumiseen kiinnostuksen kohteena\nolevassa toiminnossa (Karjalainen 2002). Vertailevaa tutkimusmetodia tai benchmarking-arvioinnin perustaa käytin keskusteluissa samalla alalla toimivien tai samansuuruisten yritysten edustajien kanssa.\nTutkimuksellisena välineenä käytin epävirallista elävää keskustelua. Keskusteluita\nen nauhoittanut tai tallentanut elektroniseen muotoon. Käytyjen autenttisten keskustelujen avulla sain koottua yleisnäkymää ja käsitystä muiden alalla toimivien\nyritysten identiteetinhallinnan metodeista ja käytännön toteutuksista. Sain hyvän\nyleiskuvan keskusteluissa mukana olleiden henkilöiden lausunnoista eri yritysten\ntoimintatavoista, IAM-toiminnoista ja henkilöidentiteettien hallintapolitiikoista.\nTutkimusaiheen perustietojen kokoamisvaiheessa kutsuin yritykseen vierailulle\nidentiteetin hallintatuotteita edustavia ja suunnittelupalveluita tarjoavia yrityksiä.\nEsitykset antoivat hyvän näkymän identiteettihallinnan nykytilanteesta ja toiminnan\nkehittämisen suunnista yleisellä tasolla. Oman näkemyksensä identiteetinhallintaan\nja IAM-palveluihin ovat tämän selvitystyön tueksi käyneet esittämässä RSA, Propentus, Panorama, Nixu ja HP.\nTutkimuksen alussa valmistelin laajaa esimieskäyttäjille suunnattua kyselytutkimusta Webropol-työkalulla. Haastatteluissa esille nousseiden huomioiden ja saamani palautteen perusteella, päätin jättää laajan kyselytutkimuksen tässä yhteydessä toteuttamatta. Perustelen päätöstäni sillä, että kahdenkymmenen asiantuntijan ja esimiestasoisen henkilön haastattelut ovat tuoneet esille tutkimusalueen\nydinongelmat. Päätökseni laajan kyselytutkimuksen peruuttamisesta osoittautui\nmyöhemmin oikeaksi päätökseksi. Ydinhenkilöille suunnatuilla haastatteluilla ja\npienemmällä otoksella sain haastatelluilta hyvin kattavan näkemyksen varsinaisten\n6 Tapausmäärät ja läpimenoajat\nTässä luvussa tarkastelen prosessien näkökulmasta kerättyjä ja mitattuja tapahtumamääriä ja läpimenoaikoja. Haastateltavien mielestä tarkasteltavassa prosessissa on hitautta. Päätin vahvistaa haastattelujen antamia vaikutelmia havainnoimalla\ntodellisia tapahtumamääriä ja prosessien läpimenoaikoja.\nTapausmäärien ja läpimenoaikojen tutkimuksessa käytin apuna yrityksen ERP- ja\nCMDB-järjestelmiin kirjattuja tapahtumia. Työtilausten läpimenoaikojen tutkimuksessa tapahtumien aloitus ja päättymishetkien analysoinnin avulla pyrin saamaan\nesille prosessin todellisia suoritusaikoja. ERP-järjestelmän tuottamien raporttien\navulla selvitin käyttäjä- ja tapausmääriä.\nTyökaluina prosessin tapausmäärien ja läpimenoaikojen seurantaan ja mittaamiseen käytin IT Service Management Data Warehouse (liite 1) raporttigeneraattoria\nja kuukausittain CMDB-järjestelmästä tuotettavia käyttäjä-, työasema- ja PARraportteja. Nämä raportit ovat saatavilla yrityksen intranetissä. Raporttien tietojen\nesittelymuodon muokkaamiseen käytin Excel, PowerPoint ja OneNote 2010 ohjelmia.\nYrityksen käyttäjätunnusraporttia tutkiessani havaitsin, että ulkoistuskumppanin\nkäytössä olevia pääkäyttäjätunnuksia ei ole kirjattu yrityksen CMDB-tietokantaan\npalvelimen lisätietoihin. Nämä\npääkäyttäjätunnukset ovat haettavissa yrityksen\nAD-järjestelmästä. Yrityksen AD:sta keräämieni tietojen mukaan ulkoistuskumppanin käytössä on lähes 1400 Consultant tyyppistä käyttäjätunnusta. Näistä tunnuksista noin 960 oli tarkoitettu ulkoistuskumppanin suorittamiin palvelimien pääkäyttäjätehtäviin.\njärjestelmän PAR-tietoihin vääristää poimittavia PAR-raportteja. Käyttöoikeushallinnan ja seurannan kannalta on huomattava, että ulkoistuskumppanin pääkäyttäjäoikeudet ovat raportoitavissa vain yrityksen AD-järjestelmästä. Palvelimien pääkäyttöön tarkoitetut PAR-tunnukset upotetaan tyypillisesti palvelimen local security\nryhmiin. Näiden sisältö avautuu porautumalla AD:n kautta ryhmän aliryhmiin sijoitettuihin käyttäjätunnuksiin. Tämä raportointitapa on kankea ja vaivalloinen järjestelmistä vastuussa oleville system managereille.\nMielestäni ulkoistuskumppanin identiteettitietojen tallettaminen ainoastaan AD:hen,\npiilottaa todellisuudessa ulkoistuskumppanin pääkäyttäjät system managereilta.\nJärjestelmästä vastuussa olevat henkilöt eivät voi helposti saada nähtävilleen kenellä ulkoistuskumppanin henkilökunnasta on pääkäyttäjätasoiset käyttöoikeudet\nvastuullaan olevaan palvelimeen ja sitä kautta tietojärjestelmän tietoihin.\nKuvio 4. PAR-oikeuksien jakauma käyttäjätyypeittäin. (CMDB 2014).\nKuvion perusteella pääkäyttäjäoikeuksia on konsulttien käytössä 51 % ja työntekijöiden käytössä 25 % kaikista luovutetuista pääkäyttäjäoikeuksista.\nNäiden havaintojen pohjalta halusin selvittää olemassa olevien henkilöydintietojen\noikeellisuutta. Erityisenä tarkastelun kohteena ovat käyttäjätunnuksen esimiestieto\nja sopimuksen päättymispäivä. Tarkastelun perusteella 4 %:lle konsulttityypin pääkäyttäjätunnuksille ei ole merkitty yrityksen esimies- tai manageritietoa. Tarkemmassa tarkastelussa nousi esille, että yrityksen manageritieto puuttuu säännöllisesti ulkoistuskumppanin käytössä olevilta käyttäjätunnuksista.\nKäyttäjätunnusobjektien aloituspäivämäärä, käyttäjätunnuksen muutospäivä, viimeinen kirjautumispäivä ja tunnuksen automaattinen vanhenemispäivämäärä oli\nrekisteröity 99 %:ssa tapauksista. Konsultointisopimusten päättymispäiviä ei ollut\nrekisteröity käytössä olevaan koontiraporttiin. Ulkoistuskumppanin pääkäyttäjätyöhön käyttämiä tunnuksia oli kirjattu yrityksen CMDB-järjestelmään kaikkiaan neljä\nkappaletta. Todellisuudessa ulkoistuskumppanin työntekijöitä on monikertainen\nmäärä. Tutkimuksen perusteella voidaan havaita, että ulkoistuskumppanin käytössä olevien tunnusten tiedon laatu ei ole samalla tasolla kuin muiden ulkoisten työntekijöiden tietojen laatu.\nPyrin varmistamaan haastatteluissa esille noussutta havaintoa käyttämättömien\ntunnusten jättämistä avoimeksi. Konsulttien käytössä olleista tunnuksista on ollut\nkäyttämättömänä viimeisen kolmen kuukauden aikana 35 %. Prosenttiluku muodostuu konsulttien normaalitunnuksista 29 % ja pääkäyttäjätunnuksista 6 %. Työntekijöiden tunnuksista käyttämättä on ollut 6 % (Taulukko 2).\nTaulukko 2. Tunnusta ei ole käytetty viimeiseen kolmeen kuukauteen (CMDB\nEdellä esitetty taulukko tukee haastatteluissa esille noussutta väitettä tunnusten\navoimena pitämiseen. Konsulttien henkilökohtaisia tunnuksia ja yhteiskäyttöisiä\ntunnuksia on pidetty aktiivisina ilman todellista jatkuvaa käyttötarvetta.\nTässä tutkimuksessa kiinnostuksen kohteena olevat konsulttien tai partnereiden\nkäyttöoikeuden tilaaminen, muutos ja päättäminen tapahtuvat saman prosessin\navulla, kuin varsinaisen työntekijänkin käyttöoikeuden tilaaminen. Käyttöoikeuden\nhallintaprosessi (Access Management) on esitelty tarkalla tasolla liitteessä 2 Käyttäjätunnuksen tilausprosessista (AD User Account) poimitun raportin perusteella\npyyntöjä oli seuranta-aikana (1.6.–31.12.2014) tehty 20089 kappaletta (kuva 1).\nTavoitteeni oli havaita käyttäjätunnuksien tilauksien määriä ja pyyntöjen todellisia\nläpäisyaikoja. Olin hyvin epäileväinen saamaani tulokseen perustuen tapahtumien\nKuva 1. AD User Account jonossa käsiteltyjä tapahtumia 1.6.–31.12.2014 välisenä\naikana. (CMDB 2015).\nKuvassa esitetty tapahtumien keskimääräinen läpäisyaika 59,9 tuntia on kalenteriaikana noin seitsemän ja puoli työpäivää. Lähestyin läpäisyaikojen tarkastelua\nedelleen kuvion 5 avulla. Tässä esitetään AD User Account työjonoon liittyvien\ntoimenpiteiden vaihteluvälejä. Merkille pantavaa on pitkien toimitusaikojen suuri\nmäärä. Otetaan esimerkkinä vaikkapa joulukuu 2014 jolloin 290 työpyyntöä oli kestänyt yli 160 tuntia. Tämä tarkoittaa yli 20:tä työpäivää. Samansuuntainen näkymä\non havaittavissa myös marraskuussa, jolloin 388 työpyyntöä oli viettänyt jonossa yli\nkaksikymmentä työpäivää. Tämäkään tarkastelukulma ei paljasta yksittäisen käyttäjätunnuksen käsittelyyn kuluvaa aikaa. Näkymä antaa kuitenkin osviittaa haastatteluissa esille tulleille huomioille ennustamattomista käsittelyajoista.\nKuvio 5. Käyttäjätunnukseen liittyvien tehtävien käsittely- ja läpimenoaikoja ajalla\n06 – 12 / 2014. (CMDB 2015).\nUusien käyttäjätunnuksien avausmäärät saadaan luotettavasti esille kuukausittain\njulkaistavista CMDB-raporteista (All_UserIDs_2015-01-01). Vuoden 2014 kesäkuun ja joulukuun 2014 väliseltä ajalta raportista poimittujen tapausmäärien mukaan tunnuksia oli perustettu kaikkiaan 1702 (taulukko 2). Kuviossa 6 esitetään\nuusien perustettujen käyttäjätunnusten käsittelymääriä. Kuviossa esitellään luotujen (enabled), lukittuun tilaan siirrettyjen (disabled), terminoitujen (terminated) ja\ntuhottujen (deleted) käyttäjätunnusten tapahtumamäärät kesäkuusta joulukuuhun\nKuvio 6. Käyttäjätunnusten käsittelymäärät ajalla 06 – 12 2014. (CMDB 2015).\nTässä yhteydessä enabled tila ilmoittaa uusien luotujen käyttäjätunnusten määrän.\nDisabled tilassa tunnus on asetettu lukittuun tilaan joko IT Service Desk agentin\ntoimenpiteillä tai yleisimmin kirjoittamalla salasana väärin. IT Service Desk agentti\nvoi aktivoida tunnuksen merkitsemällä käyttäjän AD-tiedoissa tunnuksen aktiiviseksi. Terminated tilassa aiemmin disabloitu käyttäjätunnus on siirretty AD:n Disabled\nOU rakenteeseen odottamaan lopullista tuhoamista. Tunnuksen palauttaminen\naktiiviseksi enabled tilaan vaatii IT Service Desk agentin manuaalisia toimenpiteitä.\nTunnuksen tuhoamisessa (Deleted) käyttäjätunnus poistetaan kokonaan ja lopullisesti AD:stä. Samalla tunnuksen kotihakemisto poistetaan yrityksen tietojärjestelmästä. (Haastateltava 3 2015).\nKuvio 7 esittää kuukausittaiset käyttäjätunnuksiin liittyvät tapahtumamäärät. Käyttäjätunnuksia on kuukausittain perustettu keskimäärin 243 kappaletta.\nKuvio 7. Kuukausittainen käyttäjätunnuskäsittelyn jakauma. (CMDB 2015).\nPäätin tarkastella tarkastelujaksolla (06 – 12 / 2014) suoritettuja käyttäjätunnuksien\navaamisia käyttäjätunnustyypeittäin. Kuviossa 8 voidaan havaita, että uusia tunnuksia on avattu yhteensä 1702 kappaletta. Konsulttitunnuksia on 1093 kappaletta\nja työntekijätunnuksia 578 kappaletta. Muita tunnuksia oli avattu yhteensä 31 kappaletta.\nKuvio 8. Uusien tunnuksien avausmäärät ajalla 06 – 12 / 2014. (CMDB 2015).\nAvausprosessin läpimenoajan mittaaminen osoittautui haastavaksi tehtäväksi.\nKeskusteluissa nousi esille seuraava kommentti. "Työjonossa AD User Account\nkäsitellään myös muita käyttäjätunnuksiin liittyviä töitä" (Haastateltava 3 2015).\nTämän lausuman mukaan käyttöoikeustilaukseen käytettävän tarkan ajan selville\nsaaminen on hyvin vaikeaa. Pyysin tämän väitteen tueksi vielä asiantuntijalausunnon prosessihallinnosta. Saamani vastauksen mukaan "AD User Account applikaatiolle kirjataan kaikki tiketit, jotka ko. palveluun liittyvät. Suurin osa on muita kuin uusien avauspyyntöjä. Edelleenkään emme saa heiltä [ulkoistuspartneri]\noikeita tikettien valmistumisajankohtia, joten mikään tilasto meillä ei pidä paikkaansa ulkoistuskumppanin tikettien osalta." (Haastateltava 8 2015).\nEdellä olevien lausumien tueksi poimin hetkellisen näkymän yrityksen AD User\nAccount työjonoon (kuva 2). Kuvassa esiintyvistä työpyyntöjen otsikoista voidaan\npäätellä jonossa käsiteltävän laajasti käyttöoikeuksiin ja myös muihin käyttäjien\ntarpeisiin liittyviä työtehtäviä. Haastateltavalta 8 saamieni tietojen mukaan, tällä\nhetkellä yrityksellä ei ole mahdollisuutta luotettavasti mitata käyttäjätunnusten avausaikojen SLA-tasoa käytössä olevilla välineillä. Kriittinen suhtautuminen tutkimuksessa saatuihin tuloksiin, tuotti myös uutta taustatietoa ulkoistuskumppanin palvelutoimintojen mittaamisesta ja SLA:n arvioinnin luotettavuudesta.\nKuva 2. Hetkellinen näkymä AD User Account työjonoon. (CMDB 2015).\nKäyttäjätunnusten avausaikojen mittaaminen ja todistaminen ei onnistu käytössä\nolevilla mittareilla. Haastatteluissa mainittu käyttäjätunnusten avausaikojen vaihtelu\njää käytössä olevilla välineillä todistamatta.\nPääkäyttäjäprosessin läpimenoaikojen tarkastelua varten keräsin yrityksen ERPjärjestelmästä PAR-tilausten läpimenoaikoja ennen ja jälkeen PAR-prosessiin suoritettuja muutoksia. PAR-prosessissa käsitellään vain pääkäyttäjäoikeuksiin liittyviä\ntyöpyyntöjä. Tästä syystä PAR-prosessin osalta saadut mittaustulokset kuvaavat\nrealistisesti tapahtumien todellisia läpimenoaikoja. Seuraavassa taulukossa on esitetty PAR-prosessin prosentuaalisesti jakautuneita läpimenoaikoja seitsemän kuukauden mittausjaksolta (taulukko 3). Huomattavaa on, että PAR-prosessin muutos\ntapahtui joulukuun alussa. Konkreettiset muutokset prosessin nopeutumiseen olivat nähtävissä jo kuukauden seurantajakson jälkeen.\nTaulukko 3. PAR-prosessin läpäisyaikoja (CMDB 2015).\nMittaustulosten perusteella prosessin läpimenoajat nopeutuivat joulukuussa merkittävästi. Joulu- ja tammikuussa tehdyistä pyynnöistä yli 50 % on ratkaistu ja toimitettu asiakkaalle alle 24 tunnin läpimenoajalla. Tässä on huomattava, että muutoksen jälkeinen otos kattaa tätä kirjoitettaessa kahden kuukauden seurannan. PARprosessin läpimenoaikaa tullaan jatkossa seuraamaan kuukausittain.\nKuvio 9 esittää PAR-prosessin läpimenoaikoja hieman tarkemmalla tasolla ennen\nja jälkeen PAR-prosessiin suoritettuja korjaustoimenpiteitä. Myös tämän kuvion\nperusteella voidaan havaita joulukuun sekä tammikuun aikana avattujen tapahtumapyyntöjen läpäisyaikojen nopeutuneen merkittävästi. Kuvion mukaan tehdyistä\navauspyynnöistä keskimäärin 58 % voitiin toteuttaa saman vuorokauden kuluessa.\nEnnen muutosta alle vuorokaudessa suoritettujen työpyyntöjen keskiarvoinen määrä verrattuna koko tapahtumamäärään oli noin 11 %.\nKuvio 9, PAR-prosessin läpimenoaikoja (CMDB 2015).\nPAR-prosessin läpimenoaikojen esityksestä nousi esille keskustelussa ulkoistuskumppanin Service Desk Managerin kanssa virheen mahdollisuus. Tapauksen läpimeno ajan mittaaminen päättyy, kun ulkoistuskumppanin agentti päättää tapahtuman yrityksen CMDB-järjestelmään. Jos agentti viivyttelee työn päättämisessä,\nmyös mitattava aika pitenee. Tästä kirjausvirheestä on voinut aiheutua ero todellisen käyttöoikeustilanteen ja mitattujen tapahtumien välille. PAR-oikeuden tilaajan\nkannalta työ tulee valmiiksi, kun ulkoistuskumppanin agentti merkitsee työn valmistuneeksi asiakkaan toiminnanohjausjärjestelmään.\nPalvelimen ollessa PAR-automaation piirissä, hyväksytty PAR-pyyntö käsitellään\nkokonaisuudessaan yrityksen sisäisessä\nsemmin työpyyntö välitettiin manuaalisesti ulkoistuskumppanin toiminnanohjausjärjestelmään käsiteltäväksi. Uudessa toimintatavassa yrityksen sisäinen työryhmä\nkäsittelee käyttöoikeuspyynnön ERP-järjestelmän välityksellä lisättäväksi ADhakemistojärjestelmään. Työryhmä suorittaa käyttöoikeuden provisioinnin manuaalisesti ERP-järjestelmään. Muutos välitetään ERP-järjestelmästä automaattisesti\nkerran vuorokaudessa suoritettavalla päivityksellä AD-järjestelmään kohdepalvelimen local admin ryhmään. Uudistettu PAR-prosessi otettiin käyttöön 1.12.2014\nKaavio 1. 1.12.2014 käyttöön otettu PAR-prosessi. (Haastateltava 8 2014)\nProsessimuutoksen ja uuden palveluaikalupauksen perusteella työpäivän aikana\nennen klo 14:sta toimeenpantavaksi lähetetty PAR-pyyntö on käytettävissä seuraavana työpäivänä. Kello 14:sta jälkeen toteutettavaksi toimitettu työpyyntö aktivoidaan seuraavan vuorokauden automaattisessa käsittelyssä.\nEdellisistä tutkimuksista ja niiden tuloksista nostan esille seuraavia havaintoja:\n- Käyttäjätunnuksien avauksia suoritettiin puolen vuoden aikana 1702 kappaletta\n- Näistä avauksista konsulttitunnuksia oli 1093, työntekijä 578 ja muita tunnuksia\n- Käyttäjätunnuksien tilausten läpimenoaikoja ei voida mitata luotettavasti\n- Muutokset käyttäjätunnuksiin suoritetaan manuaalisena työnä\n- Vastuu käyttäjätunnuksien avaamis- ja sulkemistilauksesta on yrityksen managereilla\n- Keskitettyä henkilöydintietojen hallintaratkaisua ei ole\n- Käyttöoikeuksien keskitettyä raportointijärjestelmää ei ole\n- Konsulttien henkilöydintietojen laatu AD:ssä vaihtelee\n- Ulkoistuskumppanin PAR-käyttäjien tiedot ovat vain AD:ssä\nIdentiteetin omistajuus ei ollut kaikkien haastateltavien mielestä täysin selvä. Joidenkin haastateltavien käsityksen mukaan identiteetin omistaa yrityksen tietohallinto. Eräiden mielestä identiteetin omistajuus on liiketoiminnoilla. Kaikilla haastateltavilla oli kuitenkin selkeä käsitys identiteetinhallinnan hyötyjistä. Liiketoimintayksiköt\nhyötyvät oikea-aikaisesta käyttäjätunnuksesta ja työtehtävässä tarvittavilla oikeuksilla varustetuista käyttöoikeuksista.\nUseissa haastatteluissa nousi esille konsulttitunnuksen henkilöydintietovarasto\npuute. Henkilöstöhallinnon järjestelmässä pidetään yllä yrityksen varsinaisten työntekijöiden identiteettiä. Sopimuksien hallintajärjestelmä keskittyy sopimuksen dokumentaation tallentamiseen ja rekisteröintiin. Järjestelmässä ei pidetä yllä ulkoisten työntekijöiden tietoja. Konsulttien henkilöydintietojen sijoittamisella keskitettyyn\ntietovarastoon pyritään mahdollistamaan henkilöydintietojen laadun paraneminen.\nYrityksen henkilöstöhallinnon järjestelmä kykenee teknisesti tallettamaan niin työntekijöiden kuin konsulttienkin henkilöydintiedot. Menettelytavan muutoksessa on\nkysymys sisäisestä tahdosta, prosessien uudelleen määrittelystä, taloudellisesta\npanoksesta ja työkalujen hienosäädöistä.\nUlkoistuskumppanin PAR-tunnusten rekisteröinti ja seuranta on mahdollista yrityksen AD-järjestelmän avulla. CMDB-tiedoissa ulkoistuskumppanin PAR-tunnuksia\npalvelimille ei ole esitelty. Tämä PAR-käyttäjätietojen rekisteröintipuute vaikeuttaa\nkäyttöoikeuksien tarkastelua ja raportointia.\nHenkilötietolain virheettömyysvaatimuksen perusteella voidaan tulkita, että henkilörekisterin pitäjä ei voi tallettaa vanhentuneita tietoja rekistereissään. Sopimuksen\npäättymisen jälkeen rekisterin pitäjällä on velvollisuus poistaa sopimuksettomien\nkäyttäjien henkilötiedot rekistereistään (Henkilötietolaki 1999/523). Tämän periaatteen toteuttamiseksi työn suosituksien avulla tuotetuille prosessin ja toimintojen\nkehittämisajatuksille on vahvoja perusteita.\nYrityksen toimiessa myös Venäjällä, on otettava huomioon Venäjän lainsäädännön\nvaatimukset muun muassa yrityksen venäläisten työntekijöiden ja konsulttien henkilötietojen säilytykseen. Vuoden 2016 syyskuun alussa voimaan tulevat Venäjän\ntietosuoja lainsäädännön vaikutukset yrityksen tapaan käsitellä yrityksen henkilötietoja. Tällöin ne on otettava tarkasteltuun ennen lainsäädännön muutoksia. Venäjällä 1.9.2016 voimaan tulevassa tietosuojalaissa määrätään seuraavasti. "The\ndata operators are obliged to ensure recording, systemisation, accumulation, storage, clarification (update, change) and extraction of personal data of citizens of the\nRussian Federation with the use of databases located in the territory of the Russian Federation when collecting this personal data in any manner, including via the\nInternet, except for the cases specified in Items 2, 3, 4, 8 of Paragraph 1 of Article\n6 of this Federal Law." (Rumyantsev 2014, 18). Kirjoitetun lain hengen mukaan\ndataoperaattoreiden tulee varmistua, että Venäjän federaation kansalaisten (citizens of the Russian federation) henkilötietojen käsittelyssä käytettävät järjestelmät\non sijoitettu Venäjän federaation alueelle. Tämä laki koskee myös internetin kautta\nTällä hetkellä yrityksessä käytettävien venäläisten työntekijöiden käyttäjätunnusten\nAD-rekisteröinnit on talletettu myös Venäjälle. AD:n ylläpidon ja tietojen rekisteröinnin kannalta tulevan lain kirjain olisi jo täytetty. Uuden lain vaatimukset on otettava huomioon suunniteltaessa ja muodostettaessa venäläisten työntekijöiden ja\nkonsulttien henkilöydintietojen hallintaan käytettävää Master Data Management\nRoscomnadzor on Venäjän federaation liikenneministeriöitä vastaava viranomainen. Federal Service for Supervision of Communications and Mass Media Roscomnadzor valvoo mediaa, viestintää, informaatioteknologiaa ja telekommunikaatiota sekä jakaa paikallisia radiotaajuuksia. Roscomnadzor toimii Venäjän henkilötietolain valvovana viranomaisena, joka tuottaa tarvittaessa lain soveltamisohjeet.\nLakiasiaintoimisto Castren & Snellman lakiasiantuntijan mielestä tätä tutkimusraporttia kirjoitettaessa paras strategia on odottaa Roscomnadzorin tuottamia lain\ntulkintaohjeita. (Rumyantsev 2014, 39).\n8 Johtopäätökset ja suositukset\nVäliaikaisten työntekijöiden henkilöydintietojen hallinnan on oltava vähintään samalla tasolla, kuin on varsinaisen henkilökunnan henkilöydintiedon hallinnointi.\nTiukalla käsittelypolitiikalla voidaan tarkoituksella tai tahtomatta aiheuttaa konflikti\ntietoturva- tai käyttöoikeuspolitiikan, eri järjestelmien käytettävyyden ja IT:n välillä.\nKehitystoiminnan tavoitteena ei suinkaan ole, että IT pyrkii paikkaamaan hankalaksi suunniteltuja prosesseja. Pikemminkin järjestelmien toimivuus ja notkeus on tuotettava kontrolloidulla automaatiolla. Kontrolloivana henkilönä käyttäjätunnusten\nvalvonnassa toimii luonnollisesti henkilön palkannut esimies. Vaihtoehtona on siirtää sopimuksellisesti konsulttitunnusten käsittely palveluita tuottavan organisaation\nvastuulle. Tällöin ulkoistuskumppanin esimiehellä on oltava tarvittavat työkalut ja\nriittävät valtuudet ulkoisten tunnusten hallinnointiin yrityksen järjestelmissä. Näihin\nmuutoksiin voidaan suunnata seuraavilla toimenpiteillä.\nLaajempina kehitystoimenpiteinä suosittelen aloitettavaksi henkilöydintietojen hallinnan kehittämisen yhdistämällä henkilöydintiedot henkilöhallinnon järjestelmään.\nSuosittelen aloitettavaksi identiteetin ja pääsynhallintajärjestelmän (IAM) hankinnan valmistelun.\nHenkilöydintietojen siivous käyttämättömistä tunnuksista ja yrityksen manageritietojen liittäminen käytössä oleviin tunnuksiin\nUlkoisten työntekijöiden henkilöydintiedot siirretään käsiteltäväksi henkilöstöhallinnon järjestelmään\nYrityksen laajuisen PAM-järjestelmän käyttöönottaminen\nIAM-järjestelmän suunnittelu ja käyttöönotto\nYdintiedon laatukysymykset ovat nousseet esille keskusteluissa toimittajien kanssa. IAM-konsulttipalveluita tarjoavat yritykset ovat esityksissään tähdentäneet henkilöydintiedon siivoamista ennen IAM-projektin aloittamista. Tämän siivoustyön arvo tulee nousemaan esille projektin myöhemmissä vaiheissa. Henkilöydintiedon\najantasaistamisella saavutetaan merkittävä etu suunniteltaessa ja rakennettaessa\nintegrointirajapintoja autoratiivisen tietovaraston ja tietojärjestelmien välille. Ensisijaisesti integroitavia kohteita ovat henkilöydintietojen autoratiivinen lähde, hakemistopalvelu AD, toiminnanohjausjärjestelmä ja mahdollinen tuleva IAM-järjestelmä.\nLisäksi liiketoimintapäätöksellä määriteltyjä sovelluksia voidaan käsitellä erillisinä\nprovisiointi- ja federointikohteina.\nHenkilöydintietojen siivoaminen ja ajantasaistaminen on ensimmäinen askel yrityksen kokonaisvaltaisessa identiteettien hallintaprojektissa. Ydintietojen siivoaminen\nja täydentäminen tulee toteuttaa AD:ssa talletettaviin tunnuksiin. Tavoitteena on\nkorjata henkilöydintiedot niin, että tunnuksien omistajuuden (manageri) tiedot ovat\najan tasalla. Ulkoistuskumppanin tunnuksissa manageritietona voidaan käyttää\nyrityksen hyväksymää palveluntuottajan edustajaa.\nTietoarkkitehtuurin näkökulmasta henkilöydintiedon perusrekisteri tukee vahvasti\ntiedon yksikäsitteisestä ymmärtämistä ja ajatusta tiedon ainutkertaisuudesta. Identiteettien hajautettu hallinta ei edellä olevien havaintojen perusteella nykyisellään\nvastaa informaatioarkkitehtuurin vaatimuksia. Havaintojeni ja haastattelujen perusteella on nähtävissä, että yrityksen henkilöydintiedot on sijoitettu työntekijöiden\nosalta henkilöstön hallintojärjestelmään. Konsulttien osalta tiedot on talletettu hakemistopalveluun sekä yrityksen ITSM-järjestelmään. Teoriaosassa mainittu hybridimalli kuvaa yrityksen tämän hetkistä ydintiedon tallettamisen arkkitehtuuria. Henkilöydintietoa on talletettu ja käsitellään useissa eri järjestelmissä.\nTutkimusosassa tehty havainto ulkoistuskumppanin pääkäyttäjätunnusten näkymättömyydestä yrityksen CMDB-järjestelmässä on esimerkki puutteellisesta ydintiedosta. Käyttöoikeushallinnan avoimuus ei ole mielestäni tällä hetkellä ulkoistuskumppanin pääkäyttäjäroolissa olevien henkilöiden kohdalta hyvien IT-käytäntöjen\nmukaista. Riskien hallinnan kannalta avoin käyttöoikeuksien raportointimahdollisuus kaikkiin käytössä oleviin käyttöoikeuksiin lisää System Managereiden, sisäisen riskienhallinnan ja ulkoisten auditoijien luottamusta toimivaan käyttöoikeushallintaan.\nUlkoisten käyttäjien henkilöydintietojen hallinnan suunnittelussa on käsitettävä, että\nHR-yksikkö ei tee työtään mahdollista IAM-järjestelmää varten. Arkkitehtuurin ja\nintegraatiotoiminnallisuuksien kannalta sopimussuhteessa olevien työntekijöiden\ntiedot on syytä tallettaa ja ylläpitää ulkopuolisina henkilöinä yhteen järjestelmään.\nPalveluntuottajasta tulisi tallettaa yrityksen henkilöydintietostandardin vaatimusten\nmukaiset tiedot. Näin menetellen henkilöydintietojen laatu voidaan taata paremmin.\nNykyinen henkilötietojärjestelmä voi toimia yrityksen keskitettynä henkilöydintietojen lähteenä.\nSuosituksenani on muodostaa ulkoisten ja sisäisten työntekijöiden identiteeteille\nhenkilöydintiedon hallintaan koko yrityksen laajuinen yhteinen henkilöydintietojen\nperusrekisteri. Tämän rekisterin avulla pyritään varmistamaan tiedon laatu ja henkilöydintietojen oikeellisuus. Yrityksen henkilöydintieto standardiin (liite 4) on lisättävä ulkoisten työntekijöiden palvelusopimuksen aloitus- ja päättymispäivämäärä.\nTätä lisätietoa voidaan myöhemmin käyttää tunnuksen automaattiseen deprovisiointiin.\nSyksyn 2014 aikana yrityksen liiketoiminnassa esille nousi tarve kehittää pääkäyttäjäoikeuksilla suoritettavien tehtävien seuranta- ja valvontamenetelmiä. Tästä johtuen aloitettiin uuden PAM-järjestelmän käyttöönoton valmistelu. PAM-selvitystyölle\non varattu yrityksen projektimallin mukaiset resurssit. Tässä on huomattava, että\nensimmäisen vaiheen tavoite on rakentaa PAM-ympäristö liiketoimintaa valvovan\nviranomaisen vaatimuksesta. Päätös järjestelmän myöhemmästä laajentamisesta\nkoko yrityksen käyttöön, tehdään liiketoiminnan suorittamasta koeajosta saatujen\nkokemusten perusteella keväällä 2015.\nIdentiteettien hallinnan kehittämiseksi on yrityksessä aloitettava keskustelu Identity\nAccess Management (IAM) järjestelmän tarpeesta yrityksen CIO-toimiston, liiketoiminta-arkkitehdin, tietoturvan ja liiketoimintojen välillä. Valmistautuminen IAMprojektiin on syytä suorittaa huolella. IAM-järjestelmien suunnittelua konsultoivien\ntoimittajien kanssa käydyissä keskusteluissa saadun tiedon mukaan, normaalisti\nIAM-järjestelmän määrittelyyn ja implementointiprojektiin käytetään aikaa yleensä\nyli vuosi. Tästä näkökulmasta katsoen liiketoimintatarpeen kartoittaminen ja budjettivarauksen suunnittelu on syytä aloittaa hyvissä ajoin ennen suunniteltua IAMjärjestelmäprojektia.\nKeskusteluissa IAM-järjestelmän tarpeesta yritykselle on noussut esille tarpeita\nautomatisointiin käyttäjätunnuksien provisioinnissa ja de-provisioinnissa. Automatisoitavia kohteita ovat tyypillisesti käyttäjätunnusten ja oikeuksien hakeminen, salasanojen nollaaminen ja tunnusten aktivoiminen itsepalveluna. Kehitystoiveita on\ntullut esille myös käyttöoikeuksien raportointiin ja seurantaan liittyvien kysymysten\nja vaatimusten ratkaisemisessa.\nTutkimuksen kuluessa tunnistettiin uusia kehityskohteita, joiden tutkimisen ja kehittämisen avulla voitaisiin todennäköisesti kehittää yrityksen toimintoja. AD-\nhakemistopalvelun todettiin sisältävän merkittävän määrän omistajattomia rakenteita. Omistajuuksien tunnistaminen ja merkitseminen näihin rakenteisiin tulee nopeuttamaan muutoshallintaa ja kehittää oleellisesti hakemistopalveluiden tietoturvaa. Tämä kehitystyö tuottaa omistajuudet omistajattomille hakemistoille.\n8.6.1 Rooliperustainen käyttöoikeusmäärittely\nYritys käyttää osittain rooliperusteisia käyttöoikeuksien määrittelyä. Rooliperustaista käyttöoikeusmäärittelyä ei kuitenkaan ole toteutettu läpi organisaation. Rooliperustaisen käyttöoikeusmäärittelyn tutkimustyön tuloksena voidaan yritykselle rakentaa standardi perusrooleista. Käyttöoikeuksien rooliperustainen määrittely tukee\nmahdollisuuksia käyttöoikeuksien provisiointiin aina liiketoimintasovelluksiin saakka. Rooliperustainen käyttöoikeusmäärittely lisää mahdollisuuksia käyttäjätunnuksien käsittelyn automaatioon. Liiketoiminnoille automaatiosta voidaan nähdä syntyvän lisähyötyä tunnuskäsittelyn nopeutumisen ja virheiden vähenemisen myötä.\n8.6.2 Identity as a Service (IdaaS)\nIdentiteetin hallintajärjestelmien kehitys mahdollistaa myös palvelumallin käyttöön.\nIdaaS-malli tuottaa mahdollisuuden hankkia identiteetinhallinta palveluna. Tämän\nalueen mahdollisuudet on syytä kartoittaa erillisellä tutkimuksella. Tutkimuksessa\non tarkasteltava samalla yrityksen työntekijöiden, ulkoisten vuokratyöntekijöiden ja\nyrityksen asiakkaiden identiteettien ja palveluiden hallintaa. Tähän kokonaisuuteen\nkuuluvat luonnollisesti pilvipalveluiden käyttöoikeuksien federointi-palvelut (kirjautuminen yhdellä tunnuksella eri palveluihin) ja identiteettien hallintapalvelut raportointeineen.\nTutkimuksen laatu perustuu moniin seikkoihin. Laadun varmistamiseksi on tutkimuksen tarkoitus, tutkimustehtävät ja valitut menetelmät esitettävä loogisesti tutkimussuunnitelmassa. Aineistonkeruun tueksi valittuja metodeja harkitsin tarkoin.\nTässä tutkimuksessa metodeiksi valitsin haastattelut ja prosessien läpimenoaikojen havainnoinnin mittausten avulla. Näkemykseni mukaan prosessien mittaamisen\nperusteella tuotettu raportointi varmisti haastattelututkimuksen tuloksia. Valittuja\nmenetelmiä voin hyödyntää jo suoritettujen korjaustoimenpiteiden vaikutusten seurantaan.\nTeorioiden yhdistäminen tutkimusaiheeseen oli tutkimuksen alkumetreillä haastavaa. Tutkimuksen kuluessa totesin teorioita ja lähdemateriaaleja olevan tarjolla\nriittävästi. Lähdeaineiston siirtyminen kirjastoista ja painetusta materiaalista digitaaliseen muotoon on nopeuttanut merkittävästi lähdemateriaalien etsimistä. Näkemyksiä, mielipiteitä ja käsiteltävien kohteiden erilaisia painotuksia on tarjolla runsaasti. Tästä syystä tarjolla olevaa materiaalia on syytä arvioida kriittisesti.\nMateriaaleja etsiessäni havaitsin, että uusimmat ja mielenkiintoiset tutkimukset tai\ntieteelliset raportit on usein sijoitettu maksullisiin palveluihin. Hyvänä esimerkkinä\novat vaikkapa Gartner ja Forrester -tutkimuslaitosten kaupalliset aineistot. Kaupallisten materiaalin ansioksi voi laskea ammattimaisen lähestymistavan käsiteltävään\naiheeseen. Tutkimuksen tekijän on hyvä varautua tutkimusbudjetin suunnittelussa\nmyös materiaalihankinnan kuluihin.\nTutkimukseen suoritetussa haastatteluosuudessa koen onnistuneeni keräämään\nhaastateltavilta ydintietoja havaituista ongelmista. Haastatellessani sain kirjattua\nylös näkemyksiä ja ajattelua ohjaavia mielipiteitä. Hyvänä esimerkkinä toimii vaikkapa identiteetinhallinta tutkimuksen sivutuotteena syntynyt PAR-prosessin uudistamistarve. Työn aikana keräämieni tietojen ja kokemukseni perusteella ongelmallisen PAR-prosessin toiminnan kehittäminen suoritettiin syksyn 2014 aikana. Tä-\nmän kehitystyön mahdollisti konkreettisessa toiminnassa piilevien ongelmien tunnistaminen ja perusteltu raportointi. Tietojen etsimisessä perustelutyön pohjaksi\ntutkitut teoriat, suoritetut haastattelut ja kerättyjen tietojen analysointi tukivat erinomaisesti prosessien ja uusien menetelmien suunnittelua ja kehittämistä.\nTämän työn kuluessa käytin hyväkseni tutkimuksellisia menetelmiä ja järjestelmällistä tietojen keräämistä. Keräsin tietoa useista tietolähteistä yrityksen toiminnan\nkehittämiseen. Tutkimuksen kuluessa huomioin reaalimaailman muutokset ja ympäristön muuttuvat vaatimukset. Havainnoin toiminnallisia puutteita ja tietoturvariskejä. Havaintojen perusteella tehtävät korjausesitykset tarvitsevat resursseja, eivätkä välttämättä toteudu tutkimuksessa esitettyjen metodien mukaisesti.\nVertaisryhmäkeskusteluista tehtyjen havaintojen perusteella tutkimuksen tuloksia\nvoidaan hyödyntää myös laajemmassa kontekstissa. Toimeksiantajan kannalta\ntutkimukselle konsulttitunnusten käyttöoikeuksien elinkaaren käsittelyn kehittämiselle on ollut tilaus. Kokonaiskuvan selvittäminen, kehitysehdotukset ja suositukset\ntuottavat lisäarvoa tutkimuksen tilaajalle.\nTyön kuluessa yrityksessä on herätty todelliseen tarpeeseen kehittää identiteetinhallintaa. Tämän työn kuluessa yritys ryhtyi aktiivisesti kehittämään pääkäyttäjäoikeuksilla tehtävän työn seurantaa ja raportointia. Tästä tilanteesta kehittämistyöstä\non hyvä hetki jatkaa eteenpäin. Raportissa esitettyjen havaintojen avulla on mahdollista jatkaa varsinaiseen identiteettienhallinta järjestelmän kehittämiseen ja käyttöönottoon.\nAnt, A., Scholtz, T. 2014. Take a People-Centric Approach to Simplify\nIdentity and Access Management. Stamford: Gartner.\nArvidsson, J. 2014. Sparta Consulting Oy. 2 Sparta Sähköisen identiteetin ja henkilöydintiedon koulutusmateriaali. Jyväskylä: Sparta Consulting Oy.\nChaplin, M., Rycroft, S., ISF Members. 2013. The Standard of Good Practice for\nInformation Security. London: Information Security Forum Limited.\nChief Architect, Development Manager. 2013. Green belt project presentation.\nPAR Access Management. Espoo: Yrityksen intranet.\nCobIT 4.1. 2007. CobIT 4.1. Framework Control Objectives Management\nGuidelinse Maturity Models. The IT Governance Institute. Rolling\nCser, A., 2012. Use Commercial IAM Solutions To Achieve More Than 100% ROI\nOver Manual Processes. Forrester. www.forrester.com. (Viitattu\nCMDB. 2014. ITSM Data Warehouse. Espoo: Yrityksen intranet.\nErnst & Young. 2013. Identity and access management. Beyond compliance.\nGreen, T. (editor). 2010. CISSP Exam guide fifth edition. New York: McGraw Hill.\nGröbner, M. & Frenken, Chr. 2013. Three steps to managing Master Data. Munich:\n_management/2013-02-11-rbsc-newsThree_steps_for_managing_master_data.html. (Viitattu 4.11.2014).\nGuday, T. 2012. Käyttöoikeushallintaprosessin kehittäminen Vantaan kaupungin\norganisaatiossa: tapaustutkimus. Opinnäytetyö. Espoo: Laurea ammattikorkeakoulu.\ns.pdf?sequence=1. (Viitattu 24.8.2014).\nGuttman, B., Roback, E.A. 1995. An Introduction to Computer Security: The NIST\nhandbook. Washington: U.S. Department of\nhttp://csrc.nist.gov/publications/nistpubs/800-12/handbook.pdf. (Viitattu 15.11.2014).\nHanna, A., Macfarlane, I., Rance, S. 2007. A Dictionary of IT Service Management.\nTerms, Acronyms and Abbreviations ITIL V3 edition. Wokingham:\nHarris, S. 2010. CISSP Exam Guide Fifth Edition. New York: McGrawHill.\nHaug, A., Zachariassen, F., van Liempd, D. 2011. The costs of poor data quality.\nJournal of Industry Engineering and Management. OmniaScience.\nHu, V., Schnitzer, A., Sandlin, K. 2013. NIST Special Publication 800-162 Attribute\nBased Access Control Definition and Considerations. U.S. Department\nworkshop_abac-sp.pdf. (Viitattu 16.11.2014).\nISACA. 2014. About ISACA. http://www.isaca.org/about-isaca/Pages/default.aspx.\nISO/IEC 27002. 2005. International Standard. Information technology- Security\ntechniques- Code of practice for information security management.\nGeneva: ISO/IEC 2005.\nIverson, B., Gaehtgens, F., Krapes, S. 2015. Critical Capabilities for Identity Governance and Administration. Stamford: Gartner.\nJHS 179 ICT-palvelujen kehittäminen. Kokonaisarkkitehtuurin kehittäminen. 2012.\nJulkisen hallinnon tietohallinnon neuvottelukunta. http://www.jhssuositukset.fi/suomi/jhs179. (Viitattu 22.11.2014).\nA. 2002. Mitä Benchmarking arviointi on? Oulun Yliopisto.\nhttp://www.oulu.fi/w5w/benchmarking/bm.RTF. (Viitattu 13.1.2015).\nKasanen, H. 2010. Keskitetty identiteetinhallinta. Referenssiarkkitehtuuri. Secproof\nOy. http://www.slideshare.net/hannuk/idmreferenssiarkkitehtuuri. (Viitattu 18.10.2015).\nhttp://www.kielitoimistonsanakirja.fi/. (Viitattu 7.1.2015).\nKunnas, J. 2006. Yritys Enterprise Identity Management for Employees and Partners. Pre-Study. K2 Data Solutions Oy. Espoo: Yrityksen intranet.\nhttp://www.cs.tut.fi/~linden/iam-pruju.pdf. (Viitattu 13.10.2014).\nMetsämuuronen, J. 2012. Tutkimuksen tekemisen perusteet ihmistieteissä. Helsinki: International Methelp Oy.\nNational Institute of Standards and Technology. 2014. Guide to Attribute Based\nAccess Control (ABAC) Definition and Considerations. U.S. Department of Commerce http://dx.doi.org/10.6028/NIST.SP.800-162. (Viitattu 1.11.2014).\nNational Institute of Standards and Technology. 2013. Security and Privacy Controls for Federal Information Systems and Organizations. U.S. Department of Commerce\nhttp://dx.doi.org/10.6028/NIST.SP.800-53r4. (Viitattu 2.11.2014).\nNational Institute of Standards and Technology. 2014. Attribute Based Access\nControl (ABAC) overview. U.S. Department of Commerce\nhttp://csrc.nist.gov/projects/abac/. (Viitattu 1.11.2014).\nOberhofer, M., Dreibelbis, A. 2008. An introduction to the Master Data Management\nhttp://www.ibm.com/developerworks/data/library/techarticle/dm0804oberhofer/#resources. (Viitattu 21.10.2014).\nO'Connor, A. & Loomis, R. 2010. 2010 Economic Analysis of Role-Based Access\nControl. Final Report. Gaithersburg: National Institute of Standards\nFinal_Report.pdf. (Viitattu 15.11.2014).\nOjasalo, K., Moilanen, T., Ritalahti, J. 2009. Kehittämistyön menetelmät. Helsinki:\nhttp://www.oracle.com/us/products/applications/peoplesoftenterprise/053337.html. (Viitattu 9.2.2015).\nPäijänen, J. 2014. Sparta Consulting Oy. Sparta Henkilöydintiedon prosessit ja\nhallintamalli koulutusmateriaali. Jyväskylä: Sparta Consulting Oy.\nRumyantsev, S. 2014. New Russian data processing requirements. Helsinki:\nCastren & Snellman.\nSandhu, R., Coyne, E., Feinstein, H., Youman, C. 1995. Role-Based Access Control Models. National Institute of Standards and Technology.\nSaltzer, J., Schroeder, M. 1971. The Protection of Information in Computer Systems.\nShah J., Manathara M., Hoeppe A. 2012. Process-Driven Master Data Management For Dummies. Hoboken: Software AG.\nSuomen Standardisoimisliitto SFS ry. 2014. Informaatioteknologia. Turvallisuus.\nTietoturvallisuuden hallintakeinojen menettelyohjeet.\nTechnology. Security techniques. Code of practice for Information\nsecurity controls. Helsinki: Suomen Standardisoimisliitto SFS ry.\nTaylor, S. & Nissen, C. F. 2007. Passing your ITIL Foundation Exam. Norwich: The\nSilius, K. 2008. Teemoittelu ja Tyypittely. Tampereen Teknillinen Yliopisto. Tampere:\nSaaranen-Kauppinen, A. & Puusniekka, A. 2006. KvaliMOTV- Menetelmäopetuksen tietovaranto. Tampere: Yhteiskuntatieteellinen tietoarkisto.\nhttp://www.fsd.uta.fi/menetelmaopetus/. (Viitattu 4.11.2014).\nUcisa. ITIL- A guide to access management. University of Oxford. Oxford.\n%20management%20pdf.ashx. (Viitattu 15.12.2014).\nValtiovarainministeriö. 2013. Kunnan kokonaisarkkitehtuurin hallintamallin kehittäminen. https://www.kuntarakenne.fi/kao-wiki/fi/tietoa-sivustosta/ Kunnankokonaisarkkitehtuurinhallintamallinkehittaminen20131230.pdf.\nKuva 3. CMDB-järjestelmän raporttigeneraattorin asetukset PAR-prosessin läpimenoaikojen mittausjärjestelyssä.\nKaavio 2. Käyttöoikeuden hallinta prosessikaavio, sivu 1.\nKäyttöoikeuden hallintaprosessi (access management process).\nKaavio 3. Käyttöoikeuden hallinta prosessikaavio, sivu 2.\nKaavio 4. Käyttöoikeuden hallinta prosessikaavio, sivu 3.\nKaavio 5. Käyttöoikeuden hallinta prosessikaavio, sivu 3.\nKaavio 6. Käyttöoikeuden hallinta prosessikaavio, sivu 4.\nKaavio 7. Käyttöoikeuden hallinta prosessikaavio, sivu 5.\nKaavio 8. Käyttöoikeuden hallinta prosessikaavio, sivu 6.\nSecurity aspects for Non-Corporate employees email usage\nNon-Corporate employees working for company must use company e-mail if any of\nthe following conditions are met;\nThe non-Corporate employee is communicating with company customers\nThe non-Corporate employee’s own e-mail is of public character (e.g. hotmail, gmail, yahoo) and not dedicated for the non-Corporate employee's\nIf none of the above conditions are met the consultant’s company manager decides\nwhether the non-Corporate employee shall use own e-mail or company e-mail.\nImportant considerations when making the decision to use company email or not\ntype of information that will be managed (e.g. sensitive information such as\nprocurement documents, personal information, agreements etc. can increase the appropriateness to use company e-mail).\nlength of contract and position in company organization (e.g. non-Corporate\nemployees with long term contract can increase the appropriateness to use\nNote! If the non-Corporate employee uses his/her own company e-mail and is acting on\nbehalf of company, the messages must clearly state that the non-Corporate employee is\nacting on behalf of company.\nCommon HR MD for Master system\nLocation code / Site Key\nMother Tonque / preferred\nAD Finder poiminta\n2156 käyttäjällä on PAR-oikeus (login tunnus päättyy alaviivaan _)\nIlmoitus käyttöoikeuden vanhenemisesta\nIdentiteetinhallinta koostuu kokonaisuudesta, jonka osajoukkoja ovat ohjeistot, menetelmät, prosessit, henkilöydintieto ja käytettävät työvälineet. Näitä ovat muun\nmuassa toiminnanohjausjärjestelmä Enterprise Resource Planning (ERP) ja konfiguraationhallintajärjestelmä (CMDB), MDM- tai HR-järjestelmä, hakemistopalvelu\n(AD) ja IAM-järjestelmä. Erillisen IAM-järjestelmän lisäarvoa tutkittaessa ja perusteltaessa hankintapäätöksiä, on hyvä tunnistaa IAM-järjestelmän tuoma lisäarvo\nRiskienhallinnan näkökulmasta IAM-järjestelmän tuottama mahdollisuus analysoida ja raportoida olemassa olevia käyttöoikeuksia tai vaarallisia työyhdistelmiä rajoittuu luonnollisesti järjestelmien provisiointiasteen mukaiseksi. Automaattisen\nprovisioinnin piirissä olevien järjestelmien käyttöoikeusraportointi voidaan toteuttaa\nIAM-järjestelmän avulla. Manuaalisen provisioinnin piirissä olevien järjestelmien\nkäyttöoikeusraportointi on järjestettävä edelleen suoraan sovelluksen työvälineillä.\nIdentiteettien ja tunnuksien keskitetty hallinta voidaan nähdä riskien hallinnan ja\ntietoturvallisuuden kannalta kehittyneinä kontrolleina ja varsinkin seurantamahdollisuuksina verrattuna nykyiseen tilanteeseen. Tällä hetkellä keskitettyä raportointia\nErnst & Young tutkimuslaitoksen esityksen mukaan IAM-järjestelmän ominaisuuksia voidaan kuvata riskien pienentämisen ja liiketoiminnan arvon mukaan. Heidän\nnäkemyksen mukaan rooliperusteinen käyttöoikeuskontrolli vähentää riskejä liiketoiminnalle merkittävästi. Samalla on huomattavat, että malli ei kuitenkaan tuota\nmerkittävää taloudellista lisäarvoa liiketoiminnalle. (Ernst & Young 2013, 16).\nO'Conorin mukaan rooliperustainen käyttöoikeusmallin hyötyjinä on liiketoimintajohto,\nHyvin suunniteltu ja toteutettu roolipohjainen käyttöoikeusmallin tukee linjajohtoa ja\nliiketoimintojen vastuuhenkilöitä käyttöoikeuksien tilauksissa ja muutostilanteissa.\nTätä kautta pohdin liiketoiminnan saamaa lisäarvoa rooliperusteisesta käyttöoikeusmallista. Mielestäni saavutettu arvo on suhteellisesti korkeampi kuin kuvassa on\nesitetty. Perustelen näkemystäni roolipohjaisen käyttöoikeuskäsittelyn avulla automaation lisäämisellä. Automaattinen provisiointi nopeuttaa sovellustasolla käyttöoikeuksien aktivointia. Hyvin suunniteltu roolipohjaisten käyttöoikeuksien automaattisen provisioinnin voidaan nähdä vähentävän liiketoimintojen IT-asiantuntijoiden\ntekemää käsityötä. Automatisoinnin lisääminen avulla käyttöön palkatut resursseille voidaan provisioida tarvittavat käyttöoikeudet esimiehen ja hyväksymisketjun\ntoimenpiteillä. Automaation lisääminen voidaan toteuttaa selkeillä työrooleihin perustuvilla käyttöoikeuksilla.\nErnst & Youngin esityksen perusteella (kuva 4) IAM-peruspakettiin voidaan nähdä\nkuuluvan omaisuudenhallintatuote (asset inventory). Käsittelen tätä tuotetta sovellus- ja lisenssihallintaa tukevana moduulina. Tarkasteltavassa tapauksessa asset\ninventory ei tuo suoraan lisäarvoa yritykselle. Yrityksen käytössä on erillinen ohjelmistolisenssien hallintaohjelmisto sekä varsinainen yrityksen IT-omaisuuden hallintaan tarkoitettu tietokanta (CMDB). Tässä näkökulmassa Ernst & Youngin esitystä on syytä tarkastella analyyttisesti ja arvioida esitystä yrityksen omista näkökohdista.\nKirjautuminen eri järjestelmiin samalla käyttäjätunnuksella ja salasanalla (Federation) on esityksessä nostettu korkeimmalle liiketoiminnalle lisäarvoa tuottavana yksittäisenä komponenttina. Federoinnin liiketoiminta-arvostuksen nosto noinkin ylös\ntässä yhteydessä voi kummastuttaa. Toisaalta voin perustella korkeaa sijoitusta\nsillä, että liiketoiminnalle on helppo osoittaa lisäarvoa IAM-tuotteesta, jonka avulla\nonnistuu kertakirjautuminen moniin paljon käytettyihin järjestelmiin. Rooliperustainen käyttöoikeushallinta ja kertakirjautuminen ovat liiketoimintatapauksia, joiden\navulla IAM-järjestelmän hankintaa voidaan perustella liiketoiminnan päättäjille.\nKuva 4. Ernst & Youngin esitys IAM komponenttien vaikutuksista liiketoiminnan\narvoon ja riskien pienentämiseen.\nYrityksen henkilötiedot voidaan kuvata henkilöydintietojen standardimallin avulla\n(liite 4). Standardimalli on päivitettävä ja hyväksytettävä vastaamaan myös ulkoisten työntekijöiden henkilöydintiedon käsittelyn tarpeita. Tässä tapauksessa konkreettisena lisäyksenä standardiin voin suositella sopimuksen aloitus- ja päättymispäivän lisäämistä. Tämän lisäyksen avulla voidaan seurata sopimuksen päättymispäivää ja suorittaa tarvittaessa automaattisesti käyttöoikeuden päättäminen sopimuksen päättyessä. Identiteetinhallinnan teknisen konseptin vaatimusmäärittely on\nsyytä aloittaa tässä yhteydessä. Teknisen konseptin kuvauksessa otetaan kantaa\nyrityksen kokonaisarkkitehtuurimallin osa-alueiden antamien ohjeiden mukaan tekniseen toteutukseen, käytettäviin tietovarastoihin ja identiteetinhallinnan apuna\nkäytettäviin työkaluihin. Ennen IAM-projektia on syytä tunnistaa käytettävien henkilöydintietojen autoratiivinen lähde ja tutustua tiedon laatuun. IAM-järjestelmän automatisoitujen toimintojen kannalta henkilöydintiedonlaatu on merkittävässä roolissa. Tietoentititeettien merkityksen ja merkintätavan on säilyttävä samana läpi koko\ntietovaraston. Esimerkkinä vaikkapa postitoimipaikan merkintä. Ihmisen ymmärrys\nkäsittää Helsinki, Hesa ja Hki merkinnät samaa tarkoittavana paikkakuntana. Tietojärjestelmän kannalta näillä esitystavoilla on eri merkitys. Tietojen laadun varmistamiseksi on tässä vaiheessa syytä aloittaa henkilöydintietojen siivous ja yhdenmukaistaminen. Tähän työhön on varattava resursseja ja aikaa riittävästi.\nIAM-palvelun suunnittelussa on otettava huomioon muuttuneiden liiketoimintatarpeiden asettamat vaatimukset. Tämän päivän työssä tiedon käyttäjän tarpeet päästä tietoon aina ja kaikkialla sekä pilvipalveluiden käyttöönotto aiheuttavat tiedon\nsuojaamiselle uusia vaatimuksia. Liiketoimintojen vaatimukset ajasta ja paikasta\nriippumattomaan tiedon käyttämiseen ja samaan aikaan vaatimukset omien laitteiden käyttämiselle työn tekemisessä asettavat identiteettien hallintaan omat haasteensa.\nIAM-projektin myyntityö on hyvä aloittaa visiolla tai ajatuksella, jonka avulla kuvataan projektin hyödyt liiketoiminnoille. Visio IAM-työn aloittamiselle ja ajatuksen\nmyyntiin voidaan kuvata vaikkapa seuraavilla ajatuksilla ja tavoitteilla.\n- Kulujen vähentäminen\n- Läpinäkyvä raportointi\n- Tietoturva-tason kehittäminen\nNäitä iskulauseita on syytä avata erillisessä esityksessä.\nOperatiivisten kulujen vähentäminen voidaan perustella tapahtuvan itsepalvelun\nlisäämisellä ja tilausten läpimenoaikojen nopeutumisella. Tästä voidaan johtaa automaation lisäämisen vähentävän palvelupyyntöjen määrää IT Service Deskille ja\nyksiköiden IT-henkilöstölle. Samalla käyttöoikeushallinnan tehostaessa toimintaa,\nasiakastyytyväisyyden voi olettaa nousevan nopeampien vasteaikojen myötä. Olettamuksena on, että oikein suunnitellun ja määritellyn käyttöoikeuden tilauksen, hyväksymisen ja käyttöönoton kautta käyttäjätunnusprosessissa tehtyjen virheiden\nmäärä vähenee. Automaation avulla käsityön määrä liiketoimintasovellusten käyttöoikeusylläpidossa voidaan saada vähenemään.\nIAM-järjestelmän sisältämien raportointi ja tapahtumien kirjausominaisuuksien\navulla käyttöoikeuksiin kohdistuviin muutostapahtumiin on mahdollista saada todellista seurantaa ja todisteita tehdyistä muutoksista. IAM-järjestelmän selkeänä etuna muutosseurantaan on, että oikeuden pyytämisestä jää rekisterimerkintä. Käyttöoikeuden pyyntö ja hyväksyntä voidaan todentaa myöhemmin. Käyttäjätunnusten\nautomaattinen provisiointi liiketoimintasovelluksissa, mahdollistaa nopean käyttöoikeuksien käyttöön ottamisen. Yrityksen intranetin keskustelusta poimittu kommentti, jossa kerrottiin, "Kesätyöntekijä sai tunnukset vasta viikon odottelun jälkeen"\n(Intranet. 2015)., voidaan automaation lisäämisen avulla jättää historiaan.\nAjantasaiset näkymät käyttöoikeuksiin on mahdollista IAM- järjestelmän tilannekuvanäkymien avulla. Järjestelmistä on saatavilla helposti ja nopeasti auditointia tukevaa raportointia sekä vaarallisten työyhdistelmien riskiraportit System Managereiden, riskien hallinnan ja tilintarkastajien tarpeita varten. Luonnollisesti raportoinnin ulottaminen sovellustasolle vaatii vahvaa panostuista käyttöoikeushallinnan\nkehittämiseen myös liiketoimintasovellusten omistajien ja System Managereiden\ntoimesta. Tietoturvatason kohottaminen voidaan todistaa ainakin tunnuksen käytön\npäättämisprosessissa ja käyttäjätunnuksen de-provisioinnissa liiketoimintajärjestelmistä. Käyttöoikeuden päättäminen kaikista alijärjestelmistä yhden järjestelmän\nkautta yhdellä toimenpiteellä on vahva tietoturvatason kohottamiseen johtava toimenpide.\nIAM-projekti lähtee liikkeelle identiteetin omistajan ja liiketoimintojen yhteisellä päätöksellä. Projektin omistajuus on luonnollisesti yrityksen Chief Information Officer\n(CIO) johtajan alaisuudessa. Liiketoimintojen voidaan nähdä hyötyvän eniten identiteetin turvallisesta ja tehokkaasta hallinnasta, rahoitus projektille on saatava liiketoiminnoilta. Liiketoimintojen edustus on välttämätöntä olla mukana projektin johtoryhmässä ja suunnittelussa. HR:llä on vahva rooli henkilöydintiedonhallinnassa,\njoten heidän edustus on luonnollisesti mukana suunnittelutyössä. IT:n rooli ei ole\nvähäisin vaan IT on mukana vahvasti toteutuksen järjestelyissä ja tuotteiden implementoinnissa.\nIAM-kehitystyössä on päätettävä tullaanko järjestelmää käyttämään koko yrityksen\ntarpeisiin. Tällä tarkoitan myös yrityksen asiakkaiden identiteetin ja pääsyhallintaa\nkäsiteltäisiin samassa IAM-järjestelmässä. Vai rajoitetaanko IAM-järjestelmän käyttö esimerkiksi varsinaisten ja vuokratyöntekijöiden identiteettien ja pääsyoikeuksien\nSeuraavassa on muutamia yleisiä IAM-järjestelmän tarjouspyynnön valmistelussa\nhuomioon otettavia liiketoimintavaatimuksia. Näitä määrityksiä voidaan käyttää\nRequest for Proposal (RFP) vaiheen valmistelussa. Yrityksen käyttöoikeushallinnan tulee käsitellä 10000 työntekijätunnusta ja 5000 ulkoista palveluiden tuottajaa.\nJärjestelmänvalinnassa on varauduttava käsittelemään itsepalveluportaalin avulla\nnoin 200000:nen asiakkaan käyttäjäoikeuksia.\nKuten teoriaosassa järjestelmäarkkitehtuurista kuvattiin, arkkitehtuurimallissa otetaan kantaa mihin järjestelmiin keskitetty identiteetti voidaan provisioida. Lidenin\nmukaan todellisessa elämässä ei ole mahdollista tuottaa identiteetin provisiointia\nkaikille yrityksen tietojärjestelmille. (Liden 2012, 44). Lidenin esittämään väitteeseen on helppo yhtyä. Tätä kirjoitettaessa yrityksen CMDB-järjestelmään on talletettu tiedot 1010:stä erillisestä aktiivisesta sovelluksesta (CMDB 25.1.2015).\nValistunut olettamukseni on, että suurin osa käytössä olevista sovelluksista ei käytä käyttäjän autentikointia. Käytössä olevien järjestelmien valmiuksia käyttöoikeuden käsittelyyn saatikka provisioinnin hyödyntämiseen on vaikea arvioida ilman\ntarkempaa tutkimusta järjestelmien toiminnallisuuksista. Heinon mukaan IAMprojektissa provisioinnin suunnittelu kannattaa aloittaa alle viidestä tietojärjestelmästä. Heino perustelee näkemystään liiketoiminnan tehokkuusvaatimuksella. Jos\nkäyttäjätunnuskäsittelyn provisiointiin käytetty aika on pitkä ja tätä kautta kustannukset provisioinnille nousevat korkeiksi suhteessa saavutettuun hyötyyn. Toinen\nnäkökulman on käyttäjätunnusvaihtelun määrä vuositasolla. Jos vaihtelu ei ole\nmerkittävä, on manuaalinen provisiointi edelleen erittäin suositeltava vaihtoehto\nKäyttöoikeuden tilaaminen, hyväksyminen, käyttöoikeuden lisääminen (provisiointi), muuttaminen sekä tunnuksen sulkeminen (de-provisiointi) tulee olla hallittavissa\nitsepalveluportaalin kautta. Integraatiorajapinnat on toteutettava projektissa seuraaviin järjestelmiin: AD (Exchange, SharePoint), ERP-, HR- ja Service Deskjärjestelmä.\nPääkäyttäjätunnusten käsittelyyn valmistellaan erillistä PAM-tuotetta. IAM-tuotteen\nja tulevan PAM-järjestelmän välinen integrointi ja provisiointi toiminnot on pystyttävä toteuttamaan käyttöönotossa. Lisäksi järjestelmän on tuettava lokien ja hälytysten välittämistä yrityksen SIEM-järjestelmään. Käyttöoikeuksien ajantasainen valvonta ja raportointi on toteutettava tilannekuvatyyppisellä käyttöliittymällä. Käyttöoikeuksien- ja tapahtumienraportointi tapahtuu tilaajan vapaassa käytössä olevan\nKäyttöönottoprojektissa on varattava riittävä resursointi niin tilaajan, kuin toimittajan\nasiantuntijoista. Tyypillisesti käyttöönotto alkaa projektin asetus ja määrittelyvaiheella. Tässä yhteydessä projektin omistaja määrittelee projektin johtoryhmän ja\nprojektipäällikön. Hyvin usein muistutetaan yrityksen johdon sitouttamisesta projekteihin, tässä yhteydessä johdon tuki on erityisen tärkeää, koska projektin tuottamilla muutoksilla on merkittäviä vaikutuksia liiketoimintojen riskien hallintaan.\nProjektin märittelyvaiheessa luodaan yksityiskohtainen projektisuunnitelma. Tässä\nyhteydessä on syytä rakentaa myös testaus- ja viestintäsuunnitelmat sekä viimeistellä vaatimuslista projektin tuotoksille. Ratkaisun arkkitehtuurimalli,\narkkitehtuuri ja yksityiskohtaiset suunnittelumallit tuotetaan tässä vaiheessa. Suunnitelmien hyväksynnän jälkeen suoritetaan järjestelmän asentaminen. Tähän vaiheeseen pääsemiseen käytetään aikaan kaksi kuukautta.\nPäijäsen mukaan IAM-järjestelmän tuotantoon siirtäminen on syytä toteuttaa suunnitelluissa vaiheissa. Testiympäristön avulla voidaan havaita olemassa olevan\nhenkilöydintiedon toimivuutta ja tiedon laatua. Testauksella tuotetaan arvokasta\ntietoa ja kokemusta provisioinnin toiminnasta valittuihin kohdejärjestelmiin. Ensimmäisinä IAM-järjestelmän provisiointikohteina on suositeltavaa koeponnistaa ensimmäisenä vaikkapa yhteydet AD- ja Email-järjestelmiin. Ennalta määriteltyjen ja\nhyväksyttyjen testikierrosten jälkeen järjestelmät voidaan liittää kokonaisuuteen.\nJärjestelmän varsinaisessa implementoinnissa ja tietojen analyysivaiheessa käytettävissä olevat identiteetit ladataan autoratiivisista lähteistä. Tämän hetken tilanteessa autoratiivisia lähteitä olisivat hybridimallin mukaisesti HR- ja ADjärjestelmät. Tietojen sanitointi, esimerkkinä orpojen identiteettien korjaaminen\nsuoritetaan asiakkaan toimesta. Järjestelmän asentamiseen ja tietojen analyysivaiheeseen on varattava kuukauden työpanos.\nMallintamisvaiheessa työnkulkuprosessi rakennetaan järjestelmään. Roolien hallinta ja mallintaminen suoritetaan standarditapausten perusteella. Tässä vaiheessa ei\noteta kantaa kaikkien sovellusten käyttämiin rooleihin, vaan keskitytään standardiroolitukseen. Rooli voi vastata kysymykseen onko identiteetillä käyttöoikeutta internetiin, intranetiin tai vaikkapa sähköpostiin. Hienojakoisemmat sovelluskohtaisten\nroolien suunnittelu ja rakentaminen on suoritettava ensin valmiiksi sovellustasolla.\nTämän työn jälkeen sovelluksen rooleja voidaan käyttää IAM-järjestelmän provisioinnissa.\nToimivan käyttöympäristön luomisen jälkeen keskitytään konfigurointiin ennalta\nvalittujen provisiointikohteiden osalta. Ensimmäisinä luonnollisina konfigurointikohteina ovat yrityksen hakemistopalvelu eli AD, HR-järjestelmä ja toiminnanohjausympäristö (ITSM). Tässä oletuksena on, että IAM-järjestelmässä on valmiit\nrajapinnat kohdejärjestelmiin. Jos rajapintoja joudutaan ohjelmoimaan, niin projektiin on varattava lisäaikaa näiden määritysten ja ohjelmointimuutosten toteuttamiseksi. Käyttöönoton valmisteluun ja automaattisen provisioinnin asetusten hienosäätöön, ennalta RFP:ssä määriteltyjen kohteiden osalta oletetaan kuluvan aikaa kaksi kuukautta.\nToiminnallisessa testaamisessa tavoitteena on koestaa asennuksen provisiointi ja\nde-provisioinnin toimivuus testiympäristöihin ja testiympäristöistä oikealla tuotannosta siirretyllä materiaalilla. Ennen testauksen hyväksymistä on oltava suoritettuna raportointi, hallintanäkymät ja hälytysten koeajot. Koulutus käyttöhenkilökunnalle, tilaajan edustajille ja service deskille suoritetaan testikannalla. Tuotantoon implementointi suoritetaan asiakkaan hyväksymän testivaiheen jälkeen. Koeajoon,\nkonfiguroinnin säätämiseen, koulutukseen ja tuotantoon siirtymiseen oletetaan kuluvan aikaa noin kuukausi. Projektin tehtäviin kuuluu luonnollisesti järjestelmän\ndokumentointi, jota suoritetaan järjestelmän kehittyessä. Loppudokumenttiin kootaan yhteen tiedot tuotantoon siirretystä järjestelmästä.\nTodellisen IAM-tarjouksen mukaan käyttöönottoprojektin hyvin objektiivinen läpimenoaika on viisi kuukautta. Saadussa IAM-tarjouksessa on huomioitu työntekijöiden ja ulkoisten työntekijöiden tunnusten käsittely sekä provisiointien rakentaminen\nviiteen yrityksen käytössä olevaan järjestelemään. Nähdäkseni järjestelmän esisuunnitteluun, rahoituskeskusteluihin ja sisäisiin hyväksymismenettelyihin on syytä\nvarata kalenteriaikaa merkittävästi enemmän. IT-järjestelmien hankintaan, toimitukseen ja asennuksiin on lisäksi varattava aikaa noin kaksi kuukautta. Kokonaisuudessaan\nTämän työn yhteydessä pyysin tarjouksen IAM-toimittajalta ylläkuvatun RFP:n perusteella. Luottamuksellisuuden vuoksi en esittele toimittajaa tai tuotetta yksityiskohtaisesti. Tässä tarkastelussa oleva IAM-tuote on menestynyt tutkimuksen mukaan maailmanlaajuisesti viiden toimittajan kärkikaartiin (Iverson et al. 2015). Tarjotun tuotteen markkinaosuus globaalista IAM-markkinasta on merkittävä.\nTuotteen hankintahinnan lisäksi on huomioitava tuotteen asennus ja projektikulut.\nSisäisiä kuluja syntyy oman henkilökunnan ajankäytöstä projektin ohjausryhmän ja\nprojektiryhmän kokouksiin. Yrityksen oman henkilökunnan resursseja ja aikaa on\nvarattava työhön, jota ovat ainakin henkilöydintietojen siivoaminen, suunnittelu,\nliiketoimintojen näkemysten kartoitus, sisäinen markkinointi, viestintä, esimieskoulutus jne.\nSaadun tarjouksen mukaan asiakkaan projektimanagerin tulisi varata työaikaa implementointiprojektiin 6,5 päivää. Arvio asiakaan projektipäällikön ajan käytöstä on\nmielestäni kovin objektiivinen. Näkemykseni mukaan projektipäällikön työmäärä\nnousee merkittävästi suuremmaksi, kuin tässä esitetty. Alustavaan määrittelytyöhön ja siivoamistyön valmisteluun, sekä johtamiseen on varatta riittävästi aikaa ja\nresursseja myös eri liiketoiminnoista. Näkemykseni mukaan yrityksen sisällä tehtävään työhön kuluu kaikilta projektiin osallistuvilta helposti satoja työtunteja.\nKuten aiemmin totesin, manageriroolissa toimii noin 500 henkilöä. Olettaen että\nkaikille managerin roolissa oleville henkilöille tarjotaan tunnin koulutus muuttuneista prosesseista on helposti noin 500 tuntia käytetty. Jos managerin laskennallinen\ntuntipalkka sivukuluineen on 50 euroa koulutukseen käyttävän työajan laskennallinen hinta olisi 25.000 euroa. Tehostamalla muutoksen viestintää voidaan näitä\nluokkahuonekoulutuksia vähentää merkittäväsi. Muista projekteista saamani kokemuksen perusteella yrityksen viestinnän ja markkinoinnin ammattilaisten ammattitaitoa on hyvä käyttää hyväksi myös sisäisessä muutoksen johtamisessa. Viesti\nmuutoksesta saadaan välitettyä kohderyhmälle ammattimaisesti ja tehokkaasti.\nHaastateltava 1. Yrityksen tukipalvelut. Haastattelu 7.10.2014.\nHaastateltava 2. Yrityksen IT-palvelut. Haastattelu 27.5.2014.\nHaastateltava 3. Yrityksen IT-palvelut. Haastattelu 27.1.2015.\nHaastateltava 4. Yrityksen tukipalvelut. Haastattelu 16.10.2014.\nHaastateltava 5. Liiketoiminta. Haastattelu 17.10.2014.\nHaastateltava 6. Liiketoiminta. Haastattelu 20.10.2014.\nHaastateltava 7. Yrityksen IT-palvelut. Haastattelu 16.10.2014.\nHaastateltava 8. Yrityksen IT-palvelut. Haastattelu 7.10.2014. 01/2015.\nHaastateltava 9. Yrityksen IT-palvelut. Haastattelu 22.10.2014.\nHaastateltava 10. Yrityksen tukipalvelut. Haastattelu 02/2014.\nHaastateltava 11. Ulkoistuskumppanin palvelutoiminta. Haastattelu 31.10.2014.\nHaastateltava 12. Liiketoiminta. Haastattelu 13.2.2015.\nHaastateltava 13. Liiketoiminta. Haastattelu 4.2.2015.\nHaastateltava 14. Yrityksen tukipalvelut. Haastattelu. 11.2.2015.\nTutkimus- ja haastattelukysymykset\nTutkimuskysymys 1. Millaisia odotuksia käyttöoikeuden tilaajilla on tilausprosessiin?\nMillaisia käyttö- ja pääsyoikeuksia tilaat uudelle konsultille?\nOletko tilannut konsulteille käyttöoikeuden, etäkäyttöoikeuden, internetkäyttöoikeuden, extranet-oikeuden, remote desktop -oikeuden, PAR-oikeuden,\nVoitko näyttää missä ovat tilauksessa tarvitsemasi ohjeistot?\nJos järjestelmä mahdollistaisi ulkoisen ylläpidon tunnuksien avaamiselle,\nniin voisiko mielestäsi käyttäjätunnuksen tilaamisesta ja ylläpidosta vastata\nMillaisia odotuksia sinulla on käyttöoikeuksien tilaukseen?\nTutkimuskysymys 2. Millaisia odotuksia prosessin käyttäjillä on käyttöoikeusprosessin läpimenoaikoihin?\nMikä on mielestäsi hyväksyttävä toimitusaika peruskäyttöoikeuden tuottamiseksi: tunteja, työpäiviä, enemmän kuin työviikko (viisi työpäivää tilauksesta)? Jotain muuta, mitä?\nVaaditteko konsulteilta NDA-sopimuksen allekirjoittamista ennen sopimuksen hyväksymistä?\nMissä tilanteessa tarvitsette konsulteille henkilökohtaista taustatarkastusta?\nMistä tilaatte taustatarkastuksen?\nMillaista koulutusta tarjoatte konsultille työn aloituksessa suoritettavassa\ntyönohjauksessa? Tarkkaile erityisesti vastausta tietoturvakoulutuksesta.\nMillaisia lisäpalveluita tarvitset konsulttien käyttäjätunnuksen ja käyttöoikeuksien hallintaan?\nTutkimuskysymys 3. Kuinka tilaaja haluaa kehittää käyttöoikeuden elinkaaren hallintaprosessia?\nKäyttöoikeuden avaaminen ja sulkeminen.\nSaatko tarvittavat oikeudet haluttuihin järjestelmiin yhdellä tilauksella?\nMillaisia muutoksia haluat tehdä käyttöoikeuden tilausohjeistoon?\nOnko konsulteille jäänyt aktiivisia käyttöoikeuksia työsuhteen päättymisen\nSaatko ilmoituksen konsultin työsuhteen päättymisestä konsultilta itseltään,\nkonsultin työnantajalta vai et mistään?\nKuka on vastuussa konsultin käyttöoikeuden päättämisestä?\nKäyttöoikeuden muutokset ja uudistaminen. Konsultin käyttäjätunnus uudistetaan\nnormaalisti kuuden kuukauden välein. Ilmoitusviestit ovat esillä liitteessä 6.\nKuinka usein konsulttitunnuksen käyttöoikeuden uudistaminen on mielestäsi\nPerustele esittämäsi toimintatapa?\nTässä liitteessä on kuvattu toimintaohjeet raportissa esiteltyjen taulukoiden tuottamiseksi.\nTaulukko 1. Käyttäjätunnusten jakauma, sisältäen loppukäyttäjä- ja pääkäyttäjätunnukset taulukon tiedot poimin raportista "All_UserIDs_2015-01-01". Tulokseen\npääsin hakemalla tiedoista ADStatus=Enabled. Poimin aputaulukkoon "Käyttäjätunnukset AccountType pvm" UserAccount ja AccountType -sarakkeet. Näiden\ntietojen avulla loin Pivot-taulukon, jossa ryhmittelin tulokset AccountType-kentän\nmukaan sekä laskin ilmentymien käyttäjätunnusmäärät ja esiintymien prosenttiosuudet.\nTaulukko 2. Tässä esitellyt käyttäjätunnusten käsittelyyn liittyvien tapahtumien perustiedot ovat saatavissa raportilta "All_UserIDs_2015-01-01". Käsittelin raportin\nkenttiä ADStatus ja ADObjeCreated erillisessä työtilassa, jossa poimin lopulta alla\nesitetyt arvot. Näiden lähtötietojen avulla tein graafiset esitykset (kuvio 6 ja 7).\nTaulukko 3, "Tunnusta ei ole käytetty viimeiseen kolmeen kuukauteen" esitellään\nyli kolme kuukautta käyttämättä olleet käyttäjätunnukset. Tämä tieto saadaan poimittua kuukausittain julkaistavasta All_UserIDs_vvvv-kk-pv Excel-raportista yrityksen CMDB-tilastoarkistosta. Taulukkoon on poimittu aktiiviset käyttäjätunnukset ,\nnäistä on poimittu Domain Not Ok ilmoituksella olevat rivit. Domain Not Ok merkintä asetetaan automaattisesti AD:ssä käyttäjätunnuksiin, jotka ovat olleet käyttämättöminä yli kolme kuukautta. Tämän tiedon perusteella jaoin Account Typen mukaan\ntyöntekijöiden, konsulttien ja yhteiskäyttötunnusten esiintymät taulukkoon. Tuloksissa laskin yhteen konsulttitunnuksen ja konsultin pääkäyttäjätunnukset.\nTaulukko 4, "PAR-prosessin läpäisyaikoja (CMDB 7.1.2015)." taulukkoon on poimittu PAR-prosessin läpimenoaikoja. Perustiedot poimin IT Service Management\nData Warehouse työkalun raportin "Volumes by Resolution Time (graph)". ITSMkuvion tiedoista laskin läpimenoajat 0–24 tuntia sekä 24–160 tuntia omiin ryhmiinsä ja perustin saaduista tuloksista taulukkonäkymän Word-tekstinkäsittelyohjelman\nTässä liitteessä on kuvattu toimintaohjeet raportissa esiteltyjen kuvioiden tuottamiseksi.\nKuvio 1. Konsulttitunnusten jakautuminen maittain. Konsulttitunnusten jakautuminen maittain tiedot poimin raportista "All_UserIDs_2015-01-01". Taulukon ADSiteID-sarake sisältää käyttäjätunnuksen käyttäjän kotimaan ja paikkakunnan, esimerkiksi muodossa FIESP tai SESTO. ADSiteID-sarakkeen maatietojen avulla\npoimin tunnusten maakohtaiset esiintymät.\nKuvio 2. Privileged Account Management -arkkitehtuuri kuvio on toteutettu PowerPoint-työkalulla.\nKuvio 3. Roolipohjainen käyttöoikeusmalli, mukaillen koulutusmateriaalia. Valmistin\nKuvio 4. PAR-oikeuksien jakauma käyttäjätyypeittäin. (CMDB-raportit).\nAktiivisten käyttäjätunnusten ja palvelinten tiedot on tuotu käyttäjätunnustiedoista\nvers_PAR_2014-01-01). Palvelimien PAR-taulukosta poimittuihin tietoihin (UserAccount, AdminAccount, AccountType ja Server) yhdistin All UserIDs tiedoista\nkäyttäjätunnuksen tyypin (UserType). Tämän tyypin yhdistin PAR-listalla olevaan\nKoontitaulukon näkymän kokosin Excel Pivot -taulukoinnin avulla. Asetin ReportFilter kentään UserType-tiedon, Row Labels -kenttään poimin AdminAcoount-tiedot ja\nValues kenttään Count of Server -lukumäärät. Tällä menettelyllä tietojen poiminta\nvoidaan tarvittaessa toistaa tulevissa seurannoissa.\nKuvio 5. "Käyttäjätunnukseen liittyvien tehtävien käsittely- ja läpimenoaikoja ajalla\n06 – 12 / 2014" kuviossa esitellyt läpäisyajat poimin IT Service Management Data\nWarehouse -työkalulla. Tietojen poiminnassa käytin raporttia "Number of tickets by\nresolution time (graph)". Poiminnan tein sovellukselle "AD User Account". Kuvaajapylväiden asteikko kuvioissa 4 ja 6 on jaettu kuuteen läpimenoaikaa kuvaavaan\nalueeseen. Pylväiden läpimenoaikamittaukset on jaettu kuuteen osaan seuraavasti. Alin ryhmä kuvaa prosessin läpimenoaikaa nollasta kuuteen tuntiin, toinen ryhmä kuudesta 12:sta tuntiin (sininen), kolmas ryhmä on 12:sta 24:ään tuntiin (keltainen), neljäs ryhmä 24:stä 40:een tuntiin (vihreä), viides ryhmä 40:stä 160:een tuntiin (tumman punainen) ja viimeinen ryhmä kuvaa prosessin läpimenoaikaa tapauksissa, joissa prosessin kesto on ylittänyt 160 tuntia. Käytössä olleen Data Warehouse työkalun asetukset tälle raportille on kuvattu liitteessä 1.\nKuvio 6. Käyttäjätunnusten käsittelymäärät ajalla 06 – 12 2014. Olen kuvannut tietojen poiminnan kohdassa taulukko 2.\nKuvio 7. Kuukausittainen käyttäjätunnuskäsittelyn jakauma. Tiedot kuvioon poimin\nKuvio 8. Kuukausittainen käyttäjätunnuskäsittelyn jakauma. Pohjatietoina kuvion\ntuloksiin käytin taulukon 2 tuloksia.\nKuvio 9. Uusien tunnuksien avausmäärät ajalla 06 – 12 / 2014, kuvioon pohjatiedot\non poimittu raportista "All_UserIDs_2015-01-01". Poimin raportilta aputaulukkoon\nAD-tunnuksien käsittelymäärät 06 –12 2014 ADObjCreated ja ADObjChanged tapahtumat aikavälillä 2014 06 – 12 . Toin aputaulukkoon ADStatus, ADObjCreated,\nADObjChanged, LastKnowLogin, UserAccount ja AccountType sarakkeet. Rivejä\naputaulukkoon kertyi 1878. Kuvion perustiedot poimin Pivot-näkymän avulla. Poimin Row Labes -osaan ADStatus ja AccountType kentät sekä Values-osaan UserAccount. Näin sain ratkaistua tapahtumien (enabled, disbled, termintaed ja deleted) määrät. Näistä arvoista poimin konsultti, työntekijä, systeemi ja muut tunnusluokkien avausmäärät (enabled). Kuvio on luotu Excel-työkalun avulla.\nTässä liitteessä on kuvattu toimintaohjeet raportissa esiteltyjen kuvien tuottamiseksi.\nKuva 1. Tunnuksen tilauslomakkeen kuvaruutukopion kuvaruutukauppauksen tein\nKuva 2. "AD User Account -jonossa käsiteltyjä tapahtumia" kuvaruutukopion kuvaruutukauppauksen tein OneNote-ohjelmalla. Häivytin kuvasta käyttäjäidentiteettiin\nviittaavat tiedot SharePoint-ohjelmalla.\nKuva 3. "Hetkellinen näkymä AD User Account -työjonoon." AD User Account näkymän poimin ERP-ohjelman näkymästä. ITSM - Search ITSM tickets - Assignment Key Application: LA001395 AD USer Account - Search. Työpyynnön otsikot\nesitellään Title-kentässä. Tästä tilanteesta on poimittu kuvaruutukopio OneNoteohjelman avulla SharePoint-ohjelmaan, jossa tein arkaluontoisten tietojen häivyttämisen. Tuloksena on näkymästä otettu OneNote-kuvaruutukaappaus.