Kuukausi: marraskuu 2025

Ei niin kaukaisessa historiassa yrityksen tietoturva perustui palomuuriin. Rakenne muistutti linnaa ja vallihautaa: kun pääsit portista sisään, olit turvassa. Se aika on ohi.

Nykyään data on pilvessä ja työntekijät voivat työskennellä missä tahansa. Siksi vanha malli, jossa sisäverkkoon pääsy tarkoitti automaattista luottamusta, ei enää toimi. Tätä ongelmaa ratkaisemaan on rakentunut Zero Trust -ajattelu.

Zero Trust kuulostaa ehkä siltä, että emme luota kehenkään. Ja teknisesti se pitää paikkansa. Malli nojaa yksinkertaiseen periaatteeseen: kukaan ei saa luottamusta ilman tarkistusta. Jokainen käyttäjä, laite ja sovellus tarkistetaan joka kerta, kun ne haluavat käyttää jotain resurssia. Toisin kuin perinteisessä mallissa, luottamus ei perustu pelkästään sijaintiin tai verkkoon, vaan jatkuvaan varmistukseen.

Kerros kerrokselta vahvempi suoja

Miksi tämä sitten on tärkeää? Koska pilvimaailmassa hyökkääjät eivät enää kolkuttele portilla, vaan he ovat jo sisällä. Jos järjestelmäsi luottaa sokeasti sisäverkkoon, olet pulassa.

Zero Trust estää tämän tarkistamalla kaiken, aina. Se ei ole yksi työkalu, vaan kokonainen arkkitehtuuri, jossa jokainen kerros lisää suojaa.

Voit ajatella sitä esimerkiksi kuin sipulia: jos hyökkääjä pääsee yhden kerroksen läpi, seuraava pysäyttää hänet. Näin pienennetään todennäköisyyttä siitä, että murtautuja pääsee käsiksi arvokkaaseen dataan ja tehdään murtautumisesta niin kallista, ettei sitä edes kannata yrittää.

Kerroksellisuus näkyy monella tasolla:

• Monivaiheinen tunnistus varmistaa, ettei pelkkä salasana riitä.
• Laitetarkistus estää pääsyn, jos kone on epäluotettava.
• Pienimmän oikeuden periaate taas rajoittaa käyttäjän pääsyn vain siihen, mitä hän työssään tarvitsee.

Ja jos kaikki tämä pettää, jatkuva valvonta ja käyttäytymisanalytiikka voivat silti havaita poikkeavan toiminnan ja katkaista istunnon. Jokainen kerros tekee hyökkäyksestä hitaamman, kalliimman ja helpommin havaittavan.

Konkreettinen esimerkki: Näin Zero Trust torjuu hyökkäyksen

Kuvitellaan valitettavan yleinen tilanne, jossa hyökkääjä saa haltuunsa työntekijän salasanan tietojenkalastelulla. Perinteisessä mallissa tämä voisi tarkoittaa täyttä pääsyä sisäverkkoon ja kriittisiin järjestelmiin. Sen sijaan Zero Trust -malli rakentaa useita esteitä hyökkääjän tielle.

Ensimmäinen este on monivaiheinen tunnistus, jolloin pelkkä salasana ei enää riitä. Jos hyökkääjä onnistuu ohittamaan sen, laitetarkistus huomaa, että kirjautuminen tulee tuntemattomalta koneelta ja estää pääsyn. Jos laitekin hyväksytään – vaikkapa varastetun yritysläppärin avulla – käyttäjän oikeudet ovat rajatut, eikä hyökkääjä pääse käsiksi kaikkeen, vaan vain siihen, mitä kyseinen työntekijä tarvitsee. Ja jos hyökkääjä yrittää ladata massoittain tiedostoja, käyttäytymisanalytiikka havaitsee poikkeaman ja katkaisee istunnon.

Lopputulos: hyökkääjä joutuu ylittämään monta estettä, ja jokainen niistä lisää mahdollisuuden havaita ja pysäyttää hyökkäys ennen kuin arvokas data vaarantuu.

Zero Trust ei siis ole epäluottamusta ihmisiin, vaan epäluottamusta oletuksiin. Ja se on hyvä asia.

Organisaatioissa, joissa käytetään useita digitaalisia palveluita, on käyttäjien tunnistaminen keskeinen turvallisuus-, kustannus- ja hallintakysymys. Kun henkilöstö, asiakkaat tai kumppanit liikkuvat useissa järjestelmissä, nousee identiteetin- ja pääsynhallinta (IAM)olennaiseen rooliin. Yksi ratkaiseva komponentti tässä kokonaisuudessa on OpenID Connect (OIDC).

Vaikka OIDC ei lyhenteenä tai teknologiana olisikaan tuttu, niin uskaltaisin väittää, että meistä jokainen on OIDCta hyödyntävää palvelua käyttänyt useamman kerran viimeisen viikon aikana. Jos olet kirjautunut johonkin palveluun pankkitunnuksilla tai lukenut vaikkapa gmailia, niin mitä suurimmalla todennäköisyydellä OIDC on se protokolla, jolla noihin palveluihin kirjauduit.

OIDC on moderni, standardoitu protokolla, jonka avulla käyttäjien kirjautuminen voidaan keskittää yhteen luotettuun identiteetinhallintapalveluun. Sen avulla organisaatio voi hallita käyttäjätunnuksia, oikeuksia ja tunnistautumista yhtenäisesti, sen sijaan, että jokainen sovellus tai järjestelmä toteuttaisi oman, irrallisen kirjautumisratkaisunsa.

Kuka omistaa käyttäjien digitaalisen identiteetin?

Yksi kriittinen, mutta usein aliarvioitu näkökulma tunnistautumiseen on identiteetin omistajuus. Kun käyttäjähallinta hajautuu eri palveluihin ja ulkoisiin kirjautumisjärjestelmiin, menettää organisaatio hallinnan käyttäjäidentiteeteistään ja samalla myös näkyvyyden, vastuun sekä mahdollisuuden valvoa pääsyjä.

OIDC tuo identiteetit takaisin organisaation hallintaan. Vaikka sovellukset tulevat eri toimittajilta tai valmiina palveluina, säilyy identiteetti omassa järjestelmässä. Yksittäiset sovellustoimittajat eivät siis enää ohjaa pääsyä käyttäjätietoihin.

Erityisesti muutostilanteissa tämä tuo turvaa. Palveluntarjoajan vaihtuessa, liiketoiminnan laajentuessa tai palvelun päättyessä organisaatio säilyttää jatkuvuuden. Tunnistus ei sitoudu teknologiaan tai kumppaniin, vaan pysyy omissa käsissä.

Kustannussäästöjä kehityksessä, tuessa ja riskienhallinnassa

Kun kirjautuminen toteutetaan OIDC:n avulla keskitetysti, yksittäisten sovellusten ei tarvitse sisältää omaa käyttäjähallintaa. Tämä tarkoittaa vähemmän kehitystyötä, ylläpitoa ja tietoturva-auditointeja. Sovellukset käyttävät siis vain yhtä ja samaa tunnistuspalvelua, ja myös käyttäjätunnukset hallitaan yhdestä paikasta.

Myös tukitarve kevenee. Yksi tunnus, yksi kirjautuminen ja selkeät käyttöoikeudet pienentävät huomattavasti salasanoihin ja käyttöoikeuksiin liittyviä tukipyyntöjä, joiden tiedetään olevan yksi IT-tuen suurimmista yksittäisistä kulueristä.

Riskienhallinta tehostuu, sovellukset eivät käsittele salasanoja ja pääsynvalvonta tapahtuu keskitetysti. Käyttäjien poistaminen, monivaiheinen tunnistautuminen (MFA) ja roolipohjainen pääsynhallinta hoituvat samasta paikasta.

Skaalautuvuutta ja joustavuutta liiketoiminnan muuttuessa

Kun tunnistautuminen on irrotettu yksittäisistä järjestelmistä ja toteutettu OIDC:n avulla, organisaatio voi nopeammin ottaa käyttöön uusia palveluita, vaihtaa toimittajia tai yhdistää järjestelmiä. Identiteetti pysyy koko ajan omissa käsissä, ja integraatiot tapahtuvat standardoidulla tavalla.

Tämä on kriittistä erityisesti silloin, kun organisaatio kasvaa, toimii monitoimittajaympäristössä tai tarjoaa palveluita eri käyttäjäryhmille, kuten työntekijöille, kumppaneille tai asiakkaille.

OIDC on liiketoimintapäätös, eikä pelkkä tekninen valinta

OIDC muodostaa IAM-arkkitehtuurin ytimen ja on ratkaiseva työkalu turvallisen ja skaalautuvan digitaalisen ympäristön rakentamisessa. Sen avulla organisaatio voi pitää käyttäjäidentiteetit omassa hallinnassaan sekä vähentää IT-kustannuksia kehityksessä, tuessa ja ylläpidossa. Lisäksi OIDC parantaa tietoturvaa ja vähentää riskejä, nopeuttaa integraatioita ja palveluiden käyttöönottoa sekä varmistaa jatkuvuuden palveluntarjoajista riippumatta.

Lopulta kyse on siitä, haluaako organisaatio olla riippuvainen yksittäisistä järjestelmistä ja toimittajista – vai hallita omaa digitaalista tulevaisuuttaan. OIDC ei ole enää pelkkä tekninen standardi, vaan strateginen valinta, joka määrittää, kuinka joustavasti ja turvallisesti organisaatio pystyy toimimaan myös huomenna. Siksi jokaisen uuden järjestelmän tai palvelun kohdalla kannattaa varmistaa, että se tukee OIDC:tä vahvasti ja helppokäyttöisesti.