Identiteetin- ja pääsynhallinnan avulla varmistetaan, että kaikilla työntekijöillä on pääsy oikeisiin järjestelmiin oikeaan aikaan.
Kaikki palvelutSuurin osa nykyisistä hyökkäyksistä alkaa kirjautumisesta, ei murtautumisesta. Siksi identiteetin hallinta on tärkein yksittäinen suojauskeino, ja samalla se, joka rapautuu huomaamattomimmin: oikeuksia annetaan nopeammin, kuin niitä poistetaan.
Rakennamme Entra ID:n päälle selkeät säännöt siitä, kuka pääsee mihinkin, millä ehdoilla ja kuinka pitkäksi aikaa. Pääkäyttäjien oikeudet ovat voimassa vain tarvittaessa, eivät pysyvästi. Emme jätä käytäntöjä mustaksi laatikoksi, vaan dokumentoimme arkkitehtuurin niin, että seuraava tekijä ymmärtää sen.
Nämä ovat yleisimpiä tilanteita, joissa asiakkaamme ottavat identiteetin- ja pääsynhallinnan työn alle.
Ehdollisen käyttöoikeuden (Conditional Access) käytännöt ovat rakentuneet sääntö kerrallaan. Käytäntöjä on kymmeniä, ne on tehty eri aikoina ja eri syistä, eikä kukaan uskalla poistaa mitään. Kun ei tiedetä mitä mikäkin sääntö tekee, muutoksia ei uskalleta tehdä lainkaan, ja silloin myös aukot jäävät paikoilleen.
Pääkäyttäjäoikeudet ovat pysyviä. Korotetut oikeudet on annettu kerran eikä niitä ole otettu pois. Jokainen pysyvä pääkäyttäjätunnus on tili, jonka murtaminen riittää yksinään.
Lisenssi on ostettu, mutta kyvykkyys on kytkemättä. Entra ID P2 tai E5 sisältää PIM:n, Identity Protectionin ja Identity Governancen. Maksat niistä jo nyt. Käyttöönotto ei lisää lisenssikustannusta.
Monivaiheinen tunnistautuminen ei kestä kalastelua. Käytössä on tekstiviesti tai push-hyväksyntä, joista kumpikaan ei ole kalastelunkestävä ratkaisu.
Vieraskäyttäjiä on kertynyt vuosien varrelta. Kumppaneille, konsulteille ja projekteille on annettu pääsy, eikä kukaan ole katsonut ovatko ne yhä tarpeen.
VPN:n takana on liikaa. Verkkoon pääsy on käytännössä sama kuin pääsy kaikkeen sen sisällä. Sovelluskohtainen pääsy rajaa vahingon silloinkin, kun yksi tunnus vuotaa.
Rakennamme ehdollisen käyttöoikeuden (Conditional Access) käytännöistä kokonaisuuden, joka on ymmärrettävä: yhtenäinen nimeämiskäytäntö, kirjattu perustelu jokaiselle käytännölle ja hätäkäyttäjätilit (break glass). Global Secure Accessilla samat säännöt saadaan koskemaan myös sisäverkon sovelluksia, jolloin verkkoon pääsyn sijaan käyttäjä saa pääsyn niihin sovelluksiin, joita työ vaatii.
Käymme läpi tenantin perusasetukset: kuka saa rekisteröidä sovelluksia, miten salasanakäytäntö on määritelty, mitä oletusoikeuksia käyttäjillä on ja mitkä vanhat todennustavat ovat yhä auki. Nämä ovat asetuksia, joita kukaan ei muista katsoa, ennen kuin ne aiheuttavat ongelman.
Valitsemme tunnistautumismenetelmät riskin mukaan ja rakennamme Authentication Strengths -käytännön, joka vaatii vahvimman menetelmän siellä, missä sitä tarvitaan. Kalastelunkestäviä ovat passkeyt (FIDO2), Windows Hello for Business ja varmennepohjainen tunnistautuminen. Tekstiviesti ja push-hyväksyntä eivät ole.
Korotetut oikeudet muuttuvat pysyvistä määräaikaisiksi: oikeus aktivoidaan tarvittaessa, se vanhenee itsestään ja aktivoinnista jää jälki. Määrittelemme mitkä roolit vaativat hyväksynnän ja mitkä perustelun. PIM sisältyy Entra ID P2- ja Microsoft 365 E5 -lisensseihin, joten käyttöönotto ei useimmiten lisää lisenssikustannusta.
Erotamme pääkäyttäjätunnukset työtunnuksista ja jaamme roolit eri tasoihin. Global Administrator -oikeuksia on lähes aina enemmän kuin tarvitaan, ja useimmat tehtävät hoituvat rajatummalla roolilla. Käymme roolit läpi yksitellen ja perustelemme jokaisen.
Käymme läpi olemassa olevat vieraskäyttäjät ja rakennamme mallin sille, miten uusia lisätään, mihin tietoihin he pääsevät ja milloin pääsy päättyy.
Aloitamme nykytilan läpikäynnistä ja etenemme pilottiryhmän kanssa. Tyypillinen kesto on noin 4–6 viikkoa ympäristön koosta riippuen.
Käymme läpi nykyiset käytännöt, roolit ja tunnistautumismenetelmät. Sovimme mikä kuuluu tähän projektiin ja mikä ei.
Suunnittelemme säännöt ja kytkemme ne ensin seurantatilaan, jossa ne eivät vielä estä mitään. Näette raporteista kenen kirjautuminen olisi estynyt, ennen kuin kukaan oikeasti estetään.
Aloitamme pilottiryhmästä ja laajennamme ryhmä kerrallaan. Hätäkäyttäjätilit ja niiden menettely testataan ennen laajennusta.
Arkkitehtuuri, käytäntöjen perustelut ja ohjeet tukitiimille. Käymme mallin läpi yhdessä, jotta se on ylläpidettävissä ilman meitä.
Monivaiheinen tunnistautuminen on menetelmä, jolla käyttäjä todistaa henkilöllisyytensä. Ehdollinen käyttöoikeus on sääntö, joka päättää milloin sitä vaaditaan ja millä ehdoilla kirjautuminen ylipäätään sallitaan. MFA ilman ehdollista käyttöoikeutta on joko liian raskas tai liian löysä. Sääntö tekee siitä tilannekohtaisen.
Menetelmiä, joita ei voi siirtää hyökkääjälle huijaamalla: passkeyt, Windows Hello for Business ja varmennepohjainen tunnistautuminen. Tekstiviesti ja push-hyväksyntä eivät täytä vaatimusta.
Heille käytetään laiteavaimia tai Windows Hello for Businessia. Käymme käyttäjäryhmät läpi etukäteen, jotta jokaiselle on toimiva menetelmä ennen alasajoa.
Palautuminen hoidetaan todennetulla prosessilla ja väliaikaisella käyttöoikeudella. Salasanaan ei palata, eikä tukipalvelu joudu arvailemaan soittajan henkilöllisyyttä.
Nykyaikaisen tunnistautumisen kanssa kyllä. Vanhat protokollat kartoitetaan erikseen. Osa niistä pitää korvata tai eristää, ennen kuin salasanat voidaan sulkea.
Hyvin toteutettuna ei. Luotetuissa tilanteissa kirjautuminen sujuu kevyemmin ja lisävarmistusta pyydetään vain silloin, kun riski kasvaa.
Hybridiympäristöt ovat arkipäivää. Suunnittelemme mallin, joka toimii sekä pilvessä että paikallisesti.
Ei kerralla, ja harvoin kokonaan. Osa sovelluksista ja protokollista vaatii yhä perinteisen yhteyden. Käytännössä laaja verkkopääsy kavennetaan vaiheittain: ensin ne sovellukset, jotka saadaan identiteettipohjaisen pääsyn taakse, ja loput jäävät VPN:n varaan kunnes ne uudistetaan.
Käydään läpi nykyiset käytännöt ja rakennetaan malli, joka kestää tarkastelun.