elokuu, 2010, artikkelit

Julkishallinnon federoinnin Virtu-speksi on ollut nyt olemassa vajaan vuoden. Suurta innokkuutta Virtun käyttöönottoon ei ole tullut valtiohallinnon organisaatioiden parissa. Miksi näin?

Virtu-speksi on derivoitu yliopistojen käyttämästä Haka-speksistä. Julkishallinnon toimintaympäristö on kuitenkin kovin erilainen kuin yliopistojen välinen avoin yhteistyö. Haka:ssa kaikki käyttäjästä tarvittavat tiedot (= attribuutit) ovat mukana federointiviestissä ja järjestelmät poimivat siitä tiedot tarpeen mukaan käyttöönsä. Businessmaailmassa, jossa julkishallintokin käytännössä elää, asia on kuitenkin kovin erilainen. Iso osa sovellutuksista, joiden käyttöä juuri Virtu helpottaisi, pyörii kolmansien osapuolien ylläpitäminä tai omistamina. Ja usein näille kolmansille osapuolille on tarpeen tietää tarkka käyttäjämäärä esim. laskutusperusteeksi. Lisäksi osalla sovellutuksista on pitkä historia ja sovellus on pultattu kiinni käyttäjädataan niin tiivisti, ettei sitä pystytä purkamaan. Näissä tapauksissa käyttäjädata siis pyörii sovellutuksessa ja sitä ei voida federoida “lennossa” sovellukseen. Tällaisille sovelluksille federointi on vain puolet ratkaisusta ja käytännössä täyttää vain SSO:n vaatimukset. Käyttäjähallinnan haasteet jäävät kuitenkin jäljelle. Tällaisia ovat esimerkiksi käyttäjätilien perustaminen sovellukseen (provisioiminen) ja niiden poistaminen (deprovisiointi) ja nämä ovat usein vähintäänkin yhtä iso ongelma automatisoida kuin itse federoinnin toteutus.

Virtuun liittymisen vaatimuksiin on listattu myös valtiohallinnon tietoturvatasojen mukaiset auditoinnit. Auditointi on varsin raskas prosessi ja mielestäni jokseenkin turha vaihe pakottaa tehtäväksi tässä yhteydessä. Olisi hyvä, että auditointiin kannustettaisiin organisaatioiden oman parhaan vuoksi, eikä sitä asetettaisi rasitteeksi uusien tekniikoiden käyttöönotolle. Lisäksi sovellusten vaatimat tietoturvatasot tulisi olla määriteltyinä ennen kuin vaaditaan IdP-järjestelmille jotain tiettyä tasoa, muuten tietoturvatasot menettävät merkitystään.

Yleisesti on suositeltava, että julkishallinnon organisaatioiden olisi hyvä omistaa oma IdP tai sitten olla mukana jossakin yhteisessä IdP:ssä. IdP:n hankinta ei nykypäivänä ole ongelma, tarjontaa löytyy niin Open Source kuin kaupalliseltakin puolelta ja myös Virtuun erikoistuneita konsulttitaloja löytyy. IdP:n voi myös hankkia SaaS-palveluna, jolloin oma investointikin on minimaalinen. Viralliseen Virtuun liittyminenkään ei aina ole pakollista (tietoturva-auditoinnit) vaan tarvittaessa IdP – SP tahojen välillä voidaan tehdä kahden väliset sopimukset vaikkakin itse federointiviesti olisi Virtun mukainen. Tällöin organisaatio voisi joustavasti liittyä Virtuun suorittamalla tietoturvatasojen mukaisen auditoinnin, infra kuitenkin olisi jo yhteensopiva siihen. Jos organisaatiolla ei kuitenkaan ole perus IAM-infra kunnossa, niin IdP:n täysimittainen käyttäminen voi olla vaikeaa.

Suurimpana ongelmana näen käyttäjätietojen hallinnan (provisiointi ja deprovisiointi). Niin kauan kuin tähän problematiikkaan ei tule malliratkaisuja, joita julkishallinnon piirissä käytettäisiin, federoinnin leviäminen on hidasta ja siitä ei saada täyttä hyötyä irti. Myös tietoturva-aspektista tilanne on haastava niin kauan kun esim. deprovisioinnin laadusta ei voida mennä varmuuteen. Tätä problematiikkaa käsittelee mm. Gartnerin raportti “The Emerging Architecture of Identity Management“.

Kun miettii tarkemmin yllämainittuja seikkoja ja myöntää sen faktan, että federoinnista on turhalla jargonilla tehty hyvin monimutkainen asia ymmärtää, niin Virtun käyttöönoton innostuksen puutetta on helppo ymmärtää.

Nyt kun kesälomat alkavat olla pikkuhiljaa ohi, on hyvä hetki pysähtyä miettimään kesän tuomia haasteita.

Perinteisesti tietoturvanäkökohdista nostetaan esiin tiedon hakeminen ja yrityksen resursseihin muodostetut yhteydet ei-luotetuista lähteistä. Yrityksen työntekijöistä seikkailija-Pete, jonka kesäloman kohokohta on nettiin pääseminen Bagdadin Bunker Bar:in julkiselta koneelta, nostetaan esiin, ja ratkaisuna yrityksen access management -laitteistoista käännetään tietoturvanupit kaakkoon. Tällä saadaan luonnollisesti ratkottua kiusallinen ongelma, jossa yrityksen resursseja käsitellään epämääräisellä kioski-linux/windows -koneella. Mielestäni tämän ongelman ratkomisesta on puhuttu tarpeeksi, ja suurimmasta osasta tietoturvalaitteiden powerpoint-suosta löytyy joku ehdoitelma tai ratkaisu ongelmaan.

Tässä blogikirjoituksessa onkin tarkoitus puuttua mielestäni paljon kiinnostavampaa ongelmaan. Nimittäin oikeuksien myöntämiseen ja hallinnointiin lomien aikana. Governance -mallissa oikeuksien myöntäminen voidaan yksinkertaistaa oikeuksien hallintaan ja oikeuksien hallinan seuraamiseen.
Otetaan leikkisä esimerkki, jossa edellä mainittu Pete toimii osa-aikaisena työntekijänä koulun ohella, ja joka talvella on puuhastellut projekti A:n parissa. Kesällä, projekti A:n pysähtyessä, halutaan Peten luova panos siirtää projekti B:n käyttöön. Kiusallisesti projekti B:n oikeuksien myöntäminen tapahtuu projekti B:n esimiehen toimesta, joka istuskelee mökillään, josta myrsky on katkonut sähköt ja kalja lämpenee kaapissa. Petelle oikeuksien saaminen vaatisi kaksi erillistä vaihetta. Lomien alkaessa voidaan delegoida oikeus antaa oikeuksia projektin resursseihin, ja myönnetyistä oikeuksista pitää jäädä selvä ja näkyvä audit trail jota voidaan myöhemmin seurata ja varmistaa että oikeuksien antamisessa käytettiin valmista myöntämismallia. Tähän löytyy runsaasti ratkaisuita, mutta helppona esimerkkinä voidaan mainita Microsoft Forefront Identity Managerin ryhmienhallintatyökalut. Valmiiksi kuvatut prosessit ja integroidut hallintatyökalut mahdollistavat joustavan ja seurattavan vastuuiden siirron ja auttavat yritystä säilyttämään ketteryytensä ilman heikkenevää tietoturvaa.

Kevään hiihtolomat ovat jo kulman takana, joten ei muuta kuin suunnittelemaan.