Tunnista ja hallitse identiteetteihin ja pääsyoikeuksiin liittyviä riskejä

Riskienhallinta IGA:ssa on prosessi, jossa tunnistetaan, arvioidaan ja lievennetään käyttäjien identiteetteihin ja pääsyyn liittyviä riskejä organisaation järjestelmissä. Se varmistaa, että oikeilla henkilöillä on oikea taso pääsyä oikeisiin resursseihin – ei enempää, ei vähempää. Yhdistämällä hallintapolitiikkoja, automaatiota ja analytiikkaa IGA:n riskienhallinta vahvistaa turvallisuustasoa ja vaatimustenmukaisuuden valmiutta samalla vähentäen inhimillisiä virheitä ja sisäisiä uhkia.

Keskeiset ominaisuudet

1. Riskiarvot, priorisointi ja pisteytys: Arvioi käyttäjän ja käyttöoikeuden riski liiketoimintakriittisyyden, roolin arkaluonteisuuden ja käyttäytymiseen perustuvien näkemysten pohjalta.
2. Pääsyriskien tunnistus: Tunnista ja merkitse automaattisesti käyttäjät, joiden riskiarvo on korkea ja/tai kriittinen
3. Pääsyoikeuksien katselmoinnit: Kertaluonteiset ja jatkuvat pääsyoikeuksien katselmoinnit, käyttöoikeuksien sertifioinnit ja jatkuvat vaatimustenmukaisuustarkastukset.
4. Jatkuva seuranta: Seuraa identiteetin elinkaaren muutoksia ja pääsyyn liittyviä poikkeamia hallintapaneelien ja hälytysten avulla.
5. Minimoi riskejä muiden M42 IGA -käyttötapausten avulla kuten SoD (Segregation of Duties eli tehtävien eriyttäminen), automatisoi peruskäyttöoikeudet (birth rights), rooli-, attribuutti- ja organisaatioperusteiset pääsyt, käytä hätälukitusta esimerkiksi vaarantuneille käyttäjätunnuksille pääsyoikeuksiin liittyvien riskien minimoimiseksi. 

Asiakasarvo ja hyödyt

• Parempi tietoturva: Vähentää altistumista sisäisille uhkille ja luvattomalle pääsylle.
• Säädöstenmukaisuus: Yksinkertaistaa auditointeja ja tukee SOX-, GDPR-, HIPAA- ja muiden säädösten noudattamista.
• Toiminnallinen tehokkuus: Automatisoi pääsyriskien tunnistamisen ja korjaamisen, mikä vähentää manuaalisen katselmoinnin työmäärää.
• Liiketoiminnan luottamus: Rakentaa luottamusta siihen, että identiteettien pääsy on linjassa liiketoimintasääntöjen kanssa, minimoiden toiminnallisia ja maineeseen liittyviä riskejä. 

< picture > 

Riskitasot, priorisointi ja pisteytys 

Tehokkaan riskienhallinnan ensimmäinen askel on selkeiden riskitasojen määrittäminen pääsyoikeuksille. M42 IGA -ratkaisu tarjoaa valmiin ja helppokäyttöisen riskipisteytyksen ja priorisoinnin, mukaan lukien ennalta määritellyt riskitasot, riskilaskentasääntöjen asetukset ja automatisoidun identiteettiriskien pisteytyksen. Tämä varmistaa johdonmukaisen ja objektiivisen pääsyyn liittyvien riskien arvioinnin koko organisaatiossa ja mahdollistaa ennakoivat hallintopäätökset.

Riskitason määrittäminen pääsyoikeuksille on yksinkertaista – valitse vain oikea ennalta määritelty riskitaso ja tallenna tiedot (lue lisää kohdasta käyttöoikeuksien hallinta -käyttötapaus), 

1. Matala 
   • Pääsy- tai identiteettitoiminta aiheuttaa organisaatiolle vain vähäisen vaikutuksen. Koskee tyypillisesti ei-arkaluonteisia järjestelmiä, tavanomaisia käyttäjärooleja tai vain luku -oikeuksia. Politiikkarikkomuksia ei havaita, ja pääsy vastaa käyttäjän työtehtävää.
   • Esimerkki: Työntekijän pääsy julkisiin tai matalan arkaluonteisuuden sovelluksiin.
2. Keskitason riski
   • Jonkin verran huolta aiheuttavat korotetut käyttöoikeudet, toimintojen väliset pääsyt tai pienet poikkeukset politiikoista. Voi vaatia katselmointia, mutta ei uhkaa välittömästi turvallisuutta tai vaatimustenmukaisuutta.
   • Esimerkki: Käyttäjä, jolla on rajoitettu kirjoitusoikeus osaston talousjärjestelmään.
3. Korkea riski
   • Merkittävä mahdollinen vaikutus turvallisuuteen, vaatimustenmukaisuuteen tai toimintaan, jos pääsyä käytetään väärin. Voi liittyä etuoikeutettuihin rooleihin, SoD-ristiriitoihin (Segregation of Duties, tehtävien eriyttäminen) tai pääsyyn arkaluonteiseen/luottamukselliseen tietoon. 
   • Esimerkki: IT-pääkäyttäjä, jolla on laaja pääsy sekä tuotanto- että kehitysympäristöihin.
4. Kriittinen riski
   • Pääsy tai toiminta muodostaa organisaatiolle välittömän ja vakavan uhan. Viittaa usein politiikkarikkomuksiin, orpoihin etuoikeutettuihin tileihin tai mahdolliseen tietomurtoon. Vaatii välittömiä korjaavia toimia ja eskalointia turvallisuus- ja vaatimustenmukaisuustiimeille.
   • Esimerkki: Entisen työntekijän tili on yhä aktiivinen ja sillä on pääkäyttäjätason pääsy ydintalousjärjestelmään

Ennen varsinaisten pääsyoikeuksiin liittyvien riskien määrittämistä M42 IGA -ratkaisu tarjoaa valmiin priorisoinnin erityyppisille riskeille. Tämä tarkoittaa, että jos identiteettiin liittyy ja soveltuu useita riskejä, se riski, joka on organisaatiolle suurin uhka, määrittää identiteetin riskiarvon muiden riskien yli. 

1. Kriittinen
   • Korkein kiireellisyys; ylin prioriteetti, välitön toiminta vaaditaan muista sitoumuksista riippumatta.
2. Vakava
   • Kriittinen kiireellisyys; on käsiteltävä välittömästi toiminnallisuuden palauttamiseksi tai vahingon estämiseksi.
3. Erittäin korkea
   • Erittäin korkea – merkittävä kiireellisyys; liiketoimintatavoitteet vaarassa, jos asiaa ei ratkaista nopeasti.
4. Korkea
   • Merkittävä kiireellisyys; vaatii oikea-aikaista huomiota eskaloitumisen välttämiseksi.
5. Keskitaso
   • Havaittava vaikutus; tulisi suunnitella osaksi normaalia työjonoa.
6. Vähäinen
   • Pieni vaikutus; lievä haitta, mutta ei häiritse tavoitteita.
7. Matala
   • Pieni vaikutus; tulisi käsitellä, mutta ei ole aikakriittinen.
8. Erittäin matala
   • Vähäinen kiireellisyys; voidaan aikatauluttaa sopivaan ajankohtaan

Seuraava askel on määritellä organisaatiolle olennaiset erityiset riskit sekä niiden vastaava prioriteetti ja riskitaso. Tämä prosessi muodostaa perustan automatisoidulle identiteettiriskien pisteytykselle IGA-ratkaisussa.

Järjestelmä sisältää joukon ennalta määriteltyjä riskikategorioita, joita voidaan mukauttaa vastaamaan organisaation omaa riskinarviointikehystä. Asiakkaat voivat määrittää arvoja, kuten todennäköisyyden, vaikutuksen ja liiketoimintakriittisyyden, jotta riskipisteytys vastaa tarkasti heidän sisäisiä politiikkojaan ja riskinsietokykyään.

Ennalta määritellyt riskit ovat, 

• Käyttäjä, jolla on vain matalan tason käyttöoikeuksia, riskitaso on xx
  • Riskitaso: Asiakas valitsee ennalta määritellyistä riskitasoista tai määrittää omat riskitasonsa
  • Riskiprioriteetti: Asiakas valitsee ennalta määritellyistä prioriteeteista tai määrittää omat prioriteettinsa
  • Esimerkki: Tälle riskille on annettu prioriteetti 6 - Vähäinen. Jos käyttäjällä on vain matalan tason käyttöoikeuksia, riskitaso on 1 - Matala
• Käyttäjä, jolla on matalan tason käyttöoikeuksia ja alle xx % keskitason käyttöoikeuksia, riskitaso on xx
  • xx % keskitason tyyppisiä käyttöoikeuksia
  • Riskitaso: Asiakas valitsee ennalta määritellyistä riskitasoista tai määrittää omat riskitasonsa
  • Riskiprioriteetti: Asiakas valitsee ennalta määritellyistä prioriteeteista tai määrittää omat prioriteettinsa
  • Esimerkki: Tälle riskille on annettu prioriteetti 5 - Keskitaso. Jos käyttäjällä on matalan tason käyttöoikeuksia ja alle 70,0 % keskitason käyttöoikeuksia, riskiarvo on 2 - Keskitaso
• Käyttäjä, jolla on matalan tason käyttöoikeuksia ja yli xx % keskitason käyttöoikeuksia, riskitaso on xx
  • xx % keskitason tyyppisiä käyttöoikeuksia
  • Riskitaso: Asiakas valitsee ennalta määritellyistä riskitasoista tai määrittää omat riskitasonsa
  • Riskiprioriteetti: Asiakas valitsee ennalta määritellyistä prioriteeteista tai määrittää omat prioriteettinsa
  • Esimerkki: Tälle riskille on annettu prioriteetti 4 - Korkea. Jos käyttäjällä on matalan tason käyttöoikeuksia ja yli 70,0 % keskitason käyttöoikeuksia, riskiarvo on 3 - Korkea
• Käyttäjällä on xx % korkean tason käyttöoikeuksia
  • Riskitaso: Asiakas valitsee ennalta määritellyistä riskitasoista tai määrittää omat riskitasonsa
  • Riskiprioriteetti: Asiakas valitsee ennalta määritellyistä prioriteeteista tai määrittää omat prioriteettinsa
  • Esimerkki: Tälle riskille on annettu prioriteetti 3 - Erittäin korkea. Jos käyttäjällä on 15,0 % korkean tason käyttöoikeuksia, riskitaso on 3 - Korkea
• Käyttäjällä on xx % kriittisen tason käyttöoikeuksia, riskitaso on xx
  • Riskitaso: Asiakas valitsee ennalta määritellyistä riskitasoista tai määrittää omat riskitasonsa
  • Riskiprioriteetti: Asiakas valitsee ennalta määritellyistä prioriteeteista tai määrittää omat prioriteettinsa
  • Esimerkki: Tälle riskille on annettu prioriteetti 2 - Vakava. Jos käyttäjällä on 20,0 % kriittisen tason käyttöoikeuksia, riskitaso on 4 - Kriittinen
• Käyttäjä on hyväksyjä korkean riskin käyttöoikeuksille
  • Riskitaso: Asiakas valitsee ennalta määritellyistä riskitasoista tai määrittää omat riskitasonsa
  • Riskiprioriteetti: Asiakas valitsee ennalta määritellyistä prioriteeteista tai määrittää omat prioriteettinsa
  • Esimerkki: Tälle riskille on annettu prioriteetti 1 - Kriittinen. Jos käyttäjä on hyväksyjä korkean riskin käyttöoikeuksille/liiketoimintarooleille, riskitaso on 4 - Kriittinen

Pääsyriskien tunnistus

IGA:n riskintunnistus tunnistaa pääsyyn ja identiteettiin liittyvät olosuhteet, jotka vaikuttavat yksilön kokonaisriskipisteytykseen. Se arvioi, miten käyttäjän pääsy, käyttäytyminen ja tiliattribuutit vastaavat hallintopolitiikkoja ja liiketoiminnan riskinsietokykyä.

Keskeiset tunnistuksen ulottuvuudet

• Pääsyn arkaluonteisuus: Tunnistaa pääsyn arvokkaisiin tai kriittisiin sovelluksiin ja tietoihin.
• Etuoikeustaso: Tunnistaa käyttäjät, joilla on pääkäyttäjä- tai korotetut oikeudet.
• Tilin tila: Merkitsee orvot, käyttämättömät tai jaetut tilit, jotka lisäävät riskialttiutta.
• Pääsyjen määrä: Tunnistaa käyttäjät, joilla on poikkeuksellisen suuri määrä käyttöoikeuksia tai rooleja.