Uuden työntekijän ensimmäisen työpäivän ei pitäisi alkaa tunnusten metsästyksellä. Vielä hankalampi tilanne syntyy, kun työsuhde päättyy mutta pääsy sähköpostiin, asiakastietoihin tai pilvipalveluihin jää voimaan. Yrityksen käyttöoikeuksien hallinnan opas auttaa tekemään näistä arjen tilanteista hallittuja: oikea henkilö pääsee tarvitsemiinsa järjestelmiin, oikeaan aikaan ja vain tarvitsemassaan laajuudessa.

Käyttöoikeuksien hallinta ei ole vain IT-osaston tekninen tehtävä. Se vaikuttaa työn sujuvuuteen, tietoturvaan, vastuisiin ja siihen, kuinka nopeasti yritys pystyy reagoimaan henkilöstömuutoksiin. Pienessäkin yrityksessä käytössä voi olla Microsoft 365, Teams, sähköposti, taloushallinto, toiminnanohjaus, asiakkuudenhallinta, verkkolevyt, etäyhteydet ja erilaisia laiterekistereitä. Jos kokonaisuudella ei ole omistajaa, oikeuksia kertyy helposti vuosien mittaan ilman, että kukaan enää tietää miksi.

Mitä käyttöoikeuksien hallinta tarkoittaa käytännössä?

Käyttöoikeuksien hallinnalla päätetään, kuka saa käyttää mitäkin järjestelmää, tietoa, laitetta tai palvelua. Samalla määritellään, mitä käyttäjä voi tehdä. Yksi tarvitsee vain lukuoikeuden tarjouskansioon, toinen voi muokata sopimuksia ja kolmas hallinnoi koko ympäristöä.

Hyvin toteutettu hallinta perustuu selkeään periaatteeseen: oikeuksia annetaan työtehtävän perusteella, ei varmuuden vuoksi. Myynnin henkilöllä ei yleensä ole tarvetta nähdä palkanlaskennan aineistoa, eikä ulkopuolinen asentaja tarvitse pysyvää pääkäyttäjätunnusta. Rajaus vähentää vahinkojen, tietovuotojen ja väärinkäytösten riskiä. Se myös helpottaa selvitystyötä, jos jotain poikkeavaa tapahtuu.

Kyse on samalla palvelun jatkuvuudesta. Kun käyttöoikeudet ovat dokumentoituja ja roolitettuja, poissaolo, sijaisuus tai henkilövaihdos ei pysäytä työtä. Tieto ei jää yhden ihmisen henkilökohtaisen tunnuksen, sähköpostilaatikon tai muistilapun varaan.

Yrityksen käyttöoikeuksien hallinnan opas alkaa kartoituksesta

Ennen uusien sääntöjen tai työkalujen käyttöönottoa on tiedettävä, mitä yrityksessä jo on. Kartoituksessa käydään läpi keskeiset järjestelmät, niiden pääkäyttäjät, käyttäjäryhmät ja kirjautumistavat. Erityistä huomiota kannattaa kiinnittää palveluihin, joissa käsitellään henkilötietoja, taloustietoja, asiakasrekistereitä tai yrityksen luottamuksellista aineistoa.

Pelkkä käyttäjälista ei aina riitä. On selvitettävä myös jaetut postilaatikot, yhteiskäyttöiset kansiot, ulkoisille yhteistyökumppaneille annetut oikeudet, palvelutilit sekä hallintatunnukset. Moni ongelma löytyy juuri näistä: vanha konsulttitunnus on edelleen aktiivinen tai yhteisen sähköpostin salasana on liian monen tiedossa.

Kartoituksesta kannattaa tehdä käytännöllinen rekisteri. Siinä näkyvät järjestelmä, järjestelmän vastuuhenkilö, käyttäjäryhmät, pääkäyttäjät, hyväksyjä ja tarkistusväli. Tarkoitus ei ole rakentaa raskasta hallintoa, vaan varmistaa, että joku tietää, miten kriittisiä palveluita hallitaan myös kiireessä.

Erota käyttäjäroolit toisistaan

Useimmiten käyttöoikeuksia on helpoin hallita roolien avulla. Sen sijaan, että jokaiselle työntekijälle annetaan oikeudet yksitellen, määritellään esimerkiksi myynnin, hallinnon, tuotannon ja esihenkilöiden roolit. Uusi työntekijä liitetään omaan rooliinsa, jolloin hän saa työn kannalta tarpeelliset perusoikeudet hallitusti.

Roolit eivät kuitenkaan saa olla liian laajoja. Jos kaikki toimistotyöntekijät kuuluvat samaan ryhmään, ryhmälle voidaan vahingossa antaa pääsy aineistoihin, joita vain osan pitäisi käsitellä. Parempi ratkaisu on aloittaa rajatuista perusoikeuksista ja lisätä poikkeukset hyväksytyn tarpeen perusteella.

Pääkäyttäjäoikeudet vaativat oman käsittelynsä. Päivittäiseen sähköpostiin, verkkoselailuun ja toimistotyöhön ei pidä käyttää tunnusta, jolla voidaan muuttaa koko ympäristön asetuksia. Erillinen hallintatunnus pienentää riskiä, jos tavallinen käyttäjätili joutuu tietojenkalastelun kohteeksi.

Kolme tilannetta, joissa prosessi punnitaan

Käyttöoikeuksien hallinta onnistuu, kun se toimii erityisesti henkilöstön elinkaaren käännekohdissa. Näissä tilanteissa vastuunjaon pitää olla selkeä HR:n, esihenkilön, taloushallinnon ja IT-kumppanin välillä.

Aloitus. Esihenkilö ilmoittaa uuden henkilön työtehtävän, aloituspäivän ja tarvittavat järjestelmät riittävän ajoissa. IT toteuttaa tunnuksen, laitteen, lisenssit ja sovitut käyttöoikeudet. Ensimmäisenä päivänä työntekijällä on toimiva tietokone, monivaiheinen tunnistautuminen käytössä ja pääsy vain niihin palveluihin, joita hän tarvitsee.

Tehtävänmuutos. Vastuut muuttuvat usein nopeammin kuin järjestelmien oikeudet. Kun henkilö siirtyy esimerkiksi myynnistä esihenkilöksi tai projektista toiseen, vanhat oikeudet pitää arvioida samalla kun uusia lisätään. Muuten yritykseen jää tarpeettomia pääsyjä, joita kukaan ei aktiivisesti seuraa.

Lähtö. Työsuhteen päättymisessä nopeus on olennaista. Käyttäjätili, etäyhteydet, pilvipalvelut ja yrityslaitteet pitää ottaa hallintaan sovittuna ajankohtana. Samalla on varmistettava työn jatkuvuus: tarvittavat sähköpostit, asiakirjat ja asiakastiedot siirtyvät yrityksen hallintaan, eivätkä jää henkilökohtaisen tilin taakse.

Suojaa kirjautuminen, älä vain salasanaa

Hyvät käyttöoikeudet eivät auta, jos tunnus päätyy vääriin käsiin. Salasana on edelleen tarpeellinen, mutta yksinään se ei riitä suojaamaan yrityksen keskeisiä palveluita. Monivaiheinen tunnistautuminen tuo kirjautumiseen toisen varmistuksen, kuten hyväksynnän puhelinsovelluksella. Se on erityisen tärkeä sähköpostissa, Microsoft 365- ja Azure-ympäristöissä, etäyhteyksissä sekä hallintatunnuksissa.

Myös laitteen hallinta kuuluu kokonaisuuteen. Jos yrityksen sähköpostia ja tiedostoja käytetään puhelimella, tabletilla tai kannettavalla, laitteen suojaus, päivitykset ja katoamistilanteen toimenpiteet on määriteltävä. Kaikkia henkilökohtaisia laitteita ei välttämättä tarvitse kieltää, mutta niiden käyttöön tarvitaan selkeät ehdot. Ratkaisu riippuu toimialasta, käsiteltävän tiedon herkkyydestä ja yrityksen omista työskentelytavoista.

Jaettuja tunnuksia kannattaa välttää aina, kun se on mahdollista. Kun useampi henkilö käyttää samaa käyttäjätunnusta, ei voida luotettavasti todentaa, kuka teki muutoksen, käsitteli tietoa tai kirjautui palveluun. Jos yhteiskäyttö on pakollista esimerkiksi tuotantolaitteessa, vastuuhenkilöt, salasanan vaihto ja käyttötilanteet on sovittava tarkasti.

Tarkista oikeudet säännöllisesti

Käyttöoikeuksien hallinta ei valmistu yhdellä projektilla. Yrityksen järjestelmät, työntekijät ja yhteistyökumppanit muuttuvat jatkuvasti. Siksi keskeiset oikeudet on tarkistettava määräajoin. Monessa pk-yrityksessä toimiva käytäntö on käydä kriittiset järjestelmät läpi vähintään kaksi kertaa vuodessa sekä aina merkittävien henkilöstö- tai järjestelmämuutosten yhteydessä.

Tarkistuksessa ei tarvitse käydä läpi jokaista vähäistä käyttöoikeutta samalla tarkkuudella. Aloita palveluista, joiden kautta pääsee sähköpostiin, asiakas- ja taloustietoihin, pilvitallennukseen, etäverkkoon ja hallinta-asetuksiin. Kysy jokaisen käyttäjän kohdalla kolme asiaa: tarvitseeko hän oikeuden edelleen, onko oikeuden taso sopiva ja onko käyttö perusteltu työtehtävällä?

Havaituista poikkeamista kannattaa tehdä toimenpiteet heti. Vanha tunnus, tarpeeton lisenssi tai liian laaja ryhmäjäsenyys ei yleensä korjaannu itsestään. Samalla syntyy kustannussäästöjä, kun käyttämättömät lisenssit ja palvelut tunnistetaan.

Dokumentointi tekee tuesta nopeampaa

Kun käyttöoikeusasia tulee eteen kiireessä, epäselvä dokumentointi maksaa aikaa. Kuka saa hyväksyä uuden pääsyn? Kuka omistaa järjestelmän? Miten toimitaan, jos yrityksen ainoa pääkäyttäjä on lomalla? Vastaukset kannattaa sopia etukäteen.

Dokumentoinnin ei tarvitse olla monimutkainen käsikirja. Olennaista on, että yhteystiedot, hyväksyntäkäytäntö, pääjärjestelmien vastuuhenkilöt, palautusmenettelyt ja poikkeustilanteiden toimintaohjeet löytyvät yhdestä hallitusta paikasta. Tietoa pitää ylläpitää niin, että se on käytettävissä myös silloin, kun yksittäinen avainhenkilö ei ole tavoitettavissa.

Ulkoistettu IT-kumppani voi ottaa käytännön hallinnan vastuulleen, mutta liiketoiminnan päätösvalta säilyy yrityksellä. Kumppani toteuttaa sovitut muutokset, valvoo ympäristöä ja neuvoo asetuksissa. Yritys puolestaan nimeää henkilöt, jotka hyväksyvät oikeudet ja tuntevat työtehtävien todelliset tarpeet. Selkeä työnjako ehkäisee sekä turhia viiveitä että liian avointa pääsynhallintaa.

Karjalan Datahuollossa käyttöoikeuksien hallinta voidaan kytkeä samaan kokonaisuuteen laitteiden, Microsoft 365- ja Azure-asetusten, tietoturvan sekä etätuen kanssa. Kun yksi vastuullinen taho tuntee ympäristön, muutokset voidaan tehdä johdonmukaisesti eikä ongelmaa tarvitse siirtää palveluntarjoajalta toiselle.

Hyvä käytäntö näkyy lopulta hiljaisena arjen varmuutena: uusi työntekijä pääsee töihin ajallaan, lähteneen henkilön tunnukset eivät jää auki ja yrityksen tiedot pysyvät niiden käsissä, joille ne kuuluvat.