Maanantaiaamuna taloushallinnon uusi työntekijä yrittää avata sopimuskansiota, mutta ruudulle tulee ilmoitus: käyttö estetty. Samassa kansiossa on laskujen hyväksyntään tarvittavat tiedot, joten työ pysähtyy heti. Seuraava esimerkki käyttöoikeusvirheen ratkaisemisesta yrityksessä näyttää, miten tilanne kannattaa selvittää ilman hätiköityjä, tietoturvaa heikentäviä ratkaisuja.

Käyttöoikeusvirhe ei yleensä ole vain yksittäisen käyttäjän ongelma. Se voi viivästyttää laskutusta, estää projektin etenemisen tai pakottaa henkilöstön lähettämään asiakirjoja sähköpostilla tavalla, jota ei ole tarkoitettu normaaliksi toimintamalliksi. Siksi ratkaisu ei ole pelkkä oikeuden lisääminen. Ensin pitää varmistaa, mitä käyttäjän kuuluu tehdä, missä järjestelmässä ongelma ilmenee ja mistä oikeus kyseiseen kohteeseen todella muodostuu.

Miltä käyttöoikeusvirhe näyttää käyttäjän arjessa?

Virheilmoitus voi olla suora, kuten “Access denied” tai “Sinulla ei ole oikeutta tähän resurssiin”. Toisinaan oire on epäselvempi: kansio näkyy, mutta tiedostoa ei voi muokata; verkkolevy yhdistyy, mutta vain osa alikansioista aukeaa; kirjautuminen onnistuu, mutta pilvipalvelu pyytää jatkuvasti lisävahvistusta.

Sama oire voi syntyä useasta syystä. Käyttäjä voi puuttua oikeasta ryhmästä, kansiolla voi olla muista poikkeavat käyttöoikeudet tai käyttäjän lisenssi voi olla väärä. Myös monivaiheinen tunnistautuminen, laitteen hallintavaatimus tai ehdollinen käyttöoikeuskäytäntö voivat rajata pääsyn. Tämän vuoksi tukipyyntöä ei kannata ratkaista arvaamalla.

Hyvä lähtötieto on aina käyttäjän oma kuvaus: mitä hän yritti tehdä, missä palvelussa, millä laitteella ja milloin ongelma alkoi. Jos mahdollista, virheilmoitus kannattaa tallentaa kuvakaappauksena. Sen perusteella tekninen tuki pääsee usein nopeasti erottamaan, onko kyse kirjautumisesta, oikeuksista vai esimerkiksi sovelluksen toiminnasta.

Esimerkki käyttöoikeusvirheen ratkaisemisesta yrityksessä

Kuvitellaan tilanne, jossa yritys käyttää Microsoft 365 -ympäristöä ja SharePointissa sijaitsevaa sopimusarkistoa. Uusi taloushallinnon asiantuntija tarvitsee oikeuden tarkastella ja päivittää toimittajasopimuksia. Hän näkee sivuston, mutta Sopimukset-kirjasto ei avaudu. Hänelle ilmoitetaan, ettei käyttöoikeutta ole.

Tilanne voi tuntua pieneltä, mutta sopimusarkisto sisältää usein luottamuksellista tietoa. Tämän vuoksi työntekijälle ei pidä antaa koko sivuston omistajan oikeuksia vain siksi, että yksi kirjasto saadaan nopeasti auki. Oikea ratkaisu antaa käyttäjälle tehtävän edellyttämän pääsyn ja säilyttää muun aineiston rajaukset ennallaan.

Ensin rajataan ongelman laajuus

Tuki tarkistaa, pystyykö käyttäjä kirjautumaan Microsoft 365 -palveluihin normaalisti ja avautuvatko muut taloushallinnon työtilat. Tässä tapauksessa kirjautuminen toimii, sähköposti avautuu ja käyttäjä pääsee myös SharePoint-sivuston etusivulle. Ongelma koskee vain yhtä kirjastoa.

Tämä havainto rajaa vaihtoehtoja. Kyse ei todennäköisesti ole salasanasta, monivaiheisesta tunnistautumisesta tai yleisestä lisenssivirheestä. Seuraavaksi selvitetään, ovatko kollegat päässeet samaan kirjastoon ja tarvitseeko käyttäjä siellä luku- vai muokkausoikeuden. Talouspäällikkö vahvistaa, että työntekijän tehtävään kuuluu sopimusten päivittäminen, joten pelkkä lukuoikeus ei riitä.

Selvitetään, mistä oikeus muodostuu

Yrityksen käyttöoikeudet kannattaa rakentaa ryhmien kautta. Käytännössä tämä tarkoittaa, että esimerkiksi taloushallinnon hyväksyjillä, kirjanpidolla ja sopimusten käsittelijöillä on omat selkeät ryhmänsä. Kun työntekijä vaihtaa tehtävää tai poistuu yrityksestä, oikeuksia voidaan hallita yhdestä paikasta.

Tässä tapauksessa käyttäjä on lisätty yleiseen taloushallinnon ryhmään, joka antaa oikeudet useimpiin työtiloihin. Sopimukset-kirjasto on kuitenkin poikkeus. Se on vuosia aiemmin erotettu omiin käyttöoikeuksiinsa, koska siellä käsitellään hinnastoja, irtisanomisehtoja ja henkilötietoja sisältäviä liitteitä. Kirjaston oikeudet eivät periydy sivustolta, vaan niille on asetettu erillinen Sopimusten käsittelijät -ryhmä.

Tarkistuksessa löytyy kaksi asiaa. Ensinnäkin uusi työntekijä puuttuu tästä ryhmästä. Toiseksi ryhmän kuvaus on vanhentunut, eikä siitä käy ilmi, kenelle oikeus kuuluu ja kuka hyväksyy muutokset. Varsinainen käyttöoikeusvirhe ratkeaa lisäämällä käyttäjä oikeaan ryhmään, mutta samalla paljastuu hallinnollinen puute, joka kannattaa korjata pysyvästi.

Korjaus tehdään pienimmällä tarvittavalla oikeudella

Käyttäjälle myönnetään Sopimusten käsittelijät -ryhmän kautta muokkausoikeus kyseiseen kirjastoon. Oikeutta ei anneta suoraan yksittäiselle käyttäjätilille, koska suorat poikkeusoikeudet jäävät helposti elämään henkilöstömuutosten jälkeen. Ryhmän omistajaksi määritetään talouspäällikkö ja varahenkilö, jotka voivat vahvistaa, kenen työtehtävä oikeutta edellyttää.

Muutoksen jälkeen käyttäjä kirjautuu palveluun uudelleen ja testaa käytännön työnkulun: kirjasto avautuu, sopimus löytyy, tiedostoa voi muokata ja uusi versio tallentuu. Testi tehdään käyttäjän omalla tunnuksella, ei ylläpitäjän tunnuksella. Näin varmistetaan, että ratkaisu toimii juuri siinä tilanteessa, jossa ongelma havaittiin.

Lopuksi tukipyyntöön kirjataan syy, tehty muutos ja hyväksyjä. Tämä säästää aikaa seuraavalla kerralla, kun uusi työntekijä aloittaa samassa tehtävässä tai vastaava käyttöoikeus täytyy tarkistaa auditointia varten.

Miksi järjestelmänvalvojan oikeus ei ole ratkaisu?

Kiireessä voi tuntua helpolta antaa käyttäjälle laajat oikeudet ja palata asiaan myöhemmin. Käytännössä “myöhemmin” jää usein tekemättä. Laajat oikeudet voivat avata pääsyn tietoihin, joita työntekijä ei tarvitse, kasvattaa vahingossa tapahtuvien muutosten riskiä ja vaikeuttaa sen selvittämistä, kuka on tehnyt mitäkin.

Vähimmän käyttöoikeuden periaate on käytännöllinen tapa hallita riskiä. Käyttäjälle annetaan juuri ne oikeudet, joita hänen tehtävänsä edellyttää, ei kaikkea mahdollista varmuuden vuoksi. Periaate ei tarkoita työn hidastamista. Kun ryhmät, hyväksynnät ja vastuut ovat kunnossa, oikean käyttöoikeuden lisääminen on usein nopeampi ratkaisu kuin yksittäisten poikkeusten rakentaminen.

On myös tilanteita, joissa ongelma ei ratkea ryhmäjäsenyyttä muuttamalla. Jos käyttäjä esimerkiksi pääsee palveluun työasemaltaan mutta ei hallitsemattomalta kotikoneelta, syynä voi olla tietoturvakäytäntö. Tällöin oikea ratkaisu voi olla yrityksen hallitun laitteen käyttöönotto tai turvallisen etäyhteyden määrittäminen, ei suojauksen ohittaminen.

Näin käyttöoikeusvirheitä ehkäistään arjessa

Yrityksen kannattaa liittää käyttöoikeudet osaksi normaalia henkilöstöprosessia. Kun uusi työntekijä aloittaa, esihenkilö määrittelee tehtävän ja tarvittavat järjestelmät. IT toteuttaa oikeudet ennalta sovittujen ryhmien kautta. Kun tehtävä muuttuu, myös vanhat oikeudet tarkistetaan. Työsuhteen päättyessä pääsyt poistetaan hallitusti.

Erityistä huomiota kannattaa kiinnittää poikkeuksiin. Projektikansiot, arkistot, luottamukselliset henkilöstöaineistot ja taloushallinnon palvelut sisältävät usein erillisiä käyttöoikeuksia. Ne ovat perusteltuja, mutta niiden omistaja ja käyttötarkoitus pitää dokumentoida. Muuten seuraava tukipyyntö alkaa aina selvitystyöllä.

Säännöllinen käyttöoikeuksien läpikäynti on hyödyllinen etenkin kasvavassa yrityksessä. Tarkistuksessa katsotaan, ovatko ryhmien jäsenet edelleen oikeissa tehtävissä, onko omistajia nimetty ja löytyykö vanhoja yksittäisiä poikkeusoikeuksia. Tarkistuksen laajuus riippuu yrityksen koosta, toimialasta ja käsiteltävästä tiedosta. Pienessäkin yrityksessä kriittisimmät järjestelmät on hyvä käydä läpi ainakin henkilöstömuutosten yhteydessä.

Kun laitteet, käyttäjätunnukset, pilvipalvelut ja tuki ovat saman vastuullisen kumppanin hallinnassa, virheen syy löytyy yleensä nopeammin. Karjalan Datahuolto voi selvittää käyttöoikeuden ketjun käyttäjätilistä ryhmiin, Azure- ja Microsoft 365 -asetuksiin sekä työaseman hallintaan asti. Asiakkaan ei tarvitse arvailla, kuuluuko ongelma ohjelmistotoimittajalle, laitehuollolle vai verkkotuelle.

Hyvin hoidettu käyttöoikeus ei näy työntekijälle monimutkaisena teknisenä ratkaisuna. Hän pääsee tekemään työnsä oikeilla välineillä, oikeaan aikaan ja vain niihin tietoihin, joita tehtävä aidosti vaatii. Se on sekä toimivan työarjen että tietoturvan kannalta paras lopputulos.