Moduuli 7 · 7.1
Käyttöoikeudet ja minimaalinen hallinta
Moduuli 7: Käyttöoikeudet, toimittajat ja pilvi · Lukuaika: 10 minuuttia
Tavoite: Tämän oppitunnin jälkeen osaat järjestää käyttöoikeudet "mahdollisimman vähän" -periaatteella: jokaisella oma tunnus, ylläpito-oikeudet erikseen, ulkopuolisille tilapäiset ja rajatut oikeudet, sekä vakiotoimintatapa sille, kun joku aloittaa, vaihtaa tehtävää tai lähtee.
Keskeiset käsitteet: least privilege (minimaaliset käyttöoikeudet), henkilökohtainen tunnus, jaettu tunnus, ylläpitäjätunnus, tehtävien eriyttäminen, aloitus, siirtymä ja lähtö, käyttöoikeuskatsaus
Periaate: mahdollisimman vähän
Least privilege (suomeksi: minimaaliset käyttöoikeudet) tarkoittaa, että jokainen saa täsmälleen sen pääsyn, jota hänen työnsä vaatii, eikä enempää. NIST kuvaa sen periaatteeksi, jossa käyttäjillä on vain ne oikeudet, jotka ovat vähimmäisvaatimus heidän tehtäviensä hoitamiseen.
Miksi tämä on tärkeää? Koska mikä tahansa tunnus voidaan ennemmin tai myöhemmin kaapata: tietojenkalastelulla (moduuli 3), vuotaneella salasanalla (oppitunti 1.4) tai saastuneella kannettavalla. Se, mitä hyökkääjä sen jälkeen voi tehdä, riippuu täysin kyseisen tunnuksen käyttöoikeuksista. Harjoittelijan tunnus, joka hoitaa vain some-kanavia, antaa vähän valtaa. "Mukavuuden vuoksi" kaikkialla ylläpitäjänä olevan henkilön tunnus antaa kaiken: sähköpostin, maksut, verkkosivuston, varmuuskopiot.
Minimaaliset käyttöoikeudet eivät siis pienennä murron todennäköisyyttä, mutta ne pienentävät vahinkoa. Sama ajatus pätee kiinteistön avaimiin: siivoojalla on avain pääovelle, ei kassakaappiin.
Jokaiselle oma tunnus
Jaettu tunnus on tunnus, johon useampi henkilö kirjautuu samalla salasanalla: "käytämme kaikki tunnusta info@example.com kirjautuaksemme kirjanpito-ohjelmaan". Se tuntuu käytännölliseltä, mutta siinä on neljä suurta haittaa:
- Et tiedä, kuka teki mitä. Lokissa näkyy vain "info". Jos maksua on muutettu, et pysty selvittämään kuka sen teki.
- Et voi sulkea yhden henkilön pääsyä erikseen. Kun joku lähtee, salasana pitää vaihtaa kaikille, eikä näin käytännössä usein tapahdu.
- Kaksivaiheinen tunnistautuminen toimii huonosti. Koodi tulee yhteen puhelimeen, jolloin 2FA kytketään pois tai koodi lähetetään eteenpäin kaikille.
- Salasana kiertää WhatsAppissa, lapuilla ja sähköpostitse, eikä ole enää salainen.
Henkilökohtainen tunnus ratkaisee kaiken tämän: oma kirjautuminen, oma 2FA, oma loki, suljettavissa erikseen. Lähes jokainen yrityskäyttöön tarkoitettu palvelu tukee useita käyttäjiä omilla oikeuksillaan. Jaettu sähköpostiosoite kuten info@ voi edelleen olla olemassa osoitteena; anna sitä lukeville henkilöille pääsy sen kautta omalla tunnuksellaan, jos sähköpostijärjestelmäsi tukee sitä.
Ylläpito-oikeudet erikseen
Ylläpitäjätunnus pystyy luomaan käyttäjiä, muuttamaan oikeuksia, muuttamaan asetuksia ja usein myös poistamaan tietoja. Juuri siksi sitä käytetään mahdollisimman vähän.
- Työskentele päivittäin tavallisella tunnuksella ja kirjaudu ylläpitäjänä vain silloin, kun sinun pitää hallinnoida jotain. Tämä koskee myös kannettavaasi (oppitunti 5.2).
- Varmista, että tärkeimmillä palveluilla on vähintään kaksi ylläpito-oikeuksin varustettua henkilöä, tai hyvin säilytetty hätätunnus. Jos ainoa ylläpitäjä on sairas tai poissa, jäät jumiin.
- Mutta myös ei enempää kuin on tarpeen. Viisi ylläpitäjää kahdeksan hengen yrityksessä on neljä liikaa.
- Ota kaksivaiheinen tunnistautuminen käyttöön jokaisessa ylläpitäjätunnuksessa, mieluiten tietojenkalastelua kestävässä muodossa (oppitunti 2.4).
Tehtävien eriyttäminen menee vielä askeleen pidemmälle: yksi henkilö ei saa yksin tehdä arkaluonteista toimintoa alusta loppuun. Tunnetuin esimerkki nähtiin oppitunnilla 1.2: se, joka syöttää toimittajan uuden IBAN-tilinumeron, ei myös itse hyväksy maksua. Pienessä yrityksessä tämä voi olla yksinkertaista: toinen valmistelee maksun, toinen hyväksyy sen pankkisovelluksessa.
Ulkopuoliset tahot: tilapäisesti ja rajatusti
Verkkosivuston rakentajat, kirjanpitäjät, IT-yritykset ja freelancerit tarvitsevat usein pääsyn. Klassinen virhe on antaa heille oma salasanasi. Tällöin he pystyvät tekemään kaiken, mitä sinäkin pystyt, ja myöhemmin et enää tiedä, kuka voi vielä päästä sisään.
Parempi tapa:
- Anna oma tunnus, jossa on vain tarvittavat oikeudet. Kirjanpitäjälle riittää laskut; verkkosivuston rakentajalle yhden sivuston tiedostot.
- Anna pääsy päättymispäivällä, jos kyseessä on kertaluonteinen projekti. Moni järjestelmä voi antaa tunnuksen tai avaimen vanhentua automaattisesti.
- Rajoita mahdollisuuksien mukaan mistä verkosta joku saa kirjautua sisään.
- Kirjaa ylös, kenellä on mikäkin ulkopuolinen pääsy, ja miksi.
Aloitus, siirtymä ja lähtö
Käyttöoikeudet kasvavat itsestään. Joku aloittaa myynnissä, auttaa muutaman kuukauden hallinnossa ja siirtyy sitten tuotantoon. Jos kukaan ei seuraa tilannetta, hänellä on kahden vuoden kuluttua kaikkien kolmen tehtävän oikeudet. Siksi käyttöoikeuksia järjestetään kolmessa vaiheessa:
| Vaihe | Mitä teet |
|---|---|
| Aloitus (uusi työntekijä) | Luo omat tunnukset tehtävän mukaisin oikeuksin, ota 2FA heti käyttöön, selitä missä mikäkin asia sijaitsee |
| Siirtymä (uusi tehtävä) | Uudet oikeudet lisätään ja vanhat oikeudet poistetaan |
| Lähtö (työsuhteen päättyminen) | Viimeisenä työpäivänä tunnukset poistetaan käytöstä, istunnot laitteilla perutaan, jaetut salasanat vaihdetaan, tiedostot siirretään |
Lähdön yhteydessä järjestys on tärkeä. Ensin siirrä, sitten poista käytöstä, vasta myöhemmin poista kokonaan. Jos poistat tunnuksen heti, monessa palvelussa myös kyseisen henkilön tiedostot, kalenterit ja sähköposti katoavat mukana. Joissakin pilvipalveluissa tämä on lyhyen ajan kuluttua lopullista: Microsoft 365 säilyttää poistetun käyttäjän OneDriven oman dokumentaationsa mukaan oletuksena 30 päivää. Käytöstä poistaminen säilyttää tiedot ja sulkee pääsyn.
Muista lähdön yhteydessä myös: henkilön asettamat edelleenlähetyssäännöt (oppitunti 2.5), sovelluskohtaiset salasanat, pääsy pankkisovellukseen, sosiaaliseen mediaan ja verkkotunnuksesi rekisterinpitäjään, sekä kiinteistön avaimet tai kulkukortit.
Käyttöoikeuskatsaus
Käyttöoikeuskatsaus on yksinkertainen taulukko: kullekin palvelulle kuka pääsee käsiksi, millä oikeuksilla, ja onko kyseessä oma vai ulkoinen tunnus. Käy tämä lista läpi vähintään kaksi kertaa vuodessa, ja aina jonkun lähdön jälkeen. Jokaisen rivin kohdalla kysy yksi kysymys: tarvitseeko tämä henkilö tätä vielä tänään?
Käytännössä: näin se näyttää
Oma WebOké -esimerkkiympäristössä kutsut kollegan, kirjanpitäjän tai verkkosivuston rakentajan käyttäjäksi. Hän kirjautuu sisään omilla tiedoillaan, ja sinä valitset käyttöoikeudet oikeuksittain, esimerkiksi vain Laskut kirjanpitäjälle. Vain tunnuksen omistaja voi kutsua käyttäjiä ja muuttaa oikeuksia, ja yhdellä napin painalluksella voit perua pääsyn. DirectAdminissa voit antaa verkkosivuston rakentajalle oman FTP-tunnuksen yhteen kansioon, tai kirjautumisavaimen, jolla on vanhentumispäivä, rajatut komennot ja käyttö vain tietyistä IP-osoitteista.
Nextcloudissa valitset lähtevän kollegan kohdalla ensin Disable: hän ei enää pääse kirjautumaan sisään, mutta tiedostot säilyvät. Ohjeet ovat selkeät: poista käyttäjä vasta kun kaikki on siirretty, sillä poistettu käyttäjä katoaa lopullisesti kaikkine tiedostoineen. Muissa järjestelmissä tämä toimii vastaavalla tavalla, mutta nimet ja määräajat vaihtelevat; tarkista asia etukäteen ennen kuin joku lähtee.
Yhteenveto
- Minimaaliset käyttöoikeudet rajoittavat vahinkoa, jos tunnus kaapataan.
- Jokaiselle oma tunnus: silloin tiedät kuka teki mitä ja voit sulkea yhden henkilön pääsyn erikseen.
- Ylläpito-oikeuksia käytetään vain tarvittaessa, pienelle joukolle ihmisiä, vahvalla 2FA:lla.
- Ulkopuoliset tahot saavat oman, rajatun ja mahdollisuuksien mukaan tilapäisen tunnuksen, ei koskaan omaa salasanaasi.
- Järjestä käyttöoikeudet aloituksessa, siirtymässä ja lähdössä; lähdön yhteydessä: siirrä, poista käytöstä, poista myöhemmin kokonaan.
Tietovisa
Tehtävä
Tehtävä A7.1: Kuka saa minkälaisen käyttöoikeuden? Saat sarjan tilanteita pienestä yrityksestä (uusi kirjanpitäjä, verkkosivuston rakentaja projektia varten, lähtevä kollega, harjoittelija). Valitse kussakin tilanteessa paras tapa antaa tai sulkea pääsy. Ohjelma tarkistaa valintasi ja selittää miksi.
Tehtävä D7.1: Käyttöoikeuskatsauksesi. Tee käyttöoikeuskatsaus viidestä tärkeimmästä palvelustasi: kuka pääsee käsiksi, millä oikeuksilla, oma vai jaettu tunnus, sisäinen vai ulkoinen. Poista vähintään yksi tarpeeton oikeus tai jaettu tunnus, ja kirjoita lähtölistasi seuraavaa kertaa varten, kun joku lähtee.
Tehtävä D7.1: Käyttöoikeuskatsauksesi
Näin toimit: (1) Valitse viisi tärkeintä palveluasi (esimerkiksi sähköposti, kirjanpito, pankki, hallintapaneeli, pilvitallennus, verkkotunnuksesi rekisteröijä). (2) Tee jokaisesta palvelusta katsaus: kenellä on käyttöoikeus (rooli, nimiä ei tarvita), mitkä oikeudet, oma vai jaettu tili, sisäinen vai ulkoinen, kaksivaiheinen tunnistautuminen päällä, viimeisimmän kirjautumisen päivämäärä, jos palvelu näyttää sen. (3) Etsi jokaisesta palvelusta käyttäjälista ja vertaa sitä katsaukseesi. Kirjaa erot ylös. (4) Poista vähintään yksi tarpeeton oikeus, vanha tili tai jaettu tili, tai korvaa jaettu tili henkilökohtaisilla tileillä. (5) Tarkista jokaisesta palvelusta, kuinka monta pääkäyttäjää siinä on; tavoittele kahta. (6) Kirjoita poistumislista: mitä teet jonkun viimeisenä työpäivänä (tilien sulkeminen, istuntojen mitätöinti, edelleenlähetyssääntöjen ja sovelluskohtaisten salasanojen tarkistus, jaettujen salasanojen vaihto, tiedostojen siirto, pankki, somet, verkkotunnuksen rekisteröijä, avaimet ja kulkukortit). (7) Merkitse kalenteriin toistuva muistutus (kahdesti vuodessa) katsauksen läpikäymiseksi.
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
WebOké-artikkeleiden vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.
- WebOké-käyttöopas 11.3: Käyttäjien kutsuminen ja käyttöoikeuksien antaminen
- Nextcloud-opas 14.2: Käyttäjien luominen, muokkaaminen, poistaminen käytöstä ja poistaminen
- Nextcloud-opas 14.7: Käyttöoikeudet: kuka hallinnoi mitä Nextcloudissasi?
- Nextcloud-opas 16.7: Työkaveri lähtee: tiedostojen, kalenterin ja jaettujen kansioiden siirto turvallisesti
- DirectAdmin-ohje 3.5: Login Keys: kirjautuminen skripteille ja ohjelmille
- DirectAdmin-ohje 11.6: FTP-tilien luominen ja hallinta
- NIST, Glossary: least privilege (englanniksi): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (englanniksi): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion