Ohje: Identiteetin hallinnan tietoturvatasot (LUONNOS) Harmaalla pohjalla oleva teksti on valmisteluvaiheen informatiivistä osuutta ja poistetaan lopullisesta ohjeesta. Tämä dokumentti on ohje identiteetin hallinnan tietoturvatasoista. Organisaation tietojärjestelmien identiteetin hallinta on hallinnon yhteiseksi tunnistettu turvattava kohde (asset). Dokumentti fokusoituu nimenomaan identiteetin hallintaa koskeviin tietoturvatasoihin. Todellisessa ympäristössä tarvitaan myös muita turvallisuuden osa-alueita, kuten fyysistä turvallisuutta, laiteturvallisuutta, ohjelmistoturvallisuutta jne, ja johdonmukaista on, että myös niihin kiinnitetään huomiota. Tätä dokumenttia laadittaessa päädyttiin rajaukseen, jossa muut tietoturvallisuuden osa-alueet rajataan kuitenkin tarkastelusta pois. Kärjistäen tämä tarkoittaa sitä, että organisaatio, jonka identiteetin hallinta täyttää tässä dokumentissa määriteltävän identiteetin hallinnan perusturvatason, on tämän dokumentin vaatimusten mukainen, vaikka identiteetin hallinnan toteuttamiseen käytetyt palvelimet eivät täyttäisi fyysisen turvallisuuden perusteita. Tietoturvatasot-kärkihanke tähtää kuitenkin siihen, että hankkeessa mahdollisesti määriteltävät muiden tietoturvallisuuden osa-alueiden perusturvatasot tehdään asetuksella pakollisiksi julkishallinnossa vuodesta 2011 alkaen. ValtIT:n Virtu-kärkihanke (Virkamiehen tunnistaminen) tulee käyttämään tässä dokumentissa määriteltävää perusturvatasoa vähimmäisvaatimuksena luottamusverkostoon liittyville kotiorganisaatioille. Virtu-luottamusverkostolle määritetään tietoturvatasovaatimukset toiminnan turvaamiseksi. Tarkoituksena on luottamuksen saaminen siten, että jokaisen Virtu-luottamusverkostossa mukana olevan organisaation identiteetin hallinnan prosessi on kuvattu ja sitä toteutetaan yhteismitallisesti. Valmisteluvaiheessa tähän dokumenttiin sisällytetään identiteetin hallinnan perusturvatason (taso 2) lisäksi myös korkeammat turvatasot (3-5) perspektiivin tuomisen vuoksi. Tarkoitus on, että lopuksi dokumentti halkaistaan neljään osaan, yksi kullekin turvatasolle. Alkuvaiheessa päämäärä on tuottaa lähinnä perusturvatasoa koskeva määritys.
Kotiorganisaatiot Identity Provider, IdP Palveluntarjoajat Service Provider, SP esimerkit kuvitteellisia Virasto Särmä Virasto Rima 4 2 SAML IdP SAML IdP Virtu-luottamusverkosto SAML SP SAML SP 2 3 Personec Travel VALDA Virasto Rötvä 1 4 SAML SP 4 VTJ Kotiorganisaatioille määritellään identiteetin hallinnan turvataso Palvelut ovat suojattavia kohteita. Jos palvelun turvataso on 3, on myös palvelun identiteetin hallinnan oltava tasolla 3. Kuva 1. Virtu-luottamusverkoston on tarkoitus tukeutua Identiteetin hallinnan tietoturvatasot ohjeeseen kotiorganisaation identiteetin hallinnan tasomäärityksessä.
Ohjeen soveltamisen kohde Rajaus kohdejärjestelmän mukaan: tämän ohjeen tarkoittama suojattava kohde, jonka identiteetin hallintaa tarkastellaan, voi olla - koko organisaatio, jolloin tarkoitetaan organisaation kaikkien järjestelmien ja palveluiden käyttäjäidentiteettejä - organisaation keskitetty identiteetin hallintajärjestelmä, esimerkiksi metahakemisto, johon useat järjestelmät ja palvelut nojautuvat - yksittäinen tietojärjestelmä, esimerkiksi asianhallintajärjestelmä, jossa käyttäjäidentiteettejä ylläpidetään muista järjestelmistä riippumatta Rajaus henkilöryhmän mukaan: toisaalta tämän ohjeen tarkoittama suojattava kohde voidan rajata koskemaan - kaikkia identiteettejä - tietyn henkilöryhmän identeettejä, esimerkiksi tietynlaisessa palvelussuhteessa tai tietyn organisaatioyksikön palveluksessa työskenteleviä henkilöitä Näin sallitaan se, että organisaatiossa voi olla useita identiteetin hallinnan turvatasoja käyttäjistä ja palveluista riippuen, esimerkiksi - pääosassa organisaation tietojärjestelmiä identiteetinhallinta on tasolla 2, mutta osassa tietojärjestelmistä tasolla 3 - organisaation keskitetyssä identiteetinhallintajärjestelmässä pääosa käyttäjäidentiteeteistä on tasolla 2, mutta esimerkiksi henkilöstö- ja taloushallintoyksikön henkilökunnan identiteetit ovat tasolla 3 - työ- tai virkasuhteessa olevien henkilöiden identiteetin hallinta on tasolla 3, mutta alihankkijoiden tai korkeakouluissa opiskelijoiden identiteetin hallinta on tasolla 2. Keskitetty käyttäjätietokanta Henkilökunnan identiteetit Taso=2 Asianhallintajärjestelmä (jossa riippumaton identiteetinhallinta) Paitsi taloushallinnon henkilökunnan identiteetit Taso=3 Henkilökunnan identiteetit Taso=3
Identiteetin hallinnan tietoturvatasot 1. Identiteettien ja käyttövaltuuksien ylläpito Toiminto Perustaso (2) Korotettu taso (3) Korkea taso (4) Erityistaso (5) 1.1. Uusien käyttäjien perustaminen Prosessi on kuvattu ja vastuutettu ja toiminta organisoitu prosessin mukaiseksi. Ei läpimenoaikavaateita. 1.2. Olemassa olevien käyttäjin attribuuttien muutokset (nimi, email, puhelinnumero ) 1.3. Olemassa olevien käyttäjien käyttövaltuuksien perustamiset ja muutokset (roolit ja muut attribuutit, jotka on valtuuden peruste) 1.4. Käyttäjätunnisten tai käyttövaltuuksien sulkeminen, kun henkilön palvelussuhde tai muu asiallinen yhteys organisaatioon päättyy. Prosessi on kuvattu ja vastuutettu ja toiminta organisoitu prosessin mukaiseksi Prosessi on kuvattu ja vastuutettu ja toiminta organisoitu prosessin mukaiseksi. Jokaiselle käyttövaltuudelle on nimetty omistaja Prosessi on kuvattu ja vastuutettu ja toiminta organisoitu prosessin mukaiseksi. Läpimenoaika max 7 vrk Läpimenoaika max 7 vrk Läpimenoaika max 1 vrk sama Läpimenoaika max 1 vrk Määritellään myöhemmin
1.5. Katselmoinnit Kerran vuodessa katselmoidaan, onko kohteessa sellaisia käyttäjiä, joita ei enää tulisi olla. Kerran vuodessa katselmoidaan, onko kohteessa sellaisia käyttäjiä tai käyttöoikeuksia, joita ei enää tulisi olla. <- sama Perusteluja - on lähdetty siitä, että käyttäjätunnusten sulkemista työsuhteen päättyessä on pidetty kriittisempänä kuin työtehtävien vaihtumisesta johtuvaa käyttövaltuuksien muutosta - 7 vrk läpimenoaika riittää hyvin manuaaliprosessin toteuttamiseen, 1 vrk on jo helpompi taata teknisellä välineellä - organisaatio, jolla identiteetin hallinta on manuaalinen, voi päästä tasolle 2 - organisaatio, joka sulkee käyttäjätunnukset HR-järjestelmästä tulevan herätteen perustella mutta hallinnoi valtuudet käsin, voi päästä tasolle 3 - organisaatio, joka on automatisoinut myös käyttövaltuusylläpidon, voi päästä mukaan taso 4
2. Henkilöllisyyden todentaminen (engl. authentication) 2.1. Henkilöllisyyden todentamisen vähimmäistaso 2.2. Uuden työntekijän rekisteröinti 2.3 Todentamisvälineen (salasana, toimikortti) toimittaminen 2.4. Salasanoihin liittyvät vaatimukset Perusteluja Perustaso (2) Korotettu taso (3) Korkea taso (4) Erityistaso (5) NIST 800-63 level 2 NIST 800-63 level 2. Valmius NIST 800-63 level 3:n mukaiseen henkilöllisyyden todentamiseen NIST 800-63 level 2 mukaisesti. Kasvotusten, henkilöllisyys todennetaan poliisin myöntämästä asiakirjasta NIST 800-63 level 2 mukaisesti. Kasvotusten, henkilöllisyys todennetaan poliisin myöntämästä asiakirjasta. Sähköisesti, käyttäen vähintään samantasoista todennusmenetelmää. NIST 800-63 level 2 mukaisesti. - organisaatio pääsee perustasolle, vaikka käytössä olisi vain salasana-autentikointi NIST 800-63 level 2. Valmius NIST 800-63 level 3:n ja 4:n mukaiseen henkilöllisyyden todentamiseen
- korkeammalla tasolla organisaatiossa täyty olla valmius vahvaan autentikointiin. Vähimmillään tämä tarkoittaa sitä, että työasemaan on mahdollista saada kortinlukija+ohjelmistot, virkamiehille voidaan tilata virkakortteja tarpeen mukaan ja helpdesk osaa antaa tukea niihin liittyvissä asioissa. - edes korkealla turvatasolla ei olisi vaatimusta, että jokaisella työntekijällä on virkakortti NIST 800-63:n sovittamiseksi Suomen toimintaympäristöön tarvittaneen eri ohje. 3. Jäljitettävyys ja raportointitoiminnot 3.1.Käyttäjän käyttövaltuuksien jäljitettävyys ja raportointi 3.2.Lokitietojen hallinta Perustaso (2) Korotettu taso (3) Korkea taso (4) Erityistaso (5) Yksittäisen käyttäjän käyttövaltuudet on voitava selvittää järjestelmäkohtaisesti Yksittäisen käyttäjän kirjautumiset järjestelmään on voitava selvittää ja yhdistää hänen henkilöllisyyteensä luotettavasti. Yksittäisen käyttäjän käyttövaltuudet on voitava selvittää keskitetysti. Kirjausketjuun jää luotettavat merkinnät siitä, millä perusteella käyttäjälle on myönnetty käyttövaltuus. <- sama Lokimerkintöjen kiistämättömyyden turvaamiseksi on tehty erityisjärjestelyjä. 4. Käyttäjähallinnon tietoturvatason auditointi Perustaso (2) Korotettu taso (3) Korkea taso (4) Erityistaso (5) Auditoinnin toteutustapa Itseauditointi kerran vuodessa Vertaisauditointi kerran vuodessa Ulkoinen auditoija kerran vuodessa
Tietoturvatasot-hankkeessa valmisteltaneen auditointiohje, mutta se ei valmistune ennen kuin käyttäjähallinnon perusturvatasoa aletaan soveltaa Virtu-luottamusverkostossa 2009. Kun yleinen auditointiohje syntyy, päivitetään tämä dokumentti
Liite: määritelmät Termi (synonyymit) Identiteetti (henkilöllisyys) Attribuutti (ominaisuus) Käyttövaltuus (käyttöoikeus) Henkilöllisyyden todentaminen (autentikointi) Englanninkielinen vastine identity attribute authorisation, permission authentication Selitys Tosielämän henkilöä edustava abstraktio tietojärjestelmässä. Esimerkiksi tietojärjestelmän käyttäjätietokannan rivi, joka sisältää mm. käyttäjätunnuksen ja muita attribuutteja Tosielämän henkilöä ja hänen ominaisuuksiaan kuvailevat merkinnät. Henkilön identiteetti koostuu yhdestä tai useammasta attribuutista. Todennetulle käyttäjälle annettu lupa tietyn tiedon, suojattavan kohteen tai muun palveluelementin käyttöön. Voi perustua esimerkiksi käyttäjälle annettuun työrooliin tai voidaan antaa käyttäjälle henkilökohtaisesti. Käyttäjän käyttövaltuus tietyn palveluelementin käyttöön voi olla yksi käyttäjän attribuutti. Käyttäjän henkilöllisyyden varmistaminen halutulla luottamustasolla. Henkilöllisyyden todentamisen yhteydessä selvitetään tietojärjestelmän käyttäjän identiteetti. Jäljitettävyys auditability Tietojärjestelmän käyttötietojen selvittäminen