Verkko oli luottamuksen perusta.
Tänään tilanne on täysin toinen. Pilvipalvelut, hybridityö, IoT-ratkaisut ja tekoäly ovat siirtäneet käyttäjät, sovellukset ja datan pois perinteisen yritysverkon sisältä. Samalla identiteetistä on tullut verkkoarkkitehtuurin tärkein päätöksentekijä.
Perinteinen verkkopohjainen tietoturva perustuu siihen, mistä käyttäjä tulee. Identiteettipohjainen tietoturva perustuu siihen, kuka tai mikä yrittää käyttää palvelua.
Jokainen merkittävä IT-murros on muuttanut tapaa, jolla organisaatiot määrittävät luottamuksen. Olemme siirtyneet IP-osoitteista ihmiskäyttäjiin, ja nyt AI-agentit pakottavat meidät miettimään uusiksi koko identiteetin käsitteen.
Perinteinen yritysverkko rakennettiin selkeiden rajojen ympärille. Käyttäjät istuivat toimistolla, sovellukset sijaitsivat omassa konesalissa ja liikenne kulki yrityksen verkon kautta.
Tällaisessa ympäristössä verkon sijainti oli helppo luottamuksen mittari:
-
Verkkoidentiteetti oli käytännössä IP-osoite.
-
Kun tiedettiin, mistä liikenne tuli, tiedettiin yleensä myös sen tuottaja.
-
Haaste: Kun käyttäjä kerran pääsi verkon sisäpuolelle, hän sai usein huomattavan laajan näkyvyyden ja vapauden liikkua ympäristössä. Luottamus perustui sijaintiin, ei identiteettiin.
Vaihe 2: Käyttäjät ja sovellukset poistuivat verkosta
Pilvipalvelut muuttivat pelin. Yhtäkkiä tärkeimmät sovellukset siirtyivät Microsoftin, Amazonin tai muiden palveluntarjoajien alustoille. Samaan aikaan käyttäjät siirtyivät koteihin, kahviloihin ja liikkuvaan työhön.
Yrityksen omasta verkosta tuli vain yksi monista yhteyspisteistä, eikä se enää kertonut, voiko käyttäjään luottaa. Samaan aikaan verkkoon liittyi yhä enemmän laitteita: työasemia, palvelimia, IP-kameroita ja tuotantorobotteja. Pelkkä IP-osoite ei enää riittänyt, joten luottamuksen oli siirryttävä laitteeseen ja sen rooliin.
Vaihe 3: Identiteetistä tuli uusi palomuuri
Kun verkon merkitys luottamuksen lähteenä mureni, käyttäjäidentiteetistä tuli moderni kontrollipiste. Pääsyä järjestelmiin alettiin arvioida dynaamisesti:
-
Kuka käyttäjä on?
-
Millä laitteella hän työskentelee?
-
Mistä hän kirjautuu ja millä riskitasolla?
Tämä ajattelu loi pohjan Zero Trust -malleille. Verkko ei kadonnut mihinkään, mutta sen rooli muuttui: verkosta tuli ensisijaisen turvallisuusrajan sijaan identiteetin mahdollistaja.
Vaihe 4: Identiteetti ei enää tarkoita ihmistä (NHI)
Moni organisaatio elää parhaillaan tätä vaihetta. Käyttäjien lisäksi ympäristössä toimii palveluita, integraatioita, API-yhteyksiä, IoT-laitteita ja pilven työkuormia.
Tätä kokonaisuutta kutsutaan termillä NHI (Non-Human Identity) eli ei-inhimilliset identiteetit:
-
Monessa yrityksessä NHI-identiteettejä on jo moninkertaisesti enemmän kuin ihmiskäyttäjiä.
-
Niiden hallinta ja valvonta on usein huomattavasti ihmiskäyttäjiä kehittymättömämpää.
-
Verkon näkökulmasta suuri osa liikenteestä syntyy toimijoista, joita ei löydy perinteisestä käyttäjähakemistosta.
Vaihe 5: AI-agentit muuttavat pelisäännöt täysin
Seuraava suuri murros on jo täällä. Aiemmat koneidentiteetit olivat pääasiassa passiivisia – ne suorittivat ennalta määriteltyjä tehtäviä tai siirsivät dataa järjestelmien välillä.
AI-agentit ovat toista maata. Ne tekevät itsenäisiä päätöksiä, käynnistävät prosesseja ja käyttävät useita järjestelmiä samanaikaisesti saavuttaakseen tavoitteensa. Verkon näkökulmasta ne näyttävät ihmiskäyttäjiltä, vaikka ne ovat ohjelmistoja.
Tulevaisuudessa identiteetti ei välttämättä ole enää "Käyttäjä Juha-Matti", vaan:
”Käyttäjän Juha-Matin puolesta toimiva autonominen hankinta-agentti, jonka tehtävänä on analysoida toimittajia ja tehdä ostoehdotuksia.”
Tämä lisää identiteetin hallintaan uuden ulottuvuuden. Jatkossa meidän on tiedettävä identiteetin nimen lisäksi myös se, kenen puolesta se toimii, mitä se saa tehdä ja mitä päätöksiä se saa tehdä.
Mitä organisaation kannattaa tehdä nyt?
Harva voi hypätä suoraan AI-agenttien hallintaan, jos perustukset rakoilevat. Ensimmäinen askel ei ole uuden pisteteknologian hankinta, vaan kokonaisvaltaisen näkyvyyden rakentaminen.
IT-päättäjän kannattaa esittää organisaatiolleen viisi kriittistä kysymystä:
-
Tiedämmekö tarkasti, mitä laitteita verkossamme toimii?
-
Tunnemmeko kaikki ympäristömme käyttäjäidentiteetit?
-
Onko meillä näkyvyys kaikkiin palveluidentiteetteihin (NHI)?
-
Tiedämmekö kaikki sovellus- ja API-integraatiot?
-
Tunnemmeko näiden kaikkien reaaliaikaiset käyttöoikeudet?
Kun näkyvyys on kunnossa, moderni arkkitehtuuri rakennetaan vaiheittain:
-
Segmentointi: Verkon jakaminen laitteiden ja käyttötapausten mukaan.
-
Keskittäminen: Yhtenäisen identiteetinhallinnan (IAM) laajentaminen koneidentiteetteihin.
-
Pääsynhallinta: Vahva tunnistautuminen ja dynaaminen, ehdollinen pääsynhallinta (Conditional Access).
Tulevaisuuden verkko rakentuu identiteetin ympärille
Verkon merkitys ei ole katoamassa – päinvastoin. Mutta sen tehtävä on muuttunut pysyvästi. Ennen verkko päätti, kehen luotetaan. Tulevaisuudessa identiteetti tekee päätöksen, ja verkko toteuttaa sen.
Yritykset ovat investoineet vuosia ihmiskäyttäjien identiteetteihin. Seuraava haaste on paljon laajempi: kuinka hallita räjähdysmäisesti kasvavaa laitteiden, palveluiden ja AI-agenttien joukkoa, joka käsittelee yrityksen kriittistä dataa ilman ihmisen jatkuvaa valvontaa?
Pysähdy hetkeksi ja mieti tätä:
Jos organisaatiosi ensimmäinen täysin autonominen AI-agentti aloittaisi työnsä huomenna, tietäisitkö, mitä järjestelmiä se käyttää, mitä tietoa se käsittelee ja mitä päätöksiä se saa tehdä?
Vastaus tähän kysymykseen kertoo, kuinka valmis organisaatiosi on identiteetin seuraavaan evoluutiovaiheeseen.
Haluatko varmistaa, että verkkosi ja identiteetinhallintasi ovat valmiina tulevaan? Ota yhteyttä, niin arvioidaan yhdessä nykytilanne ja rakennetaan organisaatiollesi selkeä, liiketoimintaa tukeva tietoturvan tiekartta.
