Skip to content

AI- ja koneidentiteettien tietoturvan kypsyysarviointi 

AI- ja koneidentiteettien (non-human identities) tietoturvan kypsyysarviointi antaa organisaatiolle yhteisen tilannekuvan AI-agenttien ja muiden koneidentiteettien turvallisuudesta sekä auttaa tunnistamaan tärkeimmät kehitystoimenpiteet.

Kyberturva

Miksi koneidentiteettien hallintaan kannattaa panostaa?

Organisaatioissa on yhä enemmän koneidentiteettejä (NHI, Non-human identities), kuten palvelutilejä ja API-avaimia, joiden omistajuus, käyttöoikeudet ja elinkaari eivät välttämättä ole yhtä hallittuja kuin henkilöidentiteettien. AI-agenttien yleistyminen tekee kysymyksestä entistä olennaisemman, sillä tekoälyagentit toimivat koneidentiteettien ja niille myönnettyjen oikeuksien kautta. 

AI-agenttien ja koneidentiteettien hallintaa ja turvallisuutta ei siksi kannata tarkastella toisistaan irrallisina kysymyksinä. Identiteetit ja käyttöoikeudet, turvallisuusvalvonta, data, AI-mallit ja sovellukset sekä organisaation toimintamallit muodostavat kokonaisuuden, jonka heikoin osa voi synnyttää merkittävän puutteen.

Kypsyysarviointi muodostaa tästä kokonaisuudesta työkaluriippumattoman tilannekuvan. Arviointi auttaa ymmärtämään nykyisen kypsyystason, tavoitetason ja niiden väliset tärkeimmät puutteet ennen yksittäisiä teknologiavalintoja tai kehityshankkeita.

Loihde_Brand_Hel_0319_crystal_ball_in_hand

AI- ja koneidentiteettien tietoturvan arviointi tukee riskienhallintaa ja investointien priorisointia

Kypsyysarviointi sopii erityisesti tilanteeseen, jossa AI-agentteja on jo käytössä tai tulossa käyttöön, mutta niiden turvallisuuden hallinnasta ei ole yhtenäistä tilannekuvaa. Arviointi auttaa myös silloin, kun organisaatiossa on jo IAM-, PAM- ja turvallisuusvalvonnan ratkaisuja, mutta niiden kattavuus tekoälyagenttien ja muiden koneidentiteettien näkökulmasta on epäselvä.

Arvioinnista on hyötyä myös ennen uusien turvallisuustyökalujen valintaa. Sen sijaan, että teknologiavalinta määrittelisi ratkaistavan ongelman, organisaatio tunnistaa ensin nykyiset kyvykkyytensä ja tärkeimmät puutteensa. Näin jatkotoimet voidaan kohdistaa siihen, missä vaikutus on olennaisin.

Tuloksena johto ja turvallisuudesta vastaavat saavat yhteisen pohjan päätöksenteolle. Arviointi tekee näkyväksi, missä organisaatio on nyt, mihin sen tulisi päästä ja mitkä puutteet vaativat ensimmäisinä huomiota.

Miten Loihteen identiteettien kypsyysarviointi toteutetaan?

AI- ja koneidentiteettien tietoturvan arviointi toteutetaan haastattelupohjaisesti viiden työpajan kokonaisuutena. Asiakkaan ympäristöön ei asenneta arviointia varten työkaluja eikä arviointi edellytä järjestelmätietojen siirtämistä Loihteelle. Työpajoissa käydään järjestelmällisesti läpi arviointimallin viisi pilaria. Havaintojen perusteella Loihde pisteyttää 22 osa-aluetta, tarkastelee niiden välisiä riippuvuuksia ja tunnistaa keskeiset puutteet.

Arvioinnissa huomioidaan olemassa olevat kyvykkyydet riippumatta siitä, millä teknologialla tai prosessilla ne on toteutettu. Perinteisiä koneidentiteettejä ja AI-agentteja voidaan tarkastella erikseen, jolloin organisaatio saa näkyviin myös niiden väliset erot.

Tuloksena asiakas saa kypsyystason pisteytyksen, priorisoidut kehityskohteet ja johdon yhteenvedon. Tavoitteena ei ole tuottaa pitkää raporttia, vaan päätöksentekoa tukeva näkemys siitä, mitä kannattaa tehdä seuraavaksi.

Mitä kypsyysarviointi sisältää?

Loihteen arviointimalli tarkastelee AI-identiteettien ja koneidentiteettien tietoturvallisuutta viiden toisiinsa liittyvän pilarin kautta:

  • Identiteettien ja käyttöoikeuksien hallinta
  • Turvallisuusvalvonta ja reagointi
  • Datan turvallisuus AI-käytössä
  • Mallien ja sovellusten turvallisuus
  • Organisaation valmius

Kokonaisuus jakautuu 22 osa-alueeseen. Niissä tarkastellaan muun muassa koneidentiteettien löytämistä ja omistajuutta, tunnuksia ja salaisuuksia, käyttöoikeuksia ja elinkaaren hallintaa, AI-agenttien rekisteröintiä ja delegoituja valtuuksia, lokitusta ja poikkeamiin reagointia, AI:n käyttämän datan suojaamista, integraatioita, mallien ja komponenttien toimitusketjua sekä hallintamalleja ja vastuita. Jokainen osa-alue arvioidaan havaittavan näytön perusteella asteikolla 1–5.

Loihde_Portraits_Oulu_work_space

Näin koneidentiteettien tietoturvan kypsyysarviointi etenee

Tietoturvan kypsyysarviointi etenee rajatulla mallilla aloituksesta tulosten läpikäyntiin. Kokonaisuuden suunniteltu kalenterikesto on kuusi viikkoa, ja varsinainen arviointi perustuu työpajoihin ja niissä muodostettavaan näyttöön. Arvioinnin jälkeen tunnistetut kehityskohteet muodostavat pohjan jatkotoimille. Tarpeen mukaan työ voi jatkua esimerkiksi hallintamallin ja arkkitehtuurin suunnitteluun, toteutustukeen, työkalujen valintaan tai myöhempään uudelleenarviointiin.

 

Loihde_some (59) (1)
Arvioinnin käytännöt

1. 60 minuutin rajauskeskustelu

Keskustelussa sovitaan arvioinnin laajuus, mukana olevat pilarit, sääntelyprofiili ja osallistujat. 

 

Loihde_Brand_Hel_0022_team_work
Työpajat

2. Viisi haastattelupohjaista työpajaa

Kukin työpaja kestää noin 1,5–2 tuntia, ja niissä käydään läpi arvioinnin eri osa-alueet relevanttien asiantuntijoiden kanssa.

 

Loihde - Person writing on a whiteboard - DSCF2801 - 1920 x 1280
Arviointi

3. Pisteytys

Loihde pisteyttää havainnot osa-alueittain asteikolla 1–5. Samalla tarkastetaan keskeiset riippuvuudet, arvioinnin varmuus ja tunnistetut puutteet sekä muodostetaan luonnos tuloksista.

 

Loihde_some (57)-1
Tulokset

4. Arvioinnin tulokset

Neljännessä vaiheessa määritetään tavoitetasot ja käydään arvioinnin tulokset läpi asiakkaan kanssa. Asiakas saa kypsyystason pisteytyksen, priorisoidut kehityskohteet ja johdolle tarkoitetun tiiviin yhteenvedon.

 

Loihde_Portraits_Oulu_mug

Miksi tekoäly- ja koneidentiteettien tietoturvan kypsyysarviointi kannattaa hankkia Loihteelta?

Loihteen lähestymistapa lähtee ratkaistavasta turvallisuusongelmasta, ei yksittäisestä teknologiasta. Arviointi huomioi organisaation nykyiset työkalut ja prosessit, mutta ei sido havaintoja tai suositeltavaa etenemistä tiettyyn teknologiatoimittajaan.

Yhdessä arvioinnissa tarkastellaan sekä AI-agenttien että muiden koneidentiteettien turvallisuutta ja niitä ympäröiviä teknisiä ja organisatorisia kyvykkyyksiä. Näin esimerkiksi identiteetinhallintaa, valvontaa, dataturvallisuutta ja AI-sovellusten turvallisuutta ei kehitetä toisistaan irrallisina alueina.

Arviointi toimii myös lähtöpisteenä käytännön kehittämiselle. Tunnistettujen puutteiden perusteella jatkotyö voidaan kohdistaa esimerkiksi vastuu- ja hallintamalliin, agenttirekisteriin ja hyväksyntäprosesseihin, tunnusten hallinnan arkkitehtuuriin, elinkaarikäytäntöihin, työkalujen valintaan tai toteutukseen.

Usein kysytyt kysymykset AI- ja koneidentiteettien arvioinnista

Mitä AI- ja koneidentiteettien turvallisuuden kypsyysarvioinnissa arvioidaan?

Arviointi kattaa viisi pilaria ja yhteensä 22 osa-aluetta. Tarkastelussa ovat koneidentiteettien ja AI-agenttien identiteetit ja käyttöoikeudet, turvallisuusvalvonta ja reagointi, datan turvallisuus AI-käytössä, mallien ja sovellusten turvallisuus sekä organisaation valmius.

Tarvitaanko arviointia, jos organisaatiolla on jo IAM-, PAM- tai SIEM-ratkaisuja?

Olemassa olevat ratkaisut eivät estä arvioinnin tekemistä. Arvioinnissa tunnistetaan nykyiset kyvykkyydet riippumatta siitä, millä työkaluilla tai prosesseilla ne tuotetaan. Samalla voidaan havaita alueet, joita nykyiset ratkaisut eivät kata AI-agenttien ja muiden koneidentiteettien näkökulmasta.

Kannattaako arviointi tehdä, vaikka AI-agentteja olisi vasta vähän käytössä?

Arviointi voi olla ajankohtainen jo AI:n käyttöönoton alkuvaiheessa. Sen avulla voidaan tunnistaa hallinnan, identiteettien, käyttöoikeuksien ja turvallisuuden kehitystarpeita ennen AI-agenttien käytön laajenemista.

Kuinka paljon arviointi vaatii asiakkaan aikaa?

Arviointi koostuu rajauskeskustelusta ja viidestä 1,5–2 tunnin työpajasta. Eri asiantuntijat osallistuvat niihin oman vastuualueensa mukaan, joten koko työmäärä ei kohdistu yhdelle henkilölle. Arviointi ei edellytä työkaluasennuksia tai datan siirtämistä Loihteelle.

Mitä arvioinnin jälkeen tapahtuu?

Asiakas saa näkyviin nykyisen kypsyystasonsa, tavoitetason sekä priorisoidut kehityskohteet. Tämän jälkeen organisaatio voi päättää, mitkä puutteet se korjaa ensin. Loihde voi tarvittaessa tukea jatkoa suunnittelussa, toteutuksessa ja työkaluvalinnoissa sekä tehdä myöhemmin uuden arvioinnin samalla mallilla.

Selvitetään AI- ja koneidentiteettiesi tietoturvan nykytila

Keskustellaan siitä, miten AI-agenttien ja muiden koneidentiteettien turvallisuus on organisaatiossasi tällä hetkellä hallittu. Aloitetaan tilanteen rajauksesta ja arvioidaan yhdessä, olisiko kypsyysarviointi oikea seuraava askel.