Ehdollinen pääsynhallinta: opas johdolle
Moni yritys on jo ottanut käyttöön monivaiheisen tunnistautumisen ja olettaa, että Microsoft 365 -tunnukset on siten suojattu. Silti tietomurtoja tapahtuu. Vetonaulan järjestelmäarkkitehdin Markus Pyhärannan mukaan syy on usein siinä, että ehdollinen pääsynhallinta puuttuu kokonaan tai on tehty vajaasti.
Mikä on ehdollinen pääsynhallinta?
Ehdollinen pääsynhallinta on joukko sääntöjä, jotka määräävät, kuka pääsee Microsoft 365 -palveluihin ja millä ehdoilla. Säännöt asettavat ehtoja jokaiselle sisäänkirjautumisyritykselle. Niiden perusteella pääsy esimerkiksi sähköpostiin tai tiedostoihin joko sallitaan tai evätään.
Arkikielellä sen voi ajatella ovivahtina, joka ei katso pelkkää avainta. Se kysyy myös, kuka tulee sisään, millä laitteella ja mistä. Pyhärannan mukaan tämä on pilvipalveluiden käyttäjille perustason asia: “Ehdollinen pääsynhallinta on jokaisen Microsoft 365 -pilvipalveluita käyttävän organisaation ensisijainen käyttäjäidentiteettejä suojaava kontrolli. Oikein toteutettuna tällaiset ehdolliset sisäänkirjautumisedellytykset eivät hankaloita työntekijöiden päivittäisiä toimintoja, mutta lieventävät organisaation IT-ympäristön hyökkäyspinta-alaa merkittävällä tavalla”.
Mitä tapahtuu, kun ehdollinen pääsynhallinta puuttuu?
Ilman ehdollista pääsynhallintaa käyttäjätilit ovat alttiita identiteetteihin kohdistuville hyökkäyksille, kuten tietojenkalastelulle. Käytännössä se ilmenee onnistuneiden tietomurtojen määrän kasvuna. Tietojenkalastelun riskiä voi pienentää muillakin keinoilla, esimerkiksi roskapostisuodatuksella.
Ne ovat kuitenkin vasta ensimmäisen tason suojauksia. Suurin ongelma on se, kenen harkinnan varaan suojaus jää: “Ilman ehdollista pääsynhallintaa käyttäjäidentiteettien suojaus on pitkälti organisaation loppukäyttäjien itsensä varassa. Harvalla työntekijällä on riittävä tekninen ymmärrys ja harkintakyky omatoimiseen uhkilta suojautumiseen”, Pyhäranta kertoo.
Viisi tärkeintä käytäntöä
Pyhäranta nostaa esiin viisi käytäntöä, joiden tulisi olla kunnossa jokaisessa asiakasympäristössä. Jokainen niistä pienentää eri riskiä.
Legacy Authentication ohittaa monivaiheisen tunnistautumisen kokonaan.
- Vanhat protokollat nojaavat pelkkään käyttäjätunnukseen ja salasanaan.
- MFA ei auta, jos sen voi kiertää vanhan protokollan kautta.
- Microsoftin arvion mukaan lähes kaikki yleiset hyökkäykset kohdistuvat näihin (97–99 %).
Salasana ei yksin riitä, ei ylläpitäjillä eikä tavallisilla käyttäjillä.
- Salasana on helppo kalastella tekaistulla Microsoft 365 -kirjautumissivulla.
- Ylläpitotileille korkeat MFA-vaatimukset, mutta vaatimus koskee myös loppukäyttäjiä.
- Microsoftin arvion mukaan tilit ovat MFA:n kanssa 99,9 % turvallisempia.
Laitteen tulee olla organisaation laitehallinnassa ja täyttää tietoturvavaatimukset.
- Estää merkittävän osan murrettujen tilien väärinkäytöstä.
- Kirjautuminen organisaation ulkopuolisilta laitteilta estetään oletuksena.
- Hyökkääjä ei pääse uhrin tilille tuntemattomalta laitteelta.
Jos käyttäjät työskentelevät vain Suomessa, ulkomaisia kirjautumisia ei tarvitse sallia.
- Rajauksen voi tehdä maittain tai tietyille toimistoverkoille.
- Etätyö tuo rajoituksia, ellei organisaatio vaadi VPN-yhteyttä.
- Jo maakohtainen rajaus lieventää identiteettiriskejä huomattavasti.
Menetelmä on tarkoitettu tulostimille ja kokous- ja IoT-laitteille, mutta hyökkääjät käyttävät sitä väärin.
- Käyttäjä syöttää hyökkääjän koodin aidolla Microsoftin sivulla.
- Istunto avautuu hyökkääjän laitteelle organisaation ulkopuolelle.
- Estä oletuksena. Vain järjestelmä- ja palvelutilit voi ohittaa.
Käyttöoikeus sisältyy esimerkiksi Microsoft 365 E5- ja Microsoft Defender Suite -lisensseihin.
- Käyttäjäriski arvioi identiteettiä pitkällä aikavälillä usean signaalin pohjalta.
- Sisäänkirjautumisriski arvioi yksittäistä yritystä, esimerkiksi maantieteellisesti mahdotonta kirjautumista.
- Riskitason noustessa voidaan vaatia lisätunnistautumista tai salasanan vaihto, evätä pääsy tai hälyttää IT.
Miksi MFA ei yksin riitä?
”Monivaiheisen tunnistautumisen käyttöönotto ja vanhojen protokollien esto ovat levinneet jo laajalle, joten niiden puuttuminen ei onneksi ole enää yhtä yleistä kuin ennen. Sallittujen MFA-keinojen vahvuuteen ei sen sijaan ole kiinnitetty riittävästi huomiota. Heikoin keino on SMS-viestillä lähetettävä kertakäyttökoodi, koska se on kalasteltavissa siinä missä salasanakin”, Pyhäranta kertoo.
Hyökkäys etenee näin: uhri syöttää salasanansa hyökkääjän tekaisemalle kirjautumissivulle, ja hyökkääjä ohjaa tunnukset saman tien aitoon Microsoft 365 -tunnistautumiseen. Palvelu lähettää koodin uhrin puhelimeen, ja uhri syöttää sen hyökkääjän sivulle. Hyökkääjä saa siis sekä salasanan että koodin.
Tämä on osaltaan syynä siihen, että Microsoft poistaa tuen puhelinnumeroon perustuville tunnistautumiskeinoille (SMS-viestit ja puhelinsoitot) helmikuussa 2027. Pyhärannan mukaan organisaatioiden pitäisi ymmärtää, että MFA ei yksinään suojaa tietojenkalastelulta, jos tunnistautumiskeinot ovat heikkoja ja helposti väärinkäytettävissä. Siksi kannattaa ottaa käyttöön tietojenkalastelua paremmin kestäviä keinoja, kuten todentamisavaimia.
Hallittu laite on ehdoton
Kun MFA-keinoissa on heikkouksia, muiden käytäntöjen on kannettava vastuu. Pyhärannan mukaan hallitun laitteen ja tietoturvavaatimusten täyttymisen vaatiminen on silloin ehdoton. Tietomurto onnistuu tyypillisesti, kun organisaation ulkopuoliselta laitteelta kirjautuminen vaarantuneilla tunnuksilla on sallittu.
Yleinen virhe on myös vaatia hallittua laitetta vain työpöytäsovellusten kirjautumisissa, sillä suurin osa tietomurroista tapahtuu selainpohjaisen tunnistautumisen kautta, jolloin hyökkäyspinta-ala on yhä tarpeettoman laaja. Laitevaatimus on siis ulotettava myös selaimessa tapahtuvaan kirjautumiseen.
Käyttöönotto ilman katkoja
Ehdollisen pääsynhallinnan käytännöt voi ottaa käyttöön niin, ettei työnteko häiriinny. Pyhärannan mukaan siihen auttaa kolme keinoa:
- Ensimmäinen on Report-only-tila. Käytäntö kytketään päälle, ja kirjautumisyritykset arvioidaan käytännön ehtojen mukaan, mutta pääsyä ei evätä, vaikka ehdot eivät täyttyisi. IT-ylläpitäjä näkee kirjautumislokeista käytännön vaikutukset ennen kuin käytäntö kytketään oikeasti päälle.
- Toinen on porrastettu käyttöönotto. Käytäntöjä voi pilotoida ensin rajatulla käyttäjäryhmällä tai yksittäisellä osastolla. Silloin on varmistettava, että kaikki käyttäjät päätyvät lopulta käytäntöjen piiriin eikä projektia jätetä puolitiehen.
- Kolmas on rekisteröintikampanja, jota suositellaan MFA:n käyttöönoton yhteydessä. Käyttäjiä kehotetaan ottamaan organisaation edellyttämät tunnistautumiskeinot käyttöön jo ennen kuin MFA tehdään laajasti pakolliseksi.
Myös ajoitus kannattaa huomioida. Käytäntömuutoksia ei kannata tehdä silloin, kun IT-tuki ei ole tavoitettavissa, koska muutoksia voivat seurata vikatilanteet.
Pyhärannan mukaan onnistuminen ratkeaa kuitenkin lopulta suunnittelussa ja viestinnässä: “Loppujen lopuksi huolellinen suunnittelu ja organisaatioviestintä ovat ehdollisen pääsynhallinnan käyttöönoton pääedellytyksiä.”
Mitä johdon kannattaa kysyä?
Ehdollinen pääsynhallinta ei ole kertaluonteinen projekti. Teknisissä kontrolleissa ja kyvykkyyksissä tapahtuu muutoksia, ja ajankohtaiset tietoturvauhkat muuttuvat. Pyhärannan mukaan ei riitä, että käytännöt on kerran kytketty päälle vuosia sitten, vaan niitä tulee kriittisesti arvioida uudelleen vähintään vuosittain.
Johtoryhmän kannattaakin kysyä IT-tiimiltä tai kumppanilta kolmea asiaa:
- Onko käytännöt kartoitettu? Säännöllisellä kartoituksella varmistetaan, ettei käytännöissä ole tarpeettomia ohituksia tai muita määritysvirheitä.
- Seurataanko uusia suosituksia? Hyväksi todettuja alan käytäntöjä ja menetelmiä tulisi seurata Microsoftin ja muiden lähteiden säännöllisistä julkaisuista.
- Täyttyvätkö Microsoftin vähimmäisvaatimukset? Käytäntöjen tulisi noudattaa vähintään Microsoftin omia vähimmäisvaatimuksia (Security Defaults) organisaation koosta ja Microsoft 365 -lisenssitasosta riippumatta.
Ehdollinen pääsynhallinta pähkinänkuoressa
Mikä on ehdollinen pääsynhallinta?
Ehdollinen pääsynhallinta on joukko sääntöjä, jotka asettavat ehtoja Microsoft 365 -kirjautumisille. Ehtojen perusteella pääsy organisaation resursseihin, kuten sähköpostiin ja tiedostoihin, joko sallitaan tai evätään.
Mitkä ovat tärkeimmät käytännöt?
Viisi tärkeintä ovat vanhojen tunnistautumisprotokollien esto, MFA:n edellyttäminen, hallitun laitteen vaatiminen, kirjautumisten rajaaminen luotettuihin sijainteihin ja laitekooditunnistautumisen esto. Jos käytössä on Microsoft Entra ID P2 -käyttöoikeus, mukaan kannattaa ottaa myös riskipohjaiset käytännöt.
Riittääkö monivaiheinen tunnistautuminen suojaksi?
Ei yksin. Jos sallitut MFA-keinot ovat heikkoja, esimerkiksi SMS-koodit, hyökkääjä voi kalastella ne salasanan ohella. Siksi tarvitaan myös muita käytäntöjä, erityisesti hallitun laitteen vaatimus. Se pitää ulottaa myös selaimessa tapahtuvaan kirjautumiseen.
Voiko käytännöt testata ennen käyttöönottoa?
Kyllä. Report-only-tilassa kirjautumisyritykset arvioidaan käytännön ehtojen mukaan, mutta pääsyä ei evätä. IT-ylläpitäjä näkee vaikutukset kirjautumislokeista ennen kuin käytäntö kytketään päälle.
Mikä on hätäpääsytili ja miksi sitä tarvitaan?
Hätäpääsytili on erillinen Global Administrator -tili, joka ohitetaan kaikista ehdollisen pääsynhallinnan käytännöistä. Se on tarkoitettu vain poikkeustilanteisiin ja estää hallintapääsyn menettämisen, jos käytäntö on määritetty virheellisesti.
Pitääkö vieraskäyttäjiltä vaatia monivaiheinen tunnistautuminen?
Kannattaa vahvasti harkita. MFA-keinot määritetään ympäristökohtaisesti, joten vieraan oman organisaation MFA-vaatimus ei koske teidän ympäristöänne.
Kuinka usein käytännöt pitäisi arvioida?
Vähintään vuosittain. Tekniset kontrollit ja uhat muuttuvat, joten kerran tehty määritys ei riitä.
Ehdollinen pääsynhallinta ei ole kertaluonteinen projekti, vaan sitä on pidettävä kunnossa. Kun käytännöt on suunniteltu huolella, testattu ja otettu käyttöön vaiheittain, ne suojaavat organisaatiota ilman, että työntekijöiden arki hankaloituu.