Mitä vähimmän oikeuden periaate tarkoittaa?

Jokaisella on pääsy vain niihin tietoihin ja järjestelmiin, joita hänen tehtävänsä edellyttää, ei enempää eikä pidempään. Käyttöoikeus annetaan tehtävän perusteella, tarkistetaan tehtävän vaihtuessa ja poistetaan, kun tehtävä tai työsuhde päättyy. Julkishallinnossa tiedonhallintalain 16 § sanoo saman suoraan: käyttöoikeudet määritellään käyttäjän tehtäviin liittyvien käyttötarpeiden mukaan ja pidetään ajantasaisina.

Onko monivaiheinen tunnistus pakollinen?

NIS2-direktiivin 21 artiklan 2 kohdan j alakohta nimeää monivaiheisen tai jatkuvan todennuksen ratkaisujen käytön vähimmäistoimenpiteeksi tarvittaessa, ja kyberturvallisuuslain 9 § edellyttää pääsynhallinnan ja todentamisen menettelyjä osana riskienhallintaa. Laki ei nimeä tekniikkaa, mutta riskiperusteinen arvio päätyy käytännössä aina siihen, että etäyhteydet, sähköposti ja pääkäyttäjätunnukset vaativat toisen tekijän. Salasana yksin ei enää ole todentaminen vaan arvaus siitä, ettei kukaan ole sitä kalastellut.

Mitä salaus levossa ja siirrossa tarkoittaa?

Levossa: tallennettu tieto on salattu niin, että kadonnut kannettava, varmuuskopionauha tai pilvitallennus ei ole luettavissa ilman avainta. Siirrossa: tieto kulkee verkossa salattuna, esimerkiksi TLS-yhteydellä tai VPN:llä, niin ettei sitä voi lukea matkalla. Kyberturvallisuuslain 9 § edellyttää salausmenetelmien käyttöä koskevat toimintaperiaatteet, ja tietosuoja-asetuksen 34 artikla palkitsee salauksen: salattuna vuotaneesta tiedosta ei tarvitse ilmoittaa rekisteröidyille, jos tieto pysyy luvattomille lukukelvottomana eli myös avain on turvassa.

Kuka vastaa käyttöoikeuksista, kun työntekijä lähtee?

Esihenkilö tietää, että työsuhde päättyy, ja HR tietää päivän; IT poistaa oikeudet. Jos ketju katkeaa, oikeudet jäävät voimaan, ja entinen työntekijä tai hänen tunnuksensa saanut hyökkääjä pääsee sisään. Prosessi, jossa työsuhteen päättyminen laukaisee oikeuksien poiston automaattisesti, on pääsynhallinnan tärkein yksittäinen kontrolli, ja sen omistaja on nimettävä.

Pääsynhallinta, monivaiheinen tunnistus ja salaus: kolme toimenpidettä, jotka laki nimeää

Kyberturvallisuuslaki ja NIS2 nimeävät pääsynhallinnan, todentamisen ja salauksen riskienhallinnan osiksi. Vähimmän oikeuden periaate, MFA ja salaus levossa ja siirrossa.

Lyhyesti

Kolme toimenpidettä estää suurimman osan tietomurroista, ja laki nimeää ne kaikki. Pääsynhallinta rajaa, kuka pääsee mihin; monivaiheinen tunnistus varmistaa, että tunnuksen käyttäjä on sen omistaja; salaus tekee tiedosta lukukelvotonta sille, joka pääsee siihen luvatta. Kyberturvallisuuslain 9 § edellyttää pääsynhallinnan ja todentamisen menettelyjä sekä salausmenetelmien käyttöä koskevia toimintaperiaatteita, ja NIS2-direktiivin 21 artikla luettelee samat vähimmäistoimenpiteinä. Julkishallinnossa tiedonhallintalaki lisää käyttöoikeuksien tehtäväperusteisuuden ja lokituksen. Yksikään näistä ei ole pelkkä tekninen asetus: jokainen on prosessi, jolla on omistaja.

Mitä laki sanoo

Kyberturvallisuuslain (124/2025) 9 §:n 2 momentti luettelee, mitä riskienhallinnan toimintamallissa on ainakin otettava huomioon ja pidettävä ajan tasalla. Luettelossa ovat pääsynhallinnan ja todentamisen menettelyt (7 kohta), salausmenetelmien käyttämistä koskevat toimintaperiaatteet ja menettelyt sekä tarvittaessa toimenpiteet suojatun sähköisen viestinnän käyttämiseksi (8 kohta) ja henkilöstöturvallisuus (6 kohta). NIS2-direktiivin 21 artiklan 2 kohta nimeää vastaavasti toimintaperiaatteet ja menettelyt kryptografian ja tarvittaessa salauksen käytöstä (h), henkilöstöturvallisuuden, pääsynhallintaperiaatteet ja omaisuudenhallinnan (i) sekä tarvittaessa monivaiheisen todennuksen tai jatkuvan todennuksen ratkaisut (j).

Julkishallinnolle tiedonhallintalaki (906/2019) sanoo asian tarkemmin. Lain 16 §:n mukaan tietojärjestelmästä vastuussa olevan viranomaisen on määriteltävä käyttöoikeudet käyttäjän tehtäviin liittyvien käyttötarpeiden mukaan ja pidettävä ne ajantasaisina. Lain 17 § velvoittaa keräämään tietojärjestelmien käytöstä ja tietojen luovutuksista tarpeelliset lokitiedot, kun käyttö edellyttää kirjautumista; lokien tarkoitus on käytön ja luovutusten seuranta ja teknisten virheiden selvittäminen.

Tietosuoja-asetuksen 32 artikla edellyttää käsittelyn riskiin nähden asianmukaista turvallisuustasoa ja nimeää salauksen yhtenä toimenpiteenä. Sen 34 artiklan 3 kohta antaa salaukselle konkreettisen palkinnon: jos vuotaneet henkilötiedot on suojattu niin, etteivät ne ole ulkopuolisen ymmärrettävissä, rekisteröidyille ei tarvitse ilmoittaa loukkauksesta. Ehto täyttyy vain, jos salausavain ei ole vuotanut samalla; siksi avaintenhallinta on osa salausta.

Pääsynhallinta: vähimmän oikeuden periaate

Vähimmän oikeuden periaate tarkoittaa, että jokaisella on pääsy vain siihen, mitä tehtävä edellyttää. Se kuulostaa itsestään selvältä ja toteutuu harvoin, koska oikeuksia on helpompi antaa kuin ottaa pois. Tavallinen organisaatio on täynnä käyttöoikeuksia, jotka annettiin projektiin, joka päättyi, tai tehtävään, josta henkilö siirtyi.

Elinkaaren vaihe	Mitä tehdään	Kuka
Työsuhteen alku	Oikeudet tehtävän mukaan rooliprofiilista, ei edeltäjän oikeuksia kopioimalla	Esihenkilö pyytää, IT toteuttaa
Tehtävän vaihto	Vanhat oikeudet poistetaan, uudet annetaan; ei kerrytetä	Esihenkilö, HR
Säännöllinen tarkistus	Jokaisen järjestelmän oikeudet käydään läpi ja perustellaan uudelleen	Järjestelmän omistaja
Pääkäyttäjäoikeudet	Erillinen tunnus, jota käytetään vain hallintatehtäviin, aina monivaiheisella tunnistuksella	IT
Työsuhteen päättyminen	Kaikki oikeudet poistetaan päättymispäivänä, automaattisesti HR:n tiedosta	HR laukaisee, IT toteuttaa

Taitokatalogimme pitää tätä tason 4 taitona HR:lle ja tietohallinnolle, ja kirjaston koulutus Pääsynhallinta ja henkilöstöturvallisuus päättyy lopputehtävään, jossa ratkaistaan vähimmän oikeuden rajatapaus HR:n ja IT:n välissä. Rajatapaus on tavallisesti juuri siirtymä: henkilö, joka hoitaa kahta tehtävää, tai sijainen, joka tarvitsee oikeudet nopeasti. Esihenkilön osuus käyttöoikeuksiin kerrotaan artikkelissa Esihenkilön tietosuojavastuu.

Monivaiheinen tunnistus

Salasana todistaa, että kirjautuja tietää salasanan. Se ei todista, että hän on tunnuksen omistaja, koska salasanan voi kalastella, arvata tai ostaa vuotaneesta tietokannasta. Monivaiheinen tunnistus lisää toisen tekijän, jota hyökkääjällä ei ole: puhelimen sovelluksen vahvistuksen, laitteeseen sidotun avaimen tai fyysisen tunnistimen. Kalasteltu salasana on sen jälkeen hyödytön ilman toista tekijää.

NIS2 sanoo "tarvittaessa", ja riskiarvio ratkaisee tarpeen. Käytännössä arvio päätyy samaan: etäyhteydet, sähköposti, pilvipalvelut ja kaikki pääkäyttäjätunnukset vaativat toisen tekijän, koska niihin hyökätään eniten. Tunnistuksen tekijät eivät ole tasa-arvoisia: tekstiviesti on parempi kuin pelkkä salasana mutta kaapattavissa, sovelluksen vahvistus parempi, ja laitteeseen sidottu avain, joka toimii vain oikealla verkkosivulla, kestää myös kalastelun, jossa käyttäjä itse syöttää koodin huijaussivulle. Siitä, miltä sellainen huijaus näyttää, kerrotaan artikkelissa Tietojenkalastelu ja tekoälyhuijaukset.

Salaus levossa ja siirrossa

Salaus on kaksi eri asiaa. Salaus levossa tarkoittaa, että tallennettu tieto on salattu: kannettavan levy, puhelin, varmuuskopiot ja pilvitallennus eivät ole luettavissa ilman avainta. Sen merkitys on suurin silloin, kun fyysinen laite katoaa, ja tietosuoja-asetuksen 34 artikla tekee siitä rajan, joka ratkaisee, pitääkö tuhansille ihmisille lähettää kirje. Salaus siirrossa tarkoittaa, että tieto kulkee verkossa salattuna, verkkopalveluissa TLS-yhteydellä ja etäyhteyksissä VPN:llä, niin ettei sitä voi lukea tai muuttaa matkalla.

Kyberturvallisuuslaki ei vaadi salaamaan kaikkea vaan laatimaan toimintaperiaatteet siitä, mitä salataan ja miten. Taitokatalogimme tason 4 kuvaus salaukselle ja pääsynhallinnalle on juuri tämä: määrittelee salauksen vaatimukset levossa ja siirrossa ja perustelee ratkaisun riskillä. Kirjaston koulutus Kryptografia ja salaus päättyy lopputehtävään, jossa rajatapaus ratkaistaan ja perustellaan. Avaintenhallinta on se osa, joka jää helpoimmin tekemättä: salaus, jonka avain on samassa paikassa kuin tieto, ei suojaa mitään.

Mitä nämä eivät ratkaise

Pääsynhallinta ei estä sitä, jolla oikeus on, käyttämästä sitä väärin; siihen tarvitaan lokit ja niiden seuranta, jonka tiedonhallintalaki 17 §:ssä julkishallinnolle säätää. Monivaiheinen tunnistus ei estä käyttäjää hyväksymästä vahvistuspyyntöä, jota hän ei itse käynnistänyt, jos hän ei tiedä, ettei niin saa tehdä; siihen tarvitaan koulutus. Salaus ei suojaa tietoa, joka on avattu ja luettavissa kirjautuneen käyttäjän istunnossa, jonka tunnus on kaapattu. Kolme toimenpidettä toimivat yhdessä ja koulutetun henkilöstön kanssa, ja laki vaatii ne kaikki samasta pykälästä.

Tietoturvavastaavan osaamisesta kokonaisuutena kerrotaan artikkelissa Mitä tietoturvavastaavan pitää osata kyberturvallisuuslain piirissä?, ja siitä, mitä tehdään, kun suojaukset pettävät, artikkelissa Henkilötietojen tietoturvaloukkaus.