Tekoäly tekee yritysten tiedonhausta nopeampaa ja helpompaa kuin koskaan. Samalla se voi kuitenkin nostaa esiin tietoja, joita työntekijän ei enää pitäisi nähdä. Ongelma ei välttämättä ole tekoälyssä, vaan käyttöoikeuksissa, jotka ovat jääneet vuosien varrella päivittämättä.
Näin tekoäly voisi paljastaa kollegasi palkan
Kuvitellaan tilanne, jossa työntekijä on aiemmin työskennellyt yrityksen henkilöstöhallinnossa mutta siirtynyt myöhemmin markkinoinnin tehtäviin. Uudet käyttöoikeudet on myönnetty, mutta vanhoja ei ole muistettu poistaa.
Eräänä päivänä työntekijä kysyy Microsoft 365 Copilotilta yrityksen palkkatasosta. Tekoäly löytää organisaation tiedostoista palkkataulukon, johon työntekijällä on edelleen pääsy. Vastaukseen saattaa päätyä tietoja myös yksittäisten kollegoiden palkoista.
Copilot ei ole murtautunut mihinkään eikä ohittanut käyttöoikeuksia. Se on ainoastaan hyödyntänyt tietoja, joihin käyttäjällä on teknisesti pääsy.
Ongelma ei siis syntynyt tekoälystä. Se oli olemassa jo kauan ennen tekoälyn käyttöönottoa.
Kyseessä on kuvitteellinen esimerkki, mutta se havainnollistaa todellista tietoturvariskiä: tekoäly voi helpottaa sellaisten tietojen löytämistä, joiden käyttöoikeuksia ei ole pidetty ajan tasalla.
Käyttöoikeuksia kertyy huomaamatta
Yrityksissä käyttöoikeuksia myönnetään jatkuvasti. Uusi työntekijä saa pääsyn tarvitsemiinsa järjestelmiin, projektiryhmään liittyvälle avataan yhteiset kansiot ja tehtävää vaihtavalle annetaan uusia oikeuksia.
Mutta kuinka usein muistetaan poistaa oikeudet, joita ei enää tarvita?
Vuosien aikana työntekijälle voi kertyä pääsy lukuisiin dokumentteihin, järjestelmiin ja työtiloihin, joilla ei ole enää mitään tekemistä hänen nykyisten tehtäviensä kanssa.
Erityisesti Microsoft 365 -ympäristössä tiedostojen jakaminen on tehty helpoksi. SharePoint, Teams ja OneDrive mahdollistavat sujuvan yhteistyön, mutta samalla tietoa voi päätyä tarpeettoman laajojen käyttäjäryhmien saataville.
Ongelma ei välttämättä näy päivittäisessä työssä. Vanhat dokumentit jäävät kansioihin, joita kukaan ei aktiivisesti selaa. Käyttöoikeudet ovat kuitenkin edelleen voimassa.
Tekoäly muuttaa tapaa, jolla tieto löytyy
Aikaisemmin tiedon löytäminen edellytti usein, että käyttäjä tiesi suunnilleen, mitä etsi ja mistä sitä kannatti etsiä. Vaikka työntekijällä olisi ollut pääsy vanhoihin henkilöstöhallinnon dokumentteihin, hän ei välttämättä olisi koskaan edes huomannut niitä.
Tekoäly muuttaa tilanteen.
Microsoft 365 Copilot voi etsiä tietoa organisaation eri aineistoista ja muodostaa vastauksia käyttäjän kysymyksiin. Sen sijaan, että työntekijä kävisi läpi lukuisia kansioita ja tiedostoja, hän voi yksinkertaisesti kysyä tarvitsemaansa asiaa.
Tämä on yksi tekoälyn suurimmista hyödyistä. Samalla se kuitenkin tekee käyttöoikeuksien hallinnasta entistä tärkeämpää.
Copilot noudattaa käyttäjän olemassa olevia käyttöoikeuksia. Se ei lähtökohtaisesti pääse käsiksi tiedostoihin, joihin käyttäjällä ei ole oikeutta.
Mutta entä jos käyttäjällä on oikeuksia, joita hänellä ei enää pitäisi olla?
Tällöin tekoäly voi helpottaa myös sellaisten tietojen löytämistä, jotka ovat teknisesti saatavilla mutta eivät enää kuulu käyttäjän työtehtäviin. Se, mitä tietoja vastauksiin todella päätyy, riippuu muun muassa niiden saatavuudesta ja organisaation suojausasetuksista.
Kyse ei siis välttämättä ole tekoälyn tietoturvan pettämisestä, vaan olemassa olevan käyttöoikeusongelman uudesta ulottuvuudesta.
Tiedämmekö oikeasti, kenellä on pääsy mihinkin?
Käyttöoikeuksien hallinnassa puhutaan usein vähimpien oikeuksien periaatteesta. Ajatus on yksinkertainen: jokaisella työntekijällä tulisi olla pääsy vain niihin tietoihin ja järjestelmiin, joita hän tarvitsee työnsä tekemiseen.
Käytännössä tämän periaatteen ylläpitäminen vaatii jatkuvaa työtä.
Organisaatiot muuttuvat, työntekijät vaihtavat tehtäviä ja projektit alkavat ja päättyvät. Samalla syntyy uusia Teams-ryhmiä, SharePoint-sivustoja ja jaettuja dokumentteja.
Jos käyttöoikeuksia ei tarkisteta järjestelmällisesti, niiden kokonaisuus voi vähitellen muuttua vaikeasti hallittavaksi.
Tekoälyn käyttöönoton yhteydessä huomio kiinnittyy usein uusiin ominaisuuksiin, tuottavuushyötyihin ja käyttötapoihin. Vähintään yhtä tärkeää olisi kuitenkin selvittää, millaiseen tietoon tekoäly voi käyttäjien oikeuksien perusteella päästä käsiksi.
Uuden teknologian käyttöönotto ei automaattisesti korjaa vuosien aikana syntyneitä puutteita tiedonhallinnassa.
Viisi keinoa pitää käyttöoikeudet hallinnassa
Hyvä uutinen on, ettei ongelman ratkaiseminen välttämättä edellytä suuria teknisiä uudistuksia. Usein tärkeintä on saada olemassa olevat käytännöt ja vastuut kuntoon.
1. Tarkista käyttöoikeudet säännöllisesti
Organisaation tulisi tietää, kenellä on pääsy keskeisiin järjestelmiin, SharePoint-sivustoihin ja luottamuksellisiin dokumentteihin. Erityisesti arkaluonteisia tietoja sisältävien aineistojen käyttöoikeudet kannattaa käydä läpi säännöllisesti.
2. Huomioi työtehtävien muutokset
Kun työntekijä vaihtaa tehtävää, uusien käyttöoikeuksien myöntämisen lisäksi on tarkistettava vanhat oikeudet. Tarpeettomien oikeuksien poistamisen pitäisi olla luonteva osa tehtävänvaihdosta.
3. Vältä tarpeettoman laajaa jakamista
Tiedostojen jakaminen koko organisaatiolle voi tuntua helpolta ratkaisulta, mutta kaikki tieto ei kuulu kaikille. Myös vanhat jakolinkit, projektiryhmien jäsenyydet ja ulkopuolisille myönnetyt oikeudet on syytä tarkistaa.
4. Hyödynnä Microsoft 365 hallintatyökaluja
Esimerkiksi Microsoft Entra ID käyttöoikeuksien tarkistustoiminnot ja Microsoft Purview’n tiedonsuojausominaisuudet voivat auttaa hallitsemaan pääsyä tietoihin ja suojaamaan arkaluonteisia aineistoja. Käytettävissä olevat ominaisuudet riippuvat organisaation lisensseistä.
5. Tee käyttöoikeuksien hallinnasta jatkuva prosessi
Yksittäinen tarkistus auttaa vain hetkellisesti, jos samat ongelmat pääsevät syntymään uudelleen. Selkeät vastuut, dokumentoidut käytännöt ja säännöllinen seuranta auttavat pitämään käyttöoikeudet ajan tasalla.
Tekoälyturvallisuus alkaa käyttöoikeuksista
Tekoäly tarjoaa yrityksille merkittäviä mahdollisuuksia tehostaa työntekoa ja hyödyntää organisaation tietoa aiempaa tehokkaammin. Näitä mahdollisuuksia kannattaa hyödyntää, mutta samalla on huolehdittava siitä, että tiedonhallinnan perusta on kunnossa.
Tekoäly ei itsessään päätä, kenelle organisaation luottamuksellinen tieto kuuluu. Vastuu käyttöoikeuksista ja tietojen asianmukaisesta suojaamisesta säilyy organisaatiolla.
Siksi ennen tekoälyn laajempaa käyttöönottoa kannattaa kysyä:
Jos tekoäly auttaa työntekijöitä löytämään tietoa, johon heillä on pääsy, olemmeko varmoja, että nämä käyttöoikeudet ovat edelleen perusteltuja?
Integralin asiantuntijat auttavat yrityksiä Microsoft 365 -ympäristöjen hallinnassa, käyttöoikeuksien tarkistamisessa ja tietoturvan kehittämisessä. Kun käyttöoikeudet ja tiedonhallinta ovat kunnossa, myös tekoälyn mahdollisuuksia voidaan hyödyntää turvallisemmin.
