Tietoturva hallintaliittymässä

Work in progress

toistaiseksi näkyvissä vain KVP:läisille

Tiesuojasta hallintaliittymässä

Käyttäjän, ylläpitäjän ja organisaation pääylläpitäjän vastuut

Käyttäjätunnukset ovat henkilökohtaisia, eikä niitä saa luovuttaa muiden käyttöön. Vain nimetyillä luonnollisilla henkilöillä saa olla Finna-palvelun ylläpitotunnuksia. 

Organisaatioiden ylläpitäjät ja käyttäjät ovat myös velvoitettuja ilmoittamaan Finna palvelupisteelle henkilövaihdoksista ja tarpeista uusille tunnuksille, joiden lisäykset hoidetaan keskitetysti.

 

Ylläpitäjä-oikeudet annetaan vain rajatulle joukolle ja organisaatioissa pyritään pitämään ylläpitäjä-statuksen omaavia henkilöitä vain muutamia. Organisaation pääylläpitäjät (Organisation Admin) ovat 

myös velvollisia pitämään kirjaa, siitä kenellä organisaation sisällä on tällaiset ylläpitäjä-tunnukset käytössä ja kenellä ei. Lisätietoa käyttäjähallinnasta: Käyttäjätoiminnot.

 

Tekniset rajoitukset ja valvonta

Hallintaliittymän käyttö sekä pääsy on rajattu IP-osoitteella ja salasanalla.

Pääsyn omaavia IP-osoitteita hallinoidaan pääasiassa Finna-palvelupisteen kautta. Käyttöä pyritään seuraamaan aktiivisesti seuraamaan ja tarpeettomiksi jääneet IP-osoitteet poistetaan pääsylistalta.

Käyttäjien lisääminen ja poistaminen lisätään käyttäjälokiin, jonne on pääsy vain pääkäyttäjä-tunnuksilla, joita on hallussa vain Finnan palvelupisteen sekä kehityksen työntekijöillä.  Yli vuoden käyttämättömänä olleet käyttäjätunnukset tullaan jatkossa poistamaan automaattisesti. 

Pääylläpitäjä-käyttäjät hallinoivat oman organisaationsa käyttäjiä lisäämisen, poistamisen tai muokkaustarpeen yhteydessä yhteydessä.

Tiedon salaaminen

Hallintaliittymän käyttö tapahtuu ainoastaan HTTPS-suojatulla yhteydellä.

Tiedostoihin/hakemistoihin pääsy on rajattu ylläpitäjille ainoastaan muutamaan hakemistoon ja niiden alihakemistoihin, tarkoittaen päätasolla vain kansioita 'local' sekä 'themes'

ja näiden alihakemistoja. Käyttäjä-roolilla ei ole pääsyä tiedostonhallinta-osioon.

TODO:

• käyttämättömät tunnukset poistetaan puolen vuoden käyttämättömyyden jälkeen. Henkilötiedoista huolehditaan koko elinkaaren.
  • tiedotettava, että ne jotka eivät ole kirjautuneet puoleen vuoteen (tai vuoteen - Erkki varmistaa) poistetaan ja luotava tunnukset uudelleen
    
• tarkistetaan jääkö käyttäjätiedot käyttäjän poistamisen jälkeen. Eli onko mahdollista selvittää kuka käyttäjä oli poiston jälkeen.
  • jää lokiin, ks. seuraava kohta (pitäisi jäädä nimi ja organisaatio sekä lisätä file managementiin). Ilmoitettava käyttäjälle, että virheiden korjaamiseksi ym. keräämme käytäjästä lokia. Varmistetaan vielä.
    
• lokiin pitää jäädä tieto kuka on kutsunut tunnuksen
  • on ok
    
• Hallintaliittymän käyttöehdot pitää kirjoittaa
  • GDPR: informoiva teksti hallintaliittymään, mitä käyttäjän tietoja käsitellään, linkki tietosuojaselosteeseen asiakaswikiin, tarvitaanko hyväksymisruksi?
  • Käyttöehdot: informoiva teksti hallintaliittymään, linkki tarkentavaan tekstiin asiakaswikiin, hyväksymisruksi
    
• Yksi taso lisää käyttäjiin: ns. 'organisaation ylläpitäjä' jolla on mahdollisuus lisätä organisaatioille ylläpitäjä-statuksen omaavia käyttäjiä 
  • on ok
    
    

Selvitys tulevaisuuteen

Kaksivaiheisen tunnistautumisen mahdollistaminen (mobiilivarmenne, multiotp open source?)

 

Organisaatiot huolehtivat IP-avauksista ja käyttäjätunnuksien poistamisista organisaatiolta, ja ilmoittavat meille henkilövaihdoksista ja uusien tunnuksien tarpeista.

Ylläpitäjä-oikeudet rajatulle joukolle. Ja pitää kirjaa kenellä on oikeudet omassa organisaatiossa. 

Tekniset rajoitukset ja valvonta:

Ip-rajattu, salasana rajattu. 

Valvonta: lokitus, käyttäjien lisääminen ja poistaminen lokitetaan. 

Ylläpitäjät hallinoivat käyttäjiä vain kun on tarve.

Tiedonsalaaminen: HTTPS takana

TODO: käyttämättömät tunnukset poistetaan puolen vuoden käyttämättömyyden jälkeen. Henkilötiedoista huolehditaan koko elinkaaren

TODO: tarkistetaan jääkö käyttäjätiedot käyttäjän poistamisen jälkeen. Eli onko mahdollista selvittää kuka käyttäjä oli poiston jälkeen.

TODO: lokiin pitää jäädä tieto kuka on luonut tunnuksen

Kaksivaiheisen tunnistautumisen mahdollistaminen tulevaisuudessa(mobiilivarmenne, multiotp open source?)

Rajoitettiin organisaationkohtaisia oikeuksia suppeammiksi tiedostonhallinnassa, ylläpitäjät pääsevät nyt vain muutamaan kansioon (local/themes).

TODO: Hallintaliittymän käyttöehdot.

TODO: Ylläpitäjän mahdollisuus luoda uusia ylläpitäjiä mietintään, onko järkevää vai estetäänkö se ja pidetään mahdollisuus ylläpitäjien lisäykseen vain pääkäyttäjille(kk). Vai olisiko organisaatioille yksi mega-ylläpitäjä joka voi lisätä ylläpitäjiä.