todentamisprosesseja

Todentamisprosessit ovat järjestelmien ja palveluiden käyttöönoton sekä käytön turvallisuuden keskeinen osa. Todentaminen tarkoittaa sitä, että varmistetaan, keillä on oikeus tiettyihin toimintoihin tai tietoihin, sekä vahvistetaan käyttäjän tai laitteen identiteetti. Prosessi voi liittyä sekä yksittäiseen kirjautumiseen että jatkuvaan vahvistamiseen palvelun käytön aikana. Todentaminen ja valtuutus ovat erillisiä, mutta tiiviisti kytköksissä toisiinsa: todentaminen varmistaa identiteetin, kun taas valtuutus määrää, mihin toimintoihin käyttäjä saa ryhtyä.

Yleisimmät todentamismuodot

- salasana- tai PIN-todentaminen sekä näihin liittyvät metsän, kuten salasanoihin perustuvat lisäturvatoimenpiteet.

- kaksivaiheinen (monivaiheinen) todentaminen (MFA/2FA), jossa lisävarmennuksena käytetään todennusvälinettä kuten kertakäyttökoodia, push-ilmoitusta tai biometriaa.

- biometrinen todentaminen, kuten kasvotunnistus, sormenjälki tai äänentunnistus.

- sertifikaattipohjainen todentaminen PKI:n kautta, esimerkiksi sähköinen varmenne.

- kolmannen osapuolen todentaminen ja standardit (OAuth, OpenID Connect) sekä yleiset kirjautumisratkaisut (esim. BankID, Suomi.fi-tunnistus Suomessa).

Prosessin kulku

Todentamisprosessi alkaa määrittelemällä vaadittu todentamisen vahvuus ja rekisteröintivaatimukset, siirtyy identiteetin vahvistamiseen, suorittaa todentamisen käyttäjän toteuttamana, ja johtaa sessio- ja oikeuksienhallintaan. Istunnon aikana käytetään riskiperusteisia mekanismeja, jolloin lisätodennus voi tulla tarpeen tietyissä tilanteissa. Tiedot säilytetään ja lokitetaan vaatimusten mukaisesti, ja pääsyoikeuksia tarkistetaan sekä uusitaan tarpeen mukaan.

Tietosuoja ja sääntely

Todentamisprosesseissa korostuvat tietosuoja ja turvallisuus. Eurooppalaisella tasolla PSD2- ja SCA- vaatimukset sekä yleinen tietosuoja (GDPR) ohjaavat vahvaa todentamista, riskinarviointia, lokitusta ja oikeuksien hallintaa. Käytännössä prosessit pyrkivät minimoimaan tiedon keräämisen, suojaamaan tunnistetietoja ja tarjoamaan käyttäjille selkeät palautteet todentamisen perusteista.

Käyttökohteet

Sovelluskohteita ovat pankkipalvelut, telekommunikaatio, julkiset digipalvelut ja muut kriittiset järjestelmät. Suomen kontekstissa yleisiä ratkaisuja ovat Suomi.fi-tunnistus ja pankkitunnukset (BankID), sekä mobiilivarmenteet, jotka mahdollistavat nopean ja luotettavan todentamisen valtakunnallisessa käytössä.