Ensimmäinen onnistunut kokeilu on hyvä alku. Seuraava kysymys on, mitä tapahtuu silloin, kun käyttäjä tekee jotakin odottamatonta tai järjestelmän ulkoinen yhteys katkeaa.
Kirjautuminen toimii. Entä käyttöoikeudet?
Rakennatte järjestelmän, jossa työntekijä näkee omat asiakkaansa. Kirjaudutte sisään, avaatte asiakaslistan ja kaikki näyttää toimivan.
Onko myös tarkistettu, voiko työntekijä avata toisen asiakkaan tiedot vaihtamalla osoitteessa olevan tunnisteen? Onko ylläpitäjän toiminto oikeasti estetty tavalliselta käyttäjältä, vai onko häneltä vain piilotettu siihen johtava painike?
Painikkeen piilottaminen ei vielä estä toiminnon suorittamista. Järjestelmän täytyy tarkistaa oikeudet myös silloin, kun tietoja luetaan tai muutetaan. Samoin kirjautumisen asetukset, istunnot ja salasanan palautus tarvitsevat tarkistuksensa.
Oletteko kokeilleet vain sitä, että oikea käyttäjä pääsee sisään — vai myös sitä, ettei hän pääse väärään paikkaan?
Testatkaa myös se, minkä ei pitäisi onnistua
Voiko saman tilauksen hyväksyä kahdesti? Saako jo laskutettua tilausta muuttaa? Mitä tapahtuu, jos tallennus keskeytyy tai kaksi käyttäjää muokkaa samaa tietoa? Liiketoiminnan säännöt pitää määritellä ja testata.
AI:lta kannattaa pyytää tarkistuksia, mutta sen ilmoitus turvallisuudesta ei yksin riitä. Tarvitaan toteutuksen arviointia ja testejä eri käyttäjärooleilla sekä virhe- ja poikkeustilanteissa.
Myös sisäinen työkalu tarvitsee vastuuhenkilön
Sisäinenkin työkalu voi käsitellä asiakas- ja työntekijätietoja tai vaikuttaa laskutukseen ja päätöksentekoon. Käyttötapaukseen liittyvät velvoitteet ja käytettyjen palveluiden ehdot pitää selvittää.
Ennen käyttöönottoa sovitaan, kuka hallitsee tunnuksia, poistaa käyttöoikeuksia, huolehtii varmuuskopioista ja reagoi häiriöön. Tarkistuksen laajuus suhteutetaan järjestelmän merkitykseen: yhden henkilön apuväline ja yrityksen tilausjärjestelmä tarvitsevat erilaisen arvioinnin.
Kysymyksiä tästä aiheesta.
01Mitä AI:lle pitää osata määritellä?＋
Toimintojen lisäksi käyttäjät, käyttöoikeudet, käsiteltävät tiedot, liiketoiminnan säännöt ja poikkeustilanteet. Määrittelemättä jääneisiin kohtiin voi syntyä yrityksen kannalta vääriä oletuksia.
02Riittääkö AI:n tekemä tietoturvatarkistus?＋
Se auttaa löytämään puutteita, mutta ei yksin osoita järjestelmän turvallisuutta. Toteutusta ja sen asetuksia pitää arvioida ja testata käyttötarkoitukseen sopivalla tavalla.
03Mitä ennen käyttöönottoa pitää varmistaa?＋
Ainakin kirjautuminen, käyttöoikeudet, tietojen suojaus, toimintalogiikka, virheiden käsittely sekä varmuuskopiointi ja palautus. Myös ylläpidolle ja häiriötilanteille pitää sopia vastuuhenkilöt.
Taustalähde: OWASP: käyttöoikeuksien hallinta ↗