Yrityksen puolesta asiointi on yksi digitaalisten palveluiden vaikeimmista identiteettiongelmista. Kyse ei ole vain siitä, kuka käyttäjä on, vaan siitä kenen puolesta hän toimii ja millä valtuudella. Tässä artikkelissa tarkastellaan B2B-valtuuksia CIAM-arkkitehtuurin näkökulmasta: miten valtuus syntyy, missä sitä hallitaan ja miten se lopulta välitetään palveluille.
Yrityksen puolesta asiointi digitaalisissa palveluissa
Kun ihminen käyttää digitaalista palvelua omissa nimissään, identiteetin logiikka on yksinkertainen: käyttäjä tunnistetaan ja palvelu tietää, kuka on kirjautunut sisään. Käyttäjä on liitetty sopimukseen joko maksutapahtuman kautta, tai henkilötunnuksella.
Yritysten välisessä asioinnissa tilanne muuttuu olennaisesti. Harva asioi palvelussa täysin omissa nimissään. Sen sijaan henkilö toimii jonkin organisaation puolesta: työntekijänä, konsulttina, palveluntarjoajan (esim. tilitoimiston) edustajana tai nimenkirjoitusoikeuden omaavana henkilönä.
Tämä tekee identiteetistä monikerroksisen: palvelun täytyy tietää kuka henkilö on, mitä organisaatiota hän edustaa ja millä valtuudella hän toimii. Tässä kohtaa monet CIAM-toteutukset alkavat rakoilla. Valtuuttaminen muuttuu kertaluokkaa monimutkaisemmaksi ja kuluttajapuolelta tuttu identiteettimalli ei enää riitä.
Jotta kokonaisuus pysyy hallittavana, on hyödyllistä tarkastella B2B-valtuuksia kuin anatomiaa: purkaa kokonaisuus osiin ja ymmärtää, miten valtuudet syntyvät, missä niitä hallitaan ja mikä rooli CIAM:lla tässä oikeasti on.
Valtuusketjun anatomia
Yritysten välisessä asioinnissa valtuus ei yleensä ole yksinkertainen. Se muodostuu usein ketjusta, jossa valtuus siirtyy useamman osapuolen kautta.
Tyypillisiä tilanteita ovat esimerkiksi:
- Yritys → työntekijä
Yritys antaa työntekijälle oikeuden käyttää palvelua yrityksen puolesta. Tämä on yleisin tapaus esimerkiksi pankki-, vakuutus- ja viranomaispalveluissa. - Yritys → ulkopuolinen henkilö
Yritys voi valtuuttaa myös organisaation ulkopuolisen henkilön, kuten kirjanpitäjän, lakimiehen tai konsultin. Tällöin valtuus ei perustu työsuhteeseen vaan erilliseen sopimukseen, eli valtakirjaan. - Yritys → toinen yritys → työntekijä
Monimutkaisempi, mutta hyvin yleinen ketju syntyy, kun yritys valtuuttaa toisen yrityksen hoitamaan asioita puolestaan. Palvelua käyttää lopulta tämän yrityksen työntekijä.
Tämä tarkoittaa, että järjestelmän on usein ymmärrettävä sekä henkilö että hänen organisaatiokontekstinsa. Pelkkä käyttäjätili ei enää alkuunkaan riitä kuvaamaan todellista valtuustilannetta.
Missä CIAM:n vastuu alkaa ja päättyy?
CIAM-ratkaisuja suunniteltaessa yksi keskeinen kysymys on: mitä CIAM:n pitäisi oikeasti tehdä. Ja mitä ei.
CIAM:n tehtävä on tyypillisesti:
- tunnistaa käyttäjä luotettavasti
- liittää käyttäjä oikeaan organisaatioon
- välittää sovellukselle tieto käyttäjän roolista tai valtuudesta
- tuottaa auditoitava jälki siitä, kuka toimi ja kenen puolesta
Sen sijaan CIAM ei yleensä ole oikea paikka ratkaista esimerkiksi:
- onko valtakirja juridisesti pätevä
- kuka organisaatiossa saa antaa valtuuksia
- millä sopimuksella valtuus on syntynyt
Nämä kuuluvat organisaation prosesseihin ja juridiseen hallintaan, eivät identiteettijärjestelmään.
Kun tämä raja hämärtyy, CIAM:sta tulee helposti järjestelmä, joka yrittää ratkaista myös liiketoiminnan ja juridiikan ongelmia. Usein huonolla lopputuloksella.
Valtakirjat: juridinen valtuus CIAM:n ulkopuolella
Yrityksen puolesta asiointi perustuu lähes aina johonkin juridiseen mekanismiin.
Se voi olla esimerkiksi:
- valtakirja
- sopimukseen perustuva valtuutus
- organisaation sisäinen toimivalta tai nimenkirjoitusoikeus
- viranomaisrekisteriin perustuva oikeus
Monissa organisaatioissa näitä hallitaan edelleen manuaalisesti: valtakirja toimitetaan palveluntarjoajalle ja sen perusteella käyttäjälle annetaan oikeudet järjestelmässä.
Joissakin tapauksissa organisaatioiden välisten valtuuksien, eli valtakirjojen hallinta on digitalisoitu erilliseen palveluun, joka täyttää juridiset vaatimukset ja toimii valtuustiedon lähteenä.
CIAM-ratkaisu voi hallita käyttäjien rooleja ja käyttöoikeuksia palvelussa. Juridinen valtuuttaminen, kuten valtakirjat tai edustusoikeus, syntyy kuitenkin tyypillisesti CIAM:n ulkopuolella. CIAM käyttää tätä valtuustietoa osana identiteetin kontekstia ja välittää sen sovelluksille.
Entä Suomi.fi-valtuudet?
Suomessa tunnetuin digitaalinen valtuusratkaisu on Suomi.fi-valtuudet, jota käytetään laajasti viranomaispalveluissa. Se tarjoaa keskitetyn tavan hallita valtuuksia tilanteissa, joissa henkilö asioi yrityksen tai toisen henkilön puolesta.
Mallissa:
- organisaatio antaa valtuuden keskitettyyn valtuuspalveluun
- käyttäjä tunnistetaan vahvasti
- palvelu tarkistaa rajapinnan kautta, onko käyttäjällä valtuus asioida organisaation puolesta
Arkkitehtuurisesti ratkaisu erottaa selkeästi kolme asiaa: tunnistaminen, valtuuksien hallinta ja palvelun käyttö.
Yksityisellä sektorilla Suomi.fi:n vahva tunnistus ei kuitenkaan ole käytettävissä samalla tavalla kuin viranomaispalveluissa. Sen sijaan palvelu voi tunnistaa käyttäjän esimerkiksi pankkitunnuksilla luottamusverkoston kautta ja hyödyntää henkilötunnusta kysyäkseen Suomi.fi-valtuuksien rajapinnasta, onko henkilöllä valtuus asioida yrityksen tai toisen henkilön puolesta.
Suomi.fi-valtuudet on kiinnostava mahdollisuus valtakirjojen digitaaliseen hallintaan myös yksityisellä sektorilla, mutta sitä on vaikea nähdä yleispätevänä ratkaisuna kaikkiin tilanteisiin. Valtuudet on sidottu Suomi.fi-valtuuksien valtuusasioihin ja valtuuskoodeihin, mikä tarkoittaa, että palvelun täytyy sovittaa oma valtuusmallinsa tähän ennalta määriteltyyn rakenteeseen.
Tämän vuoksi monissa B2B-palveluissa tarvitaan edelleen myös muita tapoja hallita valtuuksia. Suomi.fi-valtuudet toimii kuitenkin hyvänä esimerkkinä arkkitehtuurista, jossa juridinen valtuus, tunnistaminen ja palvelun käyttö on erotettu toisistaan.
Miten valtuudet näkyvät CIAM-arkkitehtuurissa
Kun käyttäjä kirjautuu palveluun, sovelluksen tulee lopulta saada keskitetysti tieto siitä, millä valtuudella käyttäjä toimii. Tässä kohtaa CIAM toimii usein järjestelmän keskitettynä valtuuskontekstin lähteenä.
Valtuudet voivat kuitenkin syntyä useasta eri lähteestä. Esimerkiksi:
- valtakirjoihin perustuvat valtuudet
- delegoidun hallinnan perusteella myönnetyt oikeudet
- organisaation sisäiseen käyttäjähallintaan perustuvat oikeudet
- toisen organisaation identiteettijärjestelmästä federoinnin kautta tulevat oikeudet
CIAM-ratkaisun tehtävä on yhdistää nämä eri lähteistä tulevat tiedot yhdeksi näkymäksi ja välittää ne palveluille kirjautumisen yhteydessä.
Palvelun näkökulmasta olennaisia tietoja ovat tyypillisesti esimerkiksi: kuka käyttäjä on, mitä organisaatiota hän edustaa ja millä roolilla tai valtuudella hän toimii.
Tämän jälkeen varsinainen sovellus tekee päätöksen siitä, mitä käyttäjä saa tehdä palvelussa.
Arkkitehtuurisesti tämä tarkoittaa, että vaikka valtuudet voivat syntyä useassa eri paikassa, CIAM toimii niiden keskitettynä välittäjänä ja luotettavana lähteenä palveluille.
Tämä auttaa pitämään erillään kolme usein sekoittuvaa asiaa: identiteetti – kuka käyttäjä on; valtuus – kenen puolesta käyttäjä toimii; käyttöoikeus – mitä käyttäjä saa tehdä palvelussa.
Yhteenveto
B2B-valtuudet ovat yksi CIAM-arkkitehtuurien haastavimmista alueista, koska identiteetti ei enää tarkoita pelkästään käyttäjää. Palvelun täytyy ymmärtää kokonainen konteksti: kuka käyttäjä on, mitä organisaatiota hän edustaa ja millä valtuudella hän toimii.
Keskeinen arkkitehtuuriperiaate on, että juridinen valtuus syntyy yleensä CIAM:n ulkopuolella, esimerkiksi valtakirjojen, sopimusten tai organisaation sisäisten toimivaltamallien kautta. CIAM:n rooli on tunnistaa käyttäjä, yhdistää eri lähteistä tuleva valtuustieto ja välittää se palveluille yhtenäisenä valtuuskontekstina.
Kun tämä työnjako pidetään selkeänä, myös B2B-asioinnin identiteettiarkkitehtuuri pysyy hallittavana.
Tarvitsetko selkeän B2B-valtuusmallin?
Katsotaan 30 minuutissa läpi, miten B2B-valtuudet ja CIAM-arkkitehtuuri tällä hetkellä toimivat: missä valtuus syntyy, miten se virtaa järjestelmiin ja mitä kannattaa muuttaa ensin. Saat konkreettisen ehdotuksen seuraavista askeleista – ilman sitoumuksia.
