Salasanat ilman stressiä – tunnukset hallintaan

Salasanat ilman stressiä – näin pienyritys saa tunnukset hallintaan

Salasanat ilman stressiä kuulostaa pieneltä lupaukselta. Silti se voi tarkoittaa yrityksen arjessa paljon: työntekijä pääsee tekemään työnsä, yrittäjän ei tarvitse etsiä tunnuksia kesken asiakastapaamisen ja lomalla oleva kollega saa pitää lomansa.

Monessa pienyrityksessä tunnusten käytännöt ovat syntyneet vähitellen. Ensimmäinen ohjelmisto otettiin käyttöön yhdellä tunnuksella, seuraavan tilin loi työntekijä ja verkkosivujen kirjautumistiedot jäivät viestiketjuun. Jokainen ratkaisu auttoi siinä hetkessä. Vuosien päästä kokonaisuutta voi kuitenkin olla vaikea hahmottaa.

Tätä ei tarvitse korjata syyllistämällä ketään tai muuttamalla kaikkea kerralla. Hyvä lähtökohta on sopia, missä tunnuksia hallitaan, kuka niistä vastaa ja miten työnteko jatkuu myös silloin, kun yksi ihminen on poissa.

Salasanat ilman stressiä alkaa yhteisistä käytännöistä

Ennen uuden työkalun valintaa kannattaa pysähtyä muutaman arkisen kysymyksen äärelle. Mihin palveluihin ja sovelluksiin yritys kirjautuu ja millä tavalla? Onko jokaisella työntekijällä oma tunnus? Kuka voi lisätä uuden käyttäjän? Entä kuka auttaa, jos kirjautuminen ei onnistu?

Vastaukset voi kerätä yksinkertaiseen palveluluetteloon. Siihen merkitään palvelun nimi, käyttötarkoitus, vastuuhenkilö ja tieto siitä, miten käyttöoikeuksia hallitaan. Varsinaisia salasanoja tähän luetteloon ei tallenneta.

Jo tämä auttaa erottamaan kaksi asiaa toisistaan. Yrityksen pitää tietää, kuka pääsee mihinkin, mutta yrittäjän ei tarvitse tietää jokaisen työntekijän henkilökohtaista salasanaa.

Samalla kannattaa tarkistaa, onko yrityksen kannalta tärkeä palvelu sidottu yhden työntekijän yksityiseen sähköpostiosoitteeseen. Tällainen riippuvuus on helpompi korjata rauhassa kuin henkilöstömuutoksen keskellä.

Muistamisen ei tarvitse olla työtehtävä

Jos työpäivään kuuluu monta palvelua, kaikkien salasanojen muistaminen on turha kuorma. Traficom sekä allekirjoittanut suosittelee käyttämään eri salasanaa jokaisessa palvelussa ja ottamaan muistamisen avuksi salasanojen hallintaohjelman.

Hallintaohjelma on käytännössä suojattu paikka salasanoille. Se voi myös luoda uusia salasanoja ja täyttää kirjautumistiedot puolestasi. Näin työntekijän ei tarvitse keksiä jokaiselle palvelulle helposti muistettavaa muunnelmaa samasta sanasta. Digi- ja viestintävirasto on aiheesta myös kirjoittanut hyvin.

Yrityksen työkalua valittaessa kannattaa katsoa tavallista työpäivää. Toimiiko ratkaisu käytössä olevilla tietokoneilla ja puhelimilla? Saako tarvittavat tunnukset jaettua hallitusti? Voiko käyttöoikeuden poistaa, kun tehtävät muuttuvat? Miten työntekijä saa apua käyttöönotossa?

Hyvä valinta tuntuu käyttäjälle ymmärrettävältä. Pelkkä hankittu lisenssi ei vielä muuta toimintatapaa, jos kukaan ei näytä, miten ohjelmaa käytetään. Hyvän hallintaohjelman paras puoli on se, että sinun ei tarvitse muistaa kuin yksi salasana.

Oma tunnus ensin, yhteinen tunnus vain tarpeeseen

Kun palvelu mahdollistaa henkilökohtaiset käyttäjätunnukset, niitä kannattaa käyttää. Työntekijälle annetaan hänen tehtäviinsä sopivat oikeudet. Kollegan pääsy samaan palveluun järjestetään lisäämällä hänet käyttäjäksi, ei lähettämällä toisen ihmisen salasanaa.

Yhteisiä tunnuksia voi silti olla esimerkiksi vanhassa palvelussa, joka ei tue useita käyttäjiä. Silloin kannattaa selvittää palvelun ehdot ja sopia poikkeukselle selkeä käytäntö: kenellä on pääsy tunnukseen, missä se säilytetään ja kuka vastaa sen päivittämisestä.

Kuvitellaan esimerkiksi kahdeksan hengen yritys, jossa vain yksi ihminen tuntee verkkosivujen kirjautumistiedot. Tämä on havainnollistava esimerkki, ei asiakastapaus. Tilannetta voi selkeyttää lisäämällä palveluun toisen valtuutetun ylläpitäjän, jos palvelu sen sallii. Samalla yritys dokumentoi, miten pääsy palautetaan tarvittaessa.

Tavoite on, että työnteko jatkuu sovituilla oikeuksilla ilman yhden ihmisen jatkuvaa tavoitettavuutta.

Hyvä salasana ja lisävahvistus tukevat toisiaan

Hyvän salasanan pitää olla pitkä, ainutkertainen ja vaikeasti arvattava. Hallintaohjelman luoma satunnainen salasana sopii moniin palveluihin. Itse muistettavan pääsalasanan voi muodostaa pitkäksi salasanalauseeksi, joka ei perustu yrityksen nimeen, omaan nimeen tai tuttuun sanontaan.

Monivaiheinen tunnistautuminen tarkoittaa, että kirjautuminen vahvistetaan salasanan lisäksi toisella tavalla, esimerkiksi puhelimessa olevalla sovelluksella. Se kannattaa ottaa käyttöön myös salasanojen hallintaohjelmassa, jos ominaisuus on vain saatavilla.

Käyttöönottoon kuuluu pieni mutta tärkeä harjoitus: työntekijä kirjautuu itse palveluun ja kokeilee vahvistamista. Samalla käydään läpi, ettei yllättävää kirjautumispyyntöä hyväksytä vain siksi, että puhelin sitä ehdottaa.

Näin uusi tapa ei jää ohjeeksi sähköpostiin, vaan muuttuu tutuksi osaksi työpäivää.

Sovi myös, mitä tehdään puhelimen tai tietokoneen vaihtuessa

Kirjautumisen pitää onnistua myös sen jälkeen, kun puhelin vaihtuu, laite rikkoutuu tai työntekijä unohtaa pääsalasanansa. Palautusmenetelmät vaihtelevat palveluittain, joten ne on syytä tarkistaa ennen kuin niitä tarvitaan.

Sopikaa, kuka auttaa tilin palauttamisessa ja miten apua pyytävän henkilöllisyys varmistetaan. Jos palvelu antaa palautuskoodeja, säilyttäkää ne sen ohjeiden mukaisesti suojatussa paikassa. Kriittisten yrityspalveluiden palautuminen ei saisi riippua vain yhden ihmisen henkilökohtaisesta puhelimesta.

Myös salasanojen hallintaohjelman palautuskäytännöt pitää ymmärtää. Älä oleta, että unohtuneen pääsalasanan voi aina palauttaa. Tarkista valitun ratkaisun mahdollisuudet ja rajoitukset etukäteen.

Selkeä palautusohje voi olla lyhyt. Sen pitää kertoa, keneen otetaan yhteyttä ja miten asia etenee. Salaisia palautuskoodeja ei kirjoiteta yleisesti jaettavaan toimintaohjeeseen.

Salasanaa ei tarvitse vaihtaa vain kalenterin vuoksi

Salasanojen vaihtamiseen liittyy paljon vanhoja tottumuksia. Nykyisin tunnistautumisohje ei suosittele palveluille pakollista määräaikaista salasanojen vaihtamista ilman näyttöä tunnuksen vaarantumisesta. On kuitenkin suotavaa että salasanoja vaihdetaan aikaajoin jotta prosessi ei unohdu.

Yrityksen käytäntöjä kannattaa siksi arvioida kokonaisuutena. Toistuva vaihtopakko ei korvaa ainutkertaisia salasanoja, lisävahvistusta tai oikeuksien hallintaa. Jos salasana on paljastunut tai on aiheellinen epäily väärinkäytöstä, toimitaan heti yrityksen ja palvelun ohjeiden mukaan.

Työntekijä ei kuitenkaan muuta yrityksen kirjautumissääntöjä omin päin. Mahdolliset muutokset sovitaan vastuuhenkilön tai IT-kumppanin kanssa, huomioiden käytössä olevien palveluiden vaatimukset.

Aloita yhdestä selkeästä kokonaisuudesta

Kaikkia palveluita ei tarvitse siirtää uuteen toimintatapaan yhden iltapäivän aikana. Aloita yrityksen tärkeimmistä työvälineistä: sähköpostista, tiedostopalvelusta ja liiketoiminnan keskeisistä järjestelmistä.

Nimeä vastuuhenkilö(t), tarkista henkilökohtaiset käyttäjätunnukset ja sovi salasanojen säilyttämisestä. Kokeile käytäntöä ensin pienellä porukalla. Kysy sitten, mikä helpottui ja mikä tuntuu vielä hankalalta. Varaa käyttöönotolle aikaa myös työpäivässä.

Kun käytäntö toimii, laajenna sitä muihin palveluihin. Liitä sama toimintatapa uuden työntekijän aloitukseen, tehtävien muutoksiin ja työsuhteen päättymiseen. Tarvittaessa muuta myös sellaiset yhteiset salasanat, jotka poistuva työntekijä on tuntenut.

Salasanojen hallinta on osa yrityksen IT-kokonaisuutta

Tunnusten selkeyttäminen on usein hyvä ensimmäinen askel, koska hyöty näkyy nopeasti arjessa. Samalla tulee näkyviin laajempi kysymys: kuka pitää huolen yrityksen IT:n kokonaisuudesta?

IT-Kasvukartoitus™ auttaa hahmottamaan käyttäjät, käyttöoikeudet, palvelut, tietoturvan ja vastuut osana yrityksen nykytilannetta. Kartoituksen jälkeen kehittämistä voidaan jatkaa IT Johtamisen toimintamallin avulla: sovitaan tekemiselle vastuut ja seuranta.

Jos tunnukset tuntuvat tällä hetkellä palapeliltä, ota yhteyttä. Katsotaan yhdessä, mistä selkeyttäminen kannattaa aloittaa.

Teknologian kuuluu helpottaa arkea, ei vaikeuttaa sitä. Myös kirjautumisen suhteen.

Usein kysytyt kysymykset

Miten salasanat ilman stressiä onnistuu pienyrityksessä?

Sopikaa yksi yhteinen toimintatapa: henkilökohtaiset tunnukset aina kun mahdollista, salasanoille hallintaohjelma, tärkeille tileille lisävahvistus ja selkeä palautusohje.

Pitääkö yrittäjän tietää työntekijöiden salasanat?

Ei. Yrittäjän pitää tietää palveluiden vastuuhenkilöt ja käyttöoikeuksien hallintatapa. Henkilökohtaisia salasanoja ei tarvitse kerätä yrittäjälle.

Riittääkö salasanojen hallintaohjelma yksin?

Ei. Sen rinnalle tarvitaan turvallinen kirjautuminen, tarkoituksenmukaiset käyttöoikeudet ja sovitut palautuskäytännöt.

Mistä kannattaa aloittaa?

Tee luettelo tärkeimmistä palveluista ja niiden vastuuhenkilöistä. Valitse yksi kokonaisuus, jonka tunnukset ja kirjautumiskäytännöt laitat ensin kuntoon.