Mikä on tietoturvakartoitus ja mitä siinä tarkistetaan?

Sama nimi, eri työ

Samannimiset tarjoukset voivat sisältää aivan eri työn. Yksi tutkii vain sen, mikä yrityksestä näkyy internetiin. Toinen käy läpi myös sisäverkon, työasemat ja käyttäjätunnukset. Kolmas on haastattelu, jossa toimintatapoja verrataan johonkin standardiin. Kaikkia kutsutaan tietoturvakartoitukseksi.

Kyberturvallisuuskeskuksen maksuton Kybermittari on esimerkki toimintatapojen arvioinnista. Se ei tutki teknisesti, mitä yrityksestä näkyy internetiin.

Vertailkaa tarjouksia siksi sisällön perusteella, ei nimen.

Mitä ulkoa päin näkyy?

Ulkoinen kartoitus katsoo yritystä samasta suunnasta kuin hyökkääjä: internetistä ja ilman tunnuksia. Näkyvissä ovat esimerkiksi

• verkkotunnuksen nimipalvelutiedot
• sähköpostin lähettäjäsuojaukset eli SPF, DKIM ja DMARC
• verkkosivun salausyhteys ja selaimelle annetut suojausohjeet
• julkiset palvelut, kuten etäyhteydet tai unohtuneet testisivut.

Jokainen havainto kertoo yhdestä kohteesta, ei koko yrityksestä. Voimassa oleva varmenne kertoo, että yhteys sivustolle on salattu, mutta se ei kerro, onko sivuston kirjautuminen tehty oikein. Samoin toimiva SPF-tietue ei kerro, onko työntekijöiden sähköpostitileillä kaksivaiheinen tunnistautuminen.

Sopikaa nämä neljä asiaa ennen tilausta

Kohteet

Mitkä verkkotunnukset, aliverkkotunnukset ja IP-osoitteet tutkitaan? Kuka ne omistaa, ja kuka saa antaa luvan tutkia niitä?

Menetelmät

Käytetäänkö vain julkisia tietoja ja tavallisia verkkopyyntöjä, vai skannataanko palvelimia aktiivisesti? Aktiiviseen skannaukseen tarvitaan kohteen omistajan lupa, ja asiallinen tekijä pyytää sen aina kirjallisena. Luvaton tietojen käsittely voi täyttää rikoksen tunnusmerkit.

Rajaukset

Kuuluvatko mukaan sisäverkko, henkilöstön tunnukset, lähdekoodi tai pilvipalveluiden hallinta? Tieto siitä, mitä ei tutkita, on yhtä tärkeä kuin tieto siitä, mitä tutkitaan.

Toimitus

Saatteko pelkän löydöslistan vai myös perustelut, korjausohjeet ja läpikäynnin?

Kuvitellaan Esimerkki Oy, jolla on verkkosivu, verkkokauppa ja Microsoft 365 -sähköposti. Kohteeksi sovitaan verkkotunnus aliverkkotunnuksineen, menetelmäksi julkiset tiedot ilman skannausta. Verkkokauppa on kauppa-alustan palvelimella, joten sen skannaus vaatisi alustan luvan. Sisäverkko ja Microsoft 365 -hallinta rajataan pois.

Jo kohdeluettelo on arvokas. Yhdysvaltain standardointiviraston NIST:n pienyritysoppaan mukaan laitteet, ohjelmat ja palvelut pitää tunnistaa ennen kuin niitä voi suojata. Laajasti käytetyn CIS Controls -suosituslistan ensimmäinen kohta on samoin yrityksen laitteiden luettelointi ja hallinta.

Arviointi jää silti usein tekemättä. Ison-Britannian hallituksen huhtikuussa 2026 julkaistussa kyselyssä vain 30 prosenttia yrityksistä oli tehnyt kyberturvallisuuden kattavan riskiarvion.

Miltä hyödyllinen löydös näyttää?

Hyvä löydös vastaa neljään kysymykseen: mitä havaittiin ja milloin, mihin havainto perustuu, mitä siitä voi seurata ja mitä seuraavaksi tehdään. Epävarma havainto merkitään epävarmaksi. Punainen pallo ja vakavuusluokka eivät yksin riitä päätökseen.

Esimerkki: raportin mukaan verkkotunnukselta puuttuu DMARC-käytäntö. Hyvä raportti kertoo tämän lisäksi

• mitä se tarkoittaa käytännössä: yrityksen nimissä on helpompi lähettää väärennettyä postia
• kenelle korjaus kuuluu: yleensä sähköpostipalvelun ylläpitäjälle tai IT-kumppanille
• miksi asetusta ei kannata kiristää heti: ensin selvitetään kaikki palvelut, jotka lähettävät postia yrityksen nimissä. Kyberturvallisuuskeskus neuvoo samoin.

Toinen esimerkki on keksitty, mutta tyypillinen:

Havainto

Aliverkkotunnus testi näyttää internetiin vanhan kopion verkkosivusta. Havaittu tarkastuspäivänä.

Peruste

Osoite löytyi julkisesta varmennelokista. Sivun julkaisualusta ei enää saa tietoturvapäivityksiä.

Seuraus

Alustan tunnettujen haavoittuvuuksien kautta sivulle voi päästä sisään.

Toimenpide

Verkkosivun ylläpitäjä poistaa kopion.

Varmuus

Sivu on varmasti julkinen. Onko siinä asiakastietoja, ei tiedetä, koska sivulle ei kirjauduttu.

Mitä raportin jälkeen tehdään?

Antakaa jokaiselle korjaukselle tekijä ja aikataulu. Tarkistakaa korjauksen jälkeen, että puute poistui ja palvelu toimii yhä. Kirjatkaa ylös myös riskit, jotka päätitte hyväksyä, ja syy siihen.

Kartoitus kertoo tilanteen tarkastuspäivänä. Asetukset muuttuvat, kun IT-toimittaja vaihtuu, verkkosivu uudistetaan tai uusi palvelu otetaan käyttöön. Siksi tarkistus kannattaa toistaa säännöllisesti, vähintään aina isojen muutosten jälkeen.

Kybervartion vaihtoehdot

Tietoturvan perustarkastus on rajattu ulkoinen kartoitus: 34 tarkistusta julkisista tiedoista, ilman kirjautumista ja ilman skannausta. Jos yrityksellä on oma palvelin, Laajatarkastus tutkii myös sen näkyvät palvelut ja julkisesti tunnetut haavoittuvuudet. Kybervartio-seuranta tarkistaa päivittäin, mitä yrityksestänne näkyy internetiin, ja kertoo toimia vaativista muutoksista yleensä samana arkipäivänä. Uhka-arvio kokoaa julkisista lähteistä, mitä hyökkääjä saisi selville rooleistanne, laskutuksestanne ja nimeänne muistuttavista osoitteista, ja kirjoittaa todennäköisimmät hyökkäystiet auki.

Pienimmillään voitte aloittaa ilmaisesta sähköpostiturvan tarkistuksesta. Se näyttää yhden osan siitä, mitä yrityksestänne näkyy ulos.