Mitä on tietoturva?

Jos jotain on jo tapahtunut, lukekaa, mitä tehdä, jos raha on jo lähtenyt, ja ilmoittakaa asiasta Kyberturvallisuuskeskukselle.

Mitä tietoturva tarkoittaa?

Suomalainen kyberturvallisuussanasto määrittelee tietoturvan hallinnollisiksi ja teknisiksi toimiksi, joilla pyritään varmistamaan tiedon saatavuus, eheys ja luottamuksellisuus (Kyberturvallisuussanasto). Hallinnolliset toimet ovat vastuita, sopimuksia ja toimintatapoja. Tekniset toimet ovat asetuksia ja ohjelmia.

Käytännössä tietoturva on kolme kysymystä:

• Onko tieto vain niillä, joille se kuuluu?
• Pitääkö tieto paikkansa?
• Saako tiedon käyttöön silloin, kun sitä tarvitaan?

Kuvitellaan kampaamo. Asiakaslista päätyy vieraalle, laskun tilinumero muuttuu matkalla tai ajanvarausjärjestelmä ei toimi lauantaina. Jokainen näistä on tietoturvaongelma, eikä yhdessäkään tarvitse olla kyse murretusta koneesta. Tieto voi olla myös paperilla tai puheessa.

Kyberturvallisuus ja tietoturva menevät osin päällekkäin, ja arkikielessä niitä käytetään lähes samassa merkityksessä. Tietosuoja koskee ihmisten henkilötietoja. EU:n tietosuoja-asetus vaatii niiden suojaksi sekä teknisiä että organisatorisia toimia (GDPR 32 artikla, englanniksi).

Yhdysvaltain kyberturvallisuusvirasto CISA jakaa perustyön kuuteen osaan: johto, henkilöstö, järjestelmät, ympäristö, tiedot ja toiminta kriisissä. Vain yksi niistä on järjestelmät (CISA, englanniksi). Verizonin vuoden 2026 tietomurtoraportissa ihmisen teko tai virhe oli mukana 62 %:ssa murroista ja kolmas osapuoli eli toimittaja tai kumppani 48 %:ssa. Tekniikkaakaan ei voi unohtaa: ohjelmistohaavoittuvuus oli yleisin sisäänpääsytapa, 31 % (Verizon DBIR 2026, PDF, englanniksi).

Yrityksen tietoturva kannattaa siksi käydä läpi kuutena alueena.

1. Sähköposti ja viestit

Moni huijaus alkaa viestistä, ja viesti voi olla myös tekstiviesti tai WhatsApp. Kyberturvallisuuskeskuksen syyskuun 2026 katsauksen mukaan toimitusjohtajahuijauksia nähtiin lähes päivittäin (Kybersää, PDF). Kymenlaaksossa yksi tällainen huijaus maksoi yritykselle satoja tuhansia euroja, ja huijauksia tehdään myös WhatsAppin kautta (Suomen Yrittäjät).

Kuvitellaan LVI-yritys. Myyjä kirjautuu tarjouspyynnön linkistä valesivulle, ja aamulla asiakkaat saavat hänen tililtään saman huijausviestin.

Ensimmäinen teko: sopikaa maksukäytäntö, jossa tilinumeron muutokset ja poikkeukselliset maksut varmistetaan soittamalla tuttuun numeroon. Ilmainen sähköpostiturvan testi näyttää, onko yrityksenne osoitteita helppo väärentää. Asetuksista lisää oppaassa SPF, DKIM ja DMARC.

2. Verkkosivu ja palvelut

Tähän kuuluu kaikki, mikä näkyy internetiin: verkkosivu, ajanvaraus, verkkokauppa, unohtuneet sivut ja itse verkkotunnus. Jokaisella niistä pitää olla joku, joka vastaa päivityksistä.

Kuvitellaan yritys, jonka sivut teki tuttu. Tuttu lopetti, lisäosa jäi päivittämättä, ja sivulle ilmestyi huijauslinkki. Suomessa tunnetuin esimerkki hoitamattomasta palvelusta on Vastaamo. Tietosuojaviranomaisen mukaan vuodon todennäköisin syy oli tietokanta, jonka pääkäyttäjätilillä ei ollut salasanaa. Tietomurrosta olisi pitänyt myös ilmoittaa viipymättä. Seuraamusmaksu oli 608 000 euroa, eikä päätös ollut tiedotteen aikaan lainvoimainen (Tietosuojavaltuutetun toimisto, englanniksi).

Ensimmäinen teko: listatkaa palvelut ja kirjatkaa jokaisen viereen vastuuhenkilö. Ohje on oppaassa mikä on ulkoinen hyökkäyspinta.

3. Tunnukset ja tilit

Muistakaa muutkin kuin sähköposti: pankki, kirjanpito, some, verkkotunnuksen hallinta ja verkkosivun ylläpito. Yhteisistä tunnuksista ei näe, kuka teki mitä, ja lähtijän tili unohtuu helposti auki.

Britanniassa 158 vuotta vanha kuljetusyhtiö KNP kaatui kiristyshyökkäyksen jälkeen. Yhtiön entisen johtajan mukaan BBC:n ohjelmassa hyökkääjät pääsivät sisään arvaamalla työntekijän heikon salasanan, ja myös varmuuskopiot tuhoutuivat. Yli 700 ihmistä menetti työnsä (Motor Transport, englanniksi). Yhdysvalloissa hyökkääjä pääsi erään osavaltion organisaatioon entisen työntekijän ylläpitotilillä, jota ei ollut suljettu tämän lähtiessä (CISA, englanniksi).

Kuvitellaan yritys, jonka Instagram-tili on yhä kytketty entisen harjoittelijan puhelinnumeroon. Kun tili kaapataan, kukaan ei pääse palauttamaan sitä.

Ensimmäinen teko: ottakaa kaksivaiheinen tunnistautuminen käyttöön sähköpostissa ja sulkekaa tilit, joita kukaan ei enää käytä. Kysymykset IT-kumppanille ovat oppaassa mitä kysyä IT-kumppanilta.

4. Laitteet ja verkko

Tähän kuuluvat päivitykset, koneen levyn salaus, kadonnut puhelin, vierailijoiden verkko ja varmuuskopiot. Varmuuskopiosta on hyötyä vain, jos sen voi palauttaa. Kyberturvallisuuskeskus neuvoo testaamaan palautusta säännöllisesti (Kyberturvallisuuskeskus).

Varmuuskopion paikallakin on väliä. Australialaisen eläkeyhtiö UniSuperin pilviympäristö poistettiin vahingossa vuonna 2024 Googlen tekemän määritysvirheen vuoksi, ja toisella toimittajalla olleet varmuuskopiot pienensivät vahinkoa (Google Cloud, englanniksi; UniSuper ja Google Cloud, englanniksi).

Ensimmäinen teko: kokeilkaa palauttaa yksi tiedosto varmuuskopiosta. Päivityksistä ja varmuuskopioista kannattaa kysyä IT-kumppanilta.

5. Toimittajat ja ohjelmistot

Kirjanpitäjä, IT-kumppani, kassajärjestelmä ja pilvipalvelut pääsevät yrityksen tietoihin. Verizonin raportissa pienillä ja keskisuurilla yrityksillä kolmas osapuoli oli osallisena 55 %:ssa murroista. Marks & Spencerin puheenjohtajan mukaan hyökkääjät pääsivät sisään vuonna 2025 esiintymällä kolmannen osapuolen käyttäjänä (Irish Examiner, englanniksi).

Vastuu voi kadota myös organisaation sisällä. Onnettomuustutkintakeskuksen mukaan Helsingin kaupungin vuoden 2024 tietomurrossa etäyhteyspalvelinta ei ollut ylläpidetty asianmukaisesti, vastuunjako oli epäselvä eikä hälytyksiin reagoitu ajoissa (Onnettomuustutkintakeskus, englanniksi).

Kuvitellaan ravintola, jonka kassajärjestelmä kaatuu toimittajan häiriössä lauantai-iltana. Kukaan ei tiedä, miten laskut tehdään ilman sitä.

Ensimmäinen teko: tehkää lista toimittajista ja kirjatkaa, kuka näkee mitä ja mitä tiedoille tapahtuu, kun sopimus päättyy. Vastuista lisää kohdassa vastuut ja sopimus. Isot asiakkaat voivat kysyä samoja asioita, vaikka kyberturvallisuuslaki ei koskisi teitä suoraan.

6. Ihmiset ja toimitila

Ihmisiä ei kannata syyllistää. Heille pitää antaa lupa kysyä ja ilmoittaa ilman pelkoa. Tamperelaisessa henkilöstöpalveluyrityksessä uusi työntekijä maksoi 9 350 euron laskun, koska viesti näytti tulevan toimitusjohtajalta (Suomen Yrittäjät, 2019). Uudet ihmiset ja tuuraajat tarvitsevat pelisäännöt ensimmäisenä päivänä.

Toimitilaan kuuluvat avaimet, paperit, tulostin ja vanhan koneen hävitys. Britanniassa viranomainen takavarikoi apteekkiyrityksen sisaryhtiön käyttämän kiinteistön pihalta 47 lukitsematonta laatikkoa asiakirjoja, joissa oli myös potilastietoja. Apteekkiyritys sai 92 000 punnan seuraamusmaksun (UK Upper Tribunal, PDF, englanniksi). Yhdysvaltain kuluttajaviranomainen FTC neuvoo säilyttämään arkaluonteiset paperit ja laitteet lukitussa kaapissa tai huoneessa (FTC, englanniksi).

Kuvitellaan tilitoimisto. Vastaanotolle tulee "tulostinhuolto", kukaan ei kysy keneltä, ja vieras on hetken yksin asiakaskansioiden kanssa.

Ensimmäinen teko: sopikaa, että vierailta kysytään aina, kuka heitä odottaa, ja että epäilyttävästä viestistä saa kysyä keneltä tahansa.

Neljä väitettä, jotka kannattaa tarkistaa

"Meillä on virustorjunta."

Pitäkää se päällä. Se suojaa konetta, mutta ei pysäytä väärää tilinumeroa, jos kukaan ei soita varmistusta.

"Olemme liian pieniä."

Britannian vuoden 2026 kyselyssä 42 % mikroyrityksistä ja 46 % pienyrityksistä oli havainnut murron tai hyökkäyksen edeltävän 12 kuukauden aikana (Yhdistyneen kuningaskunnan hallitus, englanniksi). Kyberturvallisuuskeskuksen mukaan kiristyshaittaohjelmat iskivät syyskuussa 2026 etenkin pieniin yrityksiin.

"IT-firma hoitaa sen."

Se hoitaa sen, mitä sopimuksessa lukee. Maksukäytäntö, käyttöoikeudet ja vastuut jäävät usein yrityksen omiksi.

"Pilvi hoitaa sen."

Palveluntarjoaja hoitaa oman osansa. Microsoftin mukaan asiakkaalle jäävät aina tiedot, laitteet, tilit ja käyttöoikeudet (Microsoft, englanniksi).

Mistä aloittaa?

1. Nimetkää vastuuhenkilö. Johto päättää, kuka vastaa tietoturvasta, vaikka IT olisi ulkoistettu.
2. Ottakaa kaksivaiheinen tunnistautuminen käyttöön. Ensin sähköpostissa, sitten muissa tärkeissä palveluissa.
3. Kokeilkaa varmuuskopion palautusta. Kokeilu kertoo, toimiiko kopio oikeasti.
4. Sopikaa maksukäytäntö. Tilinumeron muutos varmistetaan aina soittamalla tuttuun numeroon.
5. Tehkää lista palveluista ja toimittajista. Jokaiselle riville tulee vastuuhenkilö.
6. Sopikaa, mitä tehdään, kun jokin menee pieleen. Keneen soitetaan, kuka päättää ja mihin ilmoitetaan. Henkilötietoloukkauksesta on yleensä ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa siitä, kun loukkaus on tullut tietoon, jos siitä voi aiheutua riskiä ihmisille (Tietosuojavaltuutetun toimisto, englanniksi).

Mitä ulkoa näkee ja mitä ei

Ulkoinen tarkastus näkee vain sen, mikä näkyy internetiin. Se ei näe, onko kaksivaiheinen tunnistautuminen käytössä kaikilla, toimiiko varmuuskopion palautus tai kysyykö joku vieraalta, kuka tätä odottaa. Raportissa sähköposti ja verkkosivu voivat olla kunnossa, vaikka entinen työntekijä pääsisi yhä kirjanpitoon.

Siksi Laajatarkastukseen ja Uhka-arvioon kuuluu ulkoisten tarkistusten lisäksi sisäpuolen tarkistus: täytätte 18 kysymyksen listan, ja vastauksista tulee raporttiin löydöksiä. Perustarkastus katsoo vain sen, mikä näkyy ulos. Laajatarkastus sisältää Perustarkastuksen ja sopii yritykselle, jolla on oma palvelin tai kiinteä toimistoverkko. Uhka-arvio sisältää Laajatarkastuksen ja kirjoittaa lisäksi auki hyökkäystiet eli sen, miten yritystänne vastaan hyökättäisiin. Erot on avattu oppaassa mikä on tietoturvakartoitus.