Tietoturvan nykytilan kartoitus: mitä selvitetään ja miten saat tuloksista toteutuskelpoisen suunnitelman
Miksi tietoturvan nykytila täytyy tehdä näkyväksi – eikä vain “arvata”
Tietoturva kehittyy harvoin tasaisesti. Useimmissa organisaatioissa osa-alueet ovat eritahtisia: yhdessä paikassa on modernit tunnistautumismallit, toisessa jakamisen käytännöt elävät käyttäjien omilla säännöillä. Kun kokonaiskuva puuttuu, päätöksenteko perustuu oletuksiin, ja riskit jäävät piiloon, kunnes ne näkyvät poikkeamina, käyttökatkoina tai auditointihuomioina.
Tietoturvan nykytilan kartoitus tekee tästä tilanteesta hallittavan. Se ei ole “raportti raportin vuoksi”, vaan käytännönläheinen tapa vastata kolmeen kysymykseen:
- Mitä suojataan (tiedot, järjestelmät, palvelut ja prosessit)?
- Miten suojaus toimii nyt (tekniset kontrollit, toimintatavat ja vastuut)?
- Mitä pitää tehdä seuraavaksi (priorisoidut kehitystoimet, omistajat ja aikataulutus)?
Käpy A.I. Oy:n kartoituksissa painopiste on konkreettisessa hyödyssä: tulokset muotoillaan niin, että ne voidaan siirtää suoraan tiekartaksi, budjetoinnin pohjaksi ja kehitystehtäviksi. Kartoitus tukee samalla tietoturvakartoitusten kokonaisuutta ja toimii luontevana lähtöpisteenä myös koulutusten ja konsultoinnin suunnittelulle.
Mitä tietoturvan nykytilan kartoituksessa selvitetään käytännössä
Nykytilan kartoitus ei ole yhden työkalun skannaus eikä pelkkä kysely. Se yhdistää dokumenttien läpikäynnin, haastattelut ja teknisen tarkastelun sopivassa laajuudessa. Tavoitteena on tunnistaa sekä “kovat” tekniset riskit että “pehmeät” kulttuuriin ja toimintatapoihin liittyvät heikkoudet.
1) Tiedot, kriittiset palvelut ja riippuvuudet
Ennen kuin kontrollien tasoa voidaan arvioida, täytyy ymmärtää mikä on liiketoiminnan kannalta kriittistä. Kartoituksessa kuvataan tyypillisesti:
- kriittiset liiketoimintaprosessit ja niihin liittyvät järjestelmät
- keskeiset tietoryhmät (esim. asiakasdata, henkilöstötiedot, tuote- ja sopimustiedot)
- ulkoiset riippuvuudet (pilvipalvelut, alihankkijat, integraatiot)
Tämä vaihe on tärkeä myös siksi, että se estää “sama suojaus kaikelle” -ajattelun. Kaikkea ei tarvitse koventaa maksimitasolle, mutta kriittiset kohteet täytyy tunnistaa ja suojata johdonmukaisesti.
2) Käyttöoikeudet, tunnistautuminen ja käyttäjähallinta
Monissa organisaatioissa suurimmat riskit liittyvät siihen, kenellä on pääsy mihinkin ja miten pääsyä hallitaan muutostilanteissa. Kartoituksessa tarkastellaan esimerkiksi:
- käyttöoikeusmallit (roolipohjaisuus, vähimmäisoikeudet, ylläpito-oikeudet)
- monivaiheisen tunnistautumisen kattavuus ja poikkeukset
- poistuvien työntekijöiden ja kumppaneiden tunnusten sulkeminen
- lokit ja jäljitettävyys (kuka teki mitä ja milloin)
Jos ympäristö nojaa esimerkiksi Microsoft-pilveen, nykytilaa kannattaa arvioida samalla linssillä kuin tietoturvakoulutuksissa: miten käyttäjät oikeasti toimivat arjessa, ja mitkä asetukset tukevat turvallista tekemistä ilman kohtuutonta kitkaa.
3) Laitteet, päivitykset ja perussuojaus
Päätelaitteet, mobiililaitteet ja palvelimet muodostavat arjen hyökkäyspinnan. Kartoituksessa arvioidaan käytännön tasolla mm.:
- päivitys- ja haavoittuvuushallinnan toimintamallit
- päätelaitesuojaus ja haittaohjelmasuojaus
- konfiguraatioiden hallinta ja standardointi
- etätyön ja matkustamisen riskit (verkot, laitteiden suojaus, ohjeistus)
Tarkoitus ei ole nimetä yksittäisiä tuotteita “pakollisiksi”, vaan varmistaa, että perusasiat ovat kunnossa ja että suojaus vastaa organisaation riskiä ja toimintaa.
4) Tiedon käsittely, jakaminen ja vuotoriskin hallinta
Nykytilan kartoitus nostaa esiin tilanteet, joissa tekninen suojaus on kohtuullinen, mutta toimintatavat eivät tue sitä. Esimerkkejä:
- asiakirjojen jakaminen ulkopuolisille ilman omistajuutta ja seurantaa
- henkilötietojen käsittely epäselvissä kanavissa
- luottamuksellisen tiedon lähettäminen ilman sovittuja pelisääntöjä
Näissä tapauksissa ratkaisu on harvoin vain tekninen. Usein tarvitaan yhdistelmä selkeitä käytäntöjä, ohjeistusta ja koulutusta, jotta tekeminen muuttuu pysyvästi. Kartoituksen löydökset voidaan kytkeä suoraan roolikohtaiseen koulutukseen ja arjen ohjeisiin.
5) Poikkeamien hallinta ja jatkuvuus
Kun jotain tapahtuu, ratkaisevaa on, havaitaanko se ajoissa ja osaako organisaatio toimia. Nykytilan kartoituksessa käydään läpi:
- poikkeamien käsittelyprosessi (kuka tekee mitä, millä aikataululla)
- varautuminen ja palautuminen (varmuuskopiot, palautustestit, kriittisten palvelujen prioriteetit)
- viestintä ja vastuut (johto, IT, tietosuoja, palveluntarjoajat)
Tämä kohta yhdistää tietoturvan suoraan liiketoiminnan jatkuvuuteen: mitä vähemmän improvisointia kriisitilanteessa, sitä pienempi kokonaisvahinko.
Miten kartoitus etenee: kevyt mutta kurinalainen prosessi
Hyvä kartoitus on riittävän kevyt, jotta se saadaan maaliin, mutta riittävän kurinalainen, jotta tulokset kestävät tarkastelun ja ohjaavat päätöksiä. Käpy A.I. Oy:n tyypillisessä etenemisessä on neljä vaihetta:
Vaihe 1: Rajaus ja tavoitteet
Alussa sovitaan, mihin kartoitus kohdistuu ja mitä sillä halutaan saavuttaa. Tavoite voi olla esimerkiksi:
- selkeä riskikuva ja prioriteetit seuraavalle 6–12 kuukaudelle
- valmistautuminen auditointiin tai vaatimuksiin (esim. standardit tai asiakasvaatimukset)
- IT-ympäristön muutoksen riskien pienentäminen (pilvisiirtymä, kumppanivaihdos, yritysjärjestely)
Rajauksen tehtävä on estää “kaikki kaikesta” -kartoitus. Kun kohde on selkeä, löydökset saadaan sidottua oikeisiin päätöksiin.
Vaihe 2: Aineiston keruu ja haastattelut
Dokumentit, käytännöt ja vastuut kootaan yhteen. Haastatteluissa varmistetaan, miten asiat toimivat oikeasti arjessa. Usein jo tässä vaiheessa paljastuu tyypillinen kuilu: ohje on olemassa, mutta sen käyttö ei ole vakiintunut tai vastuuta ei ole nimetty.
Vaihe 3: Arviointi ja riskiperusteinen analyysi
Löydökset analysoidaan riskin, vaikutuksen ja toteutettavuuden kautta. Tämä on kartoituksen tärkein osa: listan sijaan tarvitaan järjestys. Käytännössä tämä tarkoittaa:
- mitkä puutteet altistavat todennäköisimmille uhkille (esim. tunnukset, sähköposti, päätelaitteet)
- mitkä asiat vaikuttavat eniten liiketoimintaan (käyttökatko, tietovuoto, maine, sopimusvaatimukset)
- mitkä toimet ovat nopeita “peruskorjauksia” ja mitkä vaativat projektia
Jos organisaatiolla on tarve todentaa vaatimustenmukaisuutta, analyysi voidaan yhdistää myös GAP-lähestymiseen tai kypsyysarvioon. Näin kartoitus ei jää irralliseksi vaan tukee pidemmän aikavälin hallintamallia.
Vaihe 4: Tiekartta, omistajat ja seuraavat askeleet
Lopputulos ei ole pelkkä “havaintoraportti”, vaan toteutuskelpoinen kehityssuunnitelma. Hyödyllinen tiekartta sisältää:
- priorisoidut toimenpiteet (esim. 10–20 kohtaa, ei 200)
- omistaja ja vastuurooli jokaiselle pääkohdalle
- suositeltu aikajänne (nyt / seuraavaksi / myöhemmin)
- riippuvuudet (mitä pitää tehdä ennen mitäkin)
Tarvittaessa Käpy A.I. Oy tukee toteutusta konsultoinnin ja käytännön ohjauksen kautta: esimerkiksi kontrollien määrittely, toimittajavaatimukset, ohjeistusten rakentaminen tai henkilöstön koulutus niin, että muutos pysyy arjessa.
Miten kartoitus parantaa tietoturvakulttuuria – ilman “ylimääräistä” työtä
Nykytilan kartoitus on myös kulttuurityö: se selkeyttää odotukset ja vastuut. Pelkkä tekninen suojaus ei kanna, jos ihmiset joutuvat arvaamaan miten toimia. Kartoituksen jälkeen organisaatio pystyy yleensä tekemään kolme käytännön muutosta, jotka näkyvät nopeasti:
- Yhteinen kieli: riskit ja kontrollit kuvataan ymmärrettävästi, jolloin johto ja IT puhuvat samasta asiasta.
- Selkeät peruspelisäännöt: mitä saa tehdä, mitä ei, ja miten toimitaan poikkeustilanteissa.
- Roolikohtainen tuki: henkilöstölle koulutus arjen tilanteisiin, esihenkilöille vastuut ja päätösmallit, IT:lle tekninen tiekartta.
Kun kartoitus kytketään koulutuksiin, muutos ei jää dokumentiksi. Esimerkiksi havainto “jakaminen ulkopuolisille on hallitsematonta” voidaan muuttaa konkreettiseksi toimintatavaksi: omistajuus, hyväksyntä, jakamisen elinkaari ja lyhyet koulutussisällöt niille rooleille, jotka jakavat tiedostoja päivittäin.
Milloin tietoturvan nykytilan kartoitus kannattaa tehdä
Kartoitus on ajankohtainen erityisesti, kun:
- tietoturvatoimet ovat hajanaisia ja vastuut epäselviä
- organisaatiossa tapahtuu muutos (järjestelmäuudistus, pilvisiirtymä, kumppanivaihdos)
- asiakkaat tai kumppanit kysyvät toistuvasti tietoturvasta ja vaatimuksista
- halutaan rakentaa suunnitelma ilman isoja projekteja ja arvailua
Jos kartoitus on tehty aiemmin, se kannattaa päivittää säännöllisesti tai merkittävien muutosten yhteydessä. Monessa organisaatiossa 12–18 kuukauden sykli on käytännöllinen, jos ympäristö elää.
CTA: Aloita nykytilasta – pyydä Käpy A.I. Oy:ltä kartoitus
Jos tavoitteena on saada selkeä kuva tietoturvan tasosta, riskien todellisista juurisyistä ja konkreettisista seuraavista askelista, tietoturvan nykytilan kartoitus on tehokkain aloituspiste.
Tutustu Käpy A.I. Oy:n tietoturvakartoituksiin tai ota yhteyttä, niin rajataan kartoitus teidän ympäristöön ja tavoitteisiin.
