Miten tehdä tietoturvakartoitus yrityksessä? Vaiheittainen malli päätöksenteon tueksi

Mikä tietoturvakartoitus oikeasti on – ja miksi se kaatuu usein arkeen

Tietoturvakartoitus mielletään helposti “auditoinniksi”, jossa käydään läpi teknisiä asetuksia ja listataan puutteita. Yrityksen näkökulmasta hyödyllinen kartoitus on kuitenkin ennen kaikkea päätöksenteon työkalu: se kertoo, mitkä riskit ovat liiketoiminnan kannalta merkittävimpiä, mitä kannattaa korjata ensin ja millä toimenpiteillä saadaan mitattava parannus ilman ylipitkiä projekteja.

Tyypilliset syyt siihen, että kartoitus ei tuota arvoa, ovat käytännössä aina samat:

• Rajaus on epäselvä: kartoitus yrittää kattaa kaiken, eikä lopputulos ohjaa priorisointia.
• Riskit eivät linkity liiketoimintaan: löydökset jäävät teknisiksi, eikä johto saa perustetta päätöksille.
• Vastuut puuttuvat: kehitystoimet jäävät “IT:n tehtäväksi”, vaikka osa riskeistä syntyy prosesseista ja ihmisistä.
• Toimenpiteet ovat liian yleisiä: “paranna pääsynhallintaa” ei kerro, mitä tehdään huomenna ja kuka tekee.

Käpy A.I. Oy:n kartoituksissa tavoite on kääntää tietoturva konkreettisiksi valinnoiksi: mitä suojataan, miksi, miten ja missä järjestyksessä. Kartoitus voidaan toteuttaa osana tietoturvakartoituksia tai yhdistettynä koulutukseen, jotta muutokset eivät jää vain dokumenteiksi.

Vaihe 1: Rajaa kartoitus niin, että tulos on käyttökelpoinen

Hyvä rajaus ei tarkoita “pientä” kartoitusta, vaan sellaista, jossa lopputuloksen käyttötapa on selvä. Käytännössä rajaus tehdään kolmesta kulmasta:

• Kriittiset prosessit: myynti, toimitus, tuotanto, asiakaspalvelu, talous – missä häiriö pysäyttää toiminnan tai aiheuttaa merkittävää vahinkoa.
• Kriittiset tietovarannot: henkilötiedot, asiakasdata, sopimukset, tuotekehityksen aineistot, taloustiedot.
• Kriittiset järjestelmät ja integraatiot: esimerkiksi Microsoft 365, ERP/CRM, verkkokauppa, identiteetin- ja pääsynhallinta, etäyhteydet sekä avainkumppaneiden liitynnät.

Rajauksen yhteydessä sovitaan myös kartoituksen “tulosmuoto”: tarvitaanko johdolle tiivis riskinäkymä, IT:lle tekninen tehtävälista vai molemmat. Tämä vaikuttaa siihen, millä tarkkuudella kontrollit arvioidaan ja mitä mittareita käytetään.

Monessa organisaatiossa kartoitus kannattaa aloittaa nykytilasta ja laajentaa tarvittaessa. Käpy A.I. Oy toteuttaa myös selkeitä nykytilan arviointeja, joissa keskitytään nimenomaan siihen, mitä organisaatio tekee tänään ja miten se suhteutuu riskeihin ja vaatimuksiin. Tarvittaessa rajaus voidaan ankkuroida esimerkiksi tietoturvakoulutusten sisältöihin, jotta henkilöstön arjen toiminta ja tekniset käytännöt kehittyvät samaan suuntaan.

Vaihe 2: Kerää faktat – mutta älä hukuta kartoitusta dataan

Kartoitus tarvitsee riittävän todennettavaa tietoa, jotta johtopäätökset kestävät. Samalla kartoitus ei saa jäädä kuukausien dokumenttien metsästykseksi. Käytännössä toimiva tiedonkeruu yhdistää:

• Haastattelut: johto, IT, tietosuojavastaava, avainprosessien omistajat ja tarvittaessa kumppanit.
• Dokumentit ja käytännöt: tietoturvapolitiikka, ohjeet, pääsynhallinnan mallit, poikkeamaprosessi, varmuuskopiointi, toimittajahallinta.
• Tekninen nykytila: keskeisten järjestelmien suojaustasot (esim. tunnistautuminen, laitehallinta, lokitus, varmistukset).

Tavoite ei ole täydellinen listaus kaikesta, vaan riittävä näkyvyys siihen, missä kohtaa riskit realisoituvat. Esimerkiksi etätyön ja pilvipalveluiden aikakaudella epäselvät vastuut (kuka omistaa asetukset, kuka seuraa lokitietoja, kuka hyväksyy poikkeukset) ovat usein suurempi ongelma kuin yksittäinen tekninen puute.

Jos ympäristö nojaa vahvasti Microsoftin palveluihin, kartoituksen yhteydessä on usein järkevää tarkastaa myös varautuminen tilanteisiin, joissa dataa poistuu, ylikirjoittuu tai kiristyshaittaohjelma vaikuttaa käyttäjätileihin. Tähän liittyy olennaisesti myös Microsoft 365 -varmuuskopiointi osana palautumiskykyä.

Vaihe 3: Arvioi riskit ja kontrollit – liiketoiminnan kielellä

Kartoituksen ydin on arvio, jossa yhdistyy kaksi näkökulmaa:

• Uhkaskenaariot: mitä voi tapahtua (tietojenkalastelu, tilikaappaus, haittaohjelma, tietovuoto, toimittajariskit, inhimilliset virheet).
• Kontrollit: mitä suojauksia ja toimintamalleja on olemassa (tekniset, hallinnolliset ja prosessiin liittyvät).

Hyödyllinen tulos syntyy, kun arvio vastaa näihin kysymyksiin:

• Mikä on todennäköisin tapa, jolla riski toteutuu tässä organisaatiossa?
• Mikä on vaikutus liiketoiminnalle (toimituskyky, maine, talous, sopimusvastuut, lakisääteiset velvoitteet)?
• Mikä on nykyinen kyvykkyys ehkäistä, havaita ja palautua?
• Mitä yhtä asiaa muuttamalla riskitaso laskee merkittävimmin?

Tässä vaiheessa monessa yrityksessä paljastuu, että tekninen suojaus ja henkilöstön toimintatavat ovat epäsynkassa. Esimerkiksi monivaiheinen tunnistautuminen voi olla käytössä, mutta poikkeuksia on liikaa, tai laitteita käytetään ilman selkeitä pelisääntöjä. Siksi kartoitus kannattaa yhdistää konkreettisiin käytäntöihin ja osaamisen vahvistamiseen, ei pelkkiin “suosituksiin”.

Vaihe 4: Muunna löydökset toteutettavaksi tiekartaksi (30/90/180 päivää)

Kartoitus tuottaa arvoa vasta, kun löydökset muuttuvat tehtäviksi. Käytännössä toimiva tapa on jakaa toimenpiteet kolmeen aikajänteeseen. Alla on esimerkki mallista, jota Käpy A.I. Oy käyttää tiekartan rakentamisen pohjana:

0–30 päivää: nopeat riskinlaskut ja peruskurin varmistus

• Selkeytä kriittisten järjestelmien omistajuus ja päätöksenteko (kuka hyväksyy muutokset ja poikkeukset).
• Varmista tunnistautumisen minimitaso ja poikkeusten hallinta.
• Tarkenna toimintamalli poikkeamiin: ilmoituskanava, ensitoimet, päätöspisteet.
• Käynnistä kohdennettu henkilöstön muistutus/koulutus niistä arjen tilanteista, joista riskit tyypillisesti syntyvät.

31–90 päivää: näkyvyys ja kontrollit kuntoon

• Paranna lokituksen ja seurannan hyödyllisyyttä (mitä seurataan, kuka katsoo, miten poikkeamiin reagoidaan).
• Varmista varmuuskopioinnin ja palautuksen toimivuus testien kautta.
• Kirjaa tärkeimmät käytännöt: tiedon käsittely, laitekäytännöt, etätyö, pääsynhallinta.

91–180 päivää: kypsyys ja vaatimustenmukaisuus

• Rakenna jatkuva kehittäminen: vuosikello, mittarit, sisäinen seuranta.
• Toteuta tarvittaessa vaatimustenmukaisuuden arviointi (GAP) ja valmistele auditointivalmius.
• Kehitä toimittajahallintaa ja sopimusliitteitä riskiperusteisesti.

Tiekartassa jokaiselle tehtävälle määritetään: omistaja, riippuvuudet, arvioitu työmääräluokka, hyväksymiskriteerit ja seurannan mittari. Näin kartoituksesta tulee johtamisen väline, ei raportti arkistoon.

Vaihe 5: Varmista, että kartoitus parantaa myös kulttuuria – ei vain kontrollilistaa

Tietoturvakartoitus osuu usein siihen kohtaan, missä organisaation arki paljastaa “hiljaiset käytännöt”: miten tiedostoja jaetaan, miten poikkeuksia syntyy, miten kiire ohjaa valintoja. Jos kartoitus päättyy vain teknisiin korjauksiin, osa riskistä jää elämään, koska toimintatavat eivät muutu.

Käytännössä tämä tarkoittaa kahta asiaa:

• Ohjeiden on oltava tehtävissä: työntekijän pitää pystyä toimimaan oikein ilman tulkintaa ja ilman, että työ hidastuu kohtuuttomasti.
• Osaamisen on vastattava riskejä: koulutuksen pitää liittyä organisaation todellisiin skenaarioihin (esim. laskuhuijaukset, tilikaappaukset, väärään paikkaan jaettu tieto, matkustustilanteet).

Siksi kartoituksen rinnalle kannattaa ottaa roolipohjainen koulutus ja käytännön harjoitukset. Tällöin tietoturva muuttuu yhteiseksi toimintatavaksi, ei vain IT:n vastuuksi. Käpy A.I. Oy:n tietoturvakoulutukset voidaan sitoa suoraan kartoituksessa tunnistettuihin riskeihin, jolloin henkilöstö ymmärtää myös “miksi” – ei vain “mitä”.

Miltä hyvä lopputulos näyttää: dokumentit, päätökset ja seuranta

Onnistuneen tietoturvakartoituksen lopputulos on käytännössä kolmeen yleisöön jaettu kokonaisuus:

• Johdolle: tiivis riskinäkymä, tärkeimmät päätökset ja investointi-/resursointitarpeet perusteluineen.
• IT:lle ja tietoturvavastuullisille: toimenpidelista, prioriteetit, riippuvuudet ja tekniset hyväksymiskriteerit.
• Koko organisaatiolle: selkeät pelisäännöt arkeen (tieto, laitteet, tunnistautuminen, poikkeamien ilmoittaminen) ja koulutussuunnitelma.

Lisäksi kartoitus kannattaa ankkuroida seurantaan: mitä mitataan seuraavan 3–6 kuukauden aikana, millä syklillä tilanne katselmoidaan ja miten varmistetaan, että toteutetut kontrollit myös toimivat käytännössä.

CTA: Aloita tietoturvakartoitus niin, että se johtaa oikeisiin päätöksiin

Jos tavoitteena on saada selkeä kuva nykytilasta, tunnistaa olennaisimmat riskit ja rakentaa toteutettava tiekartta, Käpy A.I. Oy auttaa viemään kartoituksen läpi käytännönläheisesti. Kartoitus voidaan toteuttaa nykytilan arviointina, vaatimustenmukaisuuden GAP-näkymänä tai osana laajempaa kehittämistä.

Katso lisää tietoturvakartoituksista tai ota yhteys ja sovi aloituskeskustelu: yhteystiedot.

Julkaisuajankohta: 2026-08-17T01:00:40.062-04:00