Kyberturvallisuus pienyritykselle

Kyberturvallisuudesta puhutaan joko uutissävyllä tai myyntisävyllä. Kumpikaan ei auta kolmen hengen yritystä päättämään, mitä tehdä ensi maanantaina. Tässä se kolmas sävy: mitä sana tarkoittaa, mikä uhka on realistinen, ja mitä kansalliset viranomaiset antavat teille ilmaiseksi.

Julkaistu 30.8.2026 · Päivitetty 9.9.2026

Mustafa Tarabya, VectaAI:n perustaja, DT Nova Tmi. Yhteystiedot ja suora numero.

Lyhyt vastaus: Kyberturvallisuus tarkoittaa sitä, että yrityksen toiminta jatkuu, vaikka joku yrittää häiritä sitä verkon kautta. Tietoturva on kapeampi käsite: se koskee tiedon suojaamista, oli tieto sitten koneella tai paperilla. Käytännössä pienen suomalaisen yrityksen kyberturvallisuus on kolme asiaa: päivitykset päällä, kaksivaiheinen tunnistautuminen sähköpostissa ja varmuuskopio, joka on erillään muusta. Loput on hienosäätöä, ja lähes kaikki oikeat vahingot alkavat siitä, että joku klikkasi viestiä, joka näytti tavalliselta.

Kyberturvallisuudesta puhutaan yleensä kahdella äänensävyllä. Toinen on uutissävy, jossa kerrotaan miljoonien eurojen vahingoista ja valtiollisista hyökkääjistä. Toinen on myyntisävy, jossa pieni yritys on aina yhden klikkauksen päässä tuhosta, ja ratkaisu sattuu olemaan kuukausimaksullinen. Kumpikaan ei auta kolmen hengen tilitoimistoa päättämään, mitä tehdä ensi maanantaina.

Tämä sivu yrittää olla se kolmas sävy. Selitämme, mitä sana tarkoittaa, mikä uhkakuva pienelle suomalaiselle yritykselle on realistinen, mitä kansalliset viranomaiset antavat teille ilmaiseksi, ja mitä NIS2:sta ja kybervakuutuksista kannattaa oikeasti ajatella. Emme lupaa, että mikään näistä tekee teistä murtautumattomia. Sellaista ei ole.

Kyberturvallisuus vai tietoturva — mikä ero?

Kyberturvallisuus ja tietoturva eivät ole aivan sama asia, vaikka sanoja käytetään Suomessa ristiin myös viranomaisteksteissä. Tietoturva koskee tiedon luottamuksellisuutta, eheyttä ja saatavuutta riippumatta siitä, missä muodossa tieto on — myös lukitsemattomassa mapissa. Kyberturvallisuus koskee toiminnan turvaamista silloin, kun uhka tulee verkon kautta ja kohteena on järjestelmä eikä pelkkä tieto. Tietosuoja on kolmas käsite ja tarkoittaa henkilötietojen käsittelyn lainsäädäntöä. Käytännön ero näkyy siinä, mitä kysytään kun jokin menee pieleen: tietoturvakysymys on "pääsikö joku tietoihin", kyberturvallisuuskysymys on "pystymmekö laskuttamaan huomenna". Pienessä yrityksessä jälkimmäinen tekee kipeää nopeammin.

Käsite	Mitä se kattaa	Esimerkki
Tietoturva	tiedon luottamuksellisuus, eheys ja saatavuus, riippumatta siitä, missä muodossa tieto on	asiakasrekisteri, myös lukitsemattomassa mapissa
Kyberturvallisuus	toiminnan turvaaminen silloin, kun uhka tulee verkon kautta ja kohteena on järjestelmä, ei pelkästään tieto	kiristysohjelma, joka pysäyttää koko toiminnan
Tietosuoja	henkilötietojen käsittelyn lainsäädäntö, eli mitä saatte tehdä ja mitä teidän on kerrottava	tietosuojaseloste, tietopyyntöön vastaaminen

Käytännön ero näkyy siinä, mitä kysytään, kun jokin menee pieleen. Tietoturvakysymys on "pääsikö joku tietoihin". Kyberturvallisuuskysymys on "pystymmekö laskuttamaan huomenna". Pienessä yrityksessä jälkimmäinen on se, joka tekee kipeää nopeammin: viikko ilman toimivaa sähköpostia ja laskutusta on konkreettisempi vahinko kuin abstrakti tietovuoto.

Tietosuoja taas on lain kieli samasta asiasta, eikä se ole sama asia kuin tekninen suojaus. Voitte täyttää tietosuoja-asetuksen vaatimukset paperilla ja silti olla teknisesti auki, tai päinvastoin. Molemmat tarvitaan, mutta ne ratkotaan eri työkaluilla.

Miltä uhka oikeasti näyttää pienessä yrityksessä?

Yleisin väärinkäsitys on, että hyökkääjä valitsee kohteensa. Valtaosassa tapauksia kukaan ei ole valinnut teitä. Verkkoa käydään läpi automaatilla, joka etsii avoimia portteja, päivittämättömiä palvelimia ja vanhoja sisällönhallintajärjestelmiä. Ohjelma ei tiedä, oletteko kolmen vai kolmensadan hengen yritys. Se tietää vain, että osoitteessa vastaa palvelin, jossa on tunnettu aukko.

Tästä seuraa kaksi asiaa. Ensinnäkin "meillä ei ole mitään varastettavaa" ei ole suoja, koska kohteeksi joutuminen ei edellytä kiinnostavuutta. Toiseksi suojautuminen on samasta syystä halvempaa kuin luulisi: automaatti etsii helppoja kohteita, ja tavallinen ylläpito riittää siirtämään teidät pois siitä joukosta.

Kolme asiaa toistuu suomalaisissa pienyrityksissä ylitse muiden:

Tietojenkalastelu eli phishing Viesti, joka näyttää tulevan pankilta, Microsoftilta, Postilta tai omalta toimitusjohtajalta, ja pyytää kirjautumaan. Kirjautumissivu on aito näköinen kopio. Tästä alkaa suurin osa tapauksista, joissa tunnukset päätyvät vääriin käsiin.
Laskutushuijaus eli toimitusjohtajahuijaus Kun sähköpostitili on murrettu, hyökkääjä lukee viestejä hiljaa viikkoja ja lähettää sitten oikean näköisen laskun tai tilinumeron muutoksen oikeassa keskusteluketjussa. Tämä on Suomessa yksi kalleimmista yksittäisistä vahinkotyypeistä pienyrityksille, koska raha lähtee vapaaehtoisesti eikä mitään järjestelmää ole rikottu.
Kiristysohjelma Tiedostot salataan ja niistä pyydetään lunnaita. Vahingon suuruus ei riipu hyökkäyksestä vaan siitä, oliko varmuuskopio olemassa ja irti verkosta. Sama tapaus on toiselle yritykselle viikon seisokki ja toiselle iltapäivän harmi.

Huomaa, mitä listalla ei ole. Ei valtiollisia toimijoita, ei nollapäivähaavoittuvuuksia, ei kohdennettua vakoilua. Ne ovat olemassa, mutta ne eivät ole se, mikä kaataa suomalaisen pk-yrityksen. Jos joku myy teille ratkaisua näihin ennen kuin perusasiat ovat kunnossa, järjestys on väärä.

Kuusi perusasiaa, joilla suurin osa tästä hoituu, on koottu erikseen sivulle tietoturva pienyritykselle. Ne eivät maksa juuri mitään, ja ne kannattaa tehdä ennen kuin mistään muusta keskustellaan.

Miten hyökkäys etenee, ja mikä pysäyttää sen missäkin kohtaa?

Automaattinen hyökkäys kulkee melkein aina saman neliosaisen polun: uhka ei valitse kohdetta, koneellinen skannaus käy verkkoa läpi, se löytää heikoimman kohdan eli vanhan tai avoimen palvelun, ja sitä kautta päästään sisään joko tunnukseen tai palvelimeen. Jokaisessa vaiheessa on yksi tavallinen vastatoimi, ja mikä tahansa niistä riittää katkaisemaan ketjun. Ensimmäiseen vaiheeseen ei voi vaikuttaa, mutta toiseen voi pienentämällä hyökkäyspintaa, kolmanteen automaattisilla päivityksillä ja neljänteen kaksivaiheisella tunnistautumisella. Ja jos ketju silti menee läpi, jäljelle jää varmuuskopio erillään verkosta. Tästä seuraa käytännön johtopäätös: teidän ei tarvitse onnistua kaikessa, vaan riittää että yksi lenkki pitää.

Kuvan opetus on se, että ketju katkeaa mistä tahansa kohdasta. Teidän ei tarvitse onnistua kaikessa. Riittää, että yksi lenkki pitää, ja siksi halvin toimenpide kannattaa tehdä ensin eikä viimeisenä.

Mitä Kyberturvallisuuskeskus tekee ja mitä siltä saa ilmaiseksi?

Suomen kansallinen kyberturvallisuustoimija on Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus, eikä se ole valvoja joka sakottaa teitä eikä palveluntarjoaja joka korjaa teidän koneenne. Se on tilannekuvan ja neuvonnan lähde, ja sen aineisto on julkista ja maksutonta. Pienelle yritykselle siitä on käytännössä neljä hyötyä: suomenkieliset haavoittuvuustiedotteet, joista näkee koskeeko uutinen teitä; ohjeet ja tarkistuslistat, jotka eivät myy mitään; ilmoituskanava tietoturvaloukkauksille; ja säännölliset tilannekatsaukset siitä, mitkä huijaustyypit ovat Suomessa juuri nyt kiertämässä. Erikseen kannattaa muistaa, että rikosilmoitus tehdään poliisille ja rahan lähdettyä ensimmäinen soitto on omaan pankkiin.

Pienen yrityksen kannalta siitä saa käytännössä neljä asiaa:

Haavoittuvuustiedotteet suomeksi Kun jokin laajasti käytetty ohjelmisto saa vakavan korjauksen, siitä julkaistaan tiedote suomeksi. Tämä on nopein tapa saada tietää, koskeeko uutinen teitä, ilman englanninkielisten tietokantojen selaamista.
Ohjeet ja tarkistuslistat Perusohjeistus pienyrityksille, etätyölle ja verkkolaitteiden asetuksille. Aineisto on kirjoitettu neutraalisti eikä se myy mitään, mikä on syytä huomata, kun vertaa sitä toimittajien materiaaliin.
Ilmoituskanava Tietoturvaloukkauksesta voi ilmoittaa Kyberturvallisuuskeskukselle. Osalla toimijoista, esimerkiksi teleyrityksillä ja tietyillä kriittisillä aloilla, ilmoitus on lakisääteinen. Tavallisella pienyrityksellä se on vapaaehtoinen, ja siitä hyötyy lähinnä siksi, että saa neuvoa ja että tapaus päätyy kansalliseen tilannekuvaan.
Tilannekatsaukset Säännölliset katsaukset siitä, mitä Suomessa juuri nyt tapahtuu. Näistä näkee ilman arvailua, mitkä huijaustyypit ovat kiertämässä juuri tällä hetkellä, ja sen voi kertoa omalle porukalle.

Erikseen kannattaa muistaa, että rikosilmoitus tehdään poliisille, ei Kyberturvallisuuskeskukselle. Jos rahaa on lähtenyt väärälle tilille, ensimmäinen soitto on omaan pankkiin, koska tuore tilisiirto on joskus vielä pysäytettävissä. Järjestys on siis: pankki, poliisi, sitten muut ilmoitukset.

Koskeeko NIS2 pienyritystä?

NIS2 on EU:n verkko- ja tietoturvadirektiivi, joka Suomessa on toteutettu kyberturvallisuuslailla, eikä se koske suurinta osaa pienyrityksistä. Siitä on puhuttu paljon ja puhe on ollut osin myyntipuhetta, mutta tosiasia on tylsempi: sääntely kohdistuu nimettyihin toimialoihin ja niissäkin pääsääntöisesti keskisuuriin ja suuriin toimijoihin. Tavallinen tilitoimisto, kampaamo, rakennusliike tai verkkokauppa ei kuulu soveltamisalaan pelkästään siksi, että se käyttää tietokoneita. Ratkaisevia ovat toimiala ja kokoraja, eivät tietotekniikan määrä. Yksi poikkeus kannattaa silti tuntea: säännelty asiakas voi vaatia toimitusketjunsa toimijoilta tiettyjä käytäntöjä, jolloin vaatimus tulee sopimuksesta eikä laista.

NIS2 ei koske suurinta osaa pienyrityksistä. Sääntely kohdistuu nimettyihin toimialoihin, kuten energiaan, terveydenhuoltoon, liikenteeseen, vesihuoltoon, digitaaliseen infrastruktuuriin ja eräisiin muihin, ja niissäkin pääsääntöisesti keskisuuriin ja suuriin toimijoihin. Tavallinen tilitoimisto, kampaamo, rakennusliike tai verkkokauppa ei kuulu soveltamisalaan pelkästään siksi, että se käyttää tietokoneita. Jos ette ole varma, tarkistakaa toimiala ja kokoraja — älkää ostako mitään sen perusteella, että myyjä mainitsi NIS2:n.

Yksi poikkeus kannattaa silti tuntea. Vaikka ette itse kuuluisi soveltamisalaan, voitte kuulua sen piiriin sopimuksen kautta: säännelty asiakas voi vaatia toimitusketjunsa toimijoilta tiettyjä käytäntöjä. Silloin vaatimus ei tule laista teille vaan asiakkaalta, ja se lukee sopimuksessa. Se on täysin normaali tilanne ja se hoidetaan lukemalla, mitä sopimuksessa oikeasti vaaditaan.

Kybervakuutus: mitä ehdoista pitää lukea?

Kybervakuutuksia myydään nykyään myös pienyrityksille, ja ne voivat olla järkeviä. Ne eivät kuitenkaan ole tekninen suojaus vaan taloudellinen puskuri, ja niissä on kaksi kohtaa, jotka kannattaa lukea ennen allekirjoitusta. Ensimmäinen on suojausvaatimukset: monessa ehdossa edellytetään kaksivaiheista tunnistautumista, toimivia varmuuskopioita ja ajantasaisia päivityksiä, ja jos näitä ei ole, korvausta voidaan alentaa tai evätä. Toinen on rajaukset: laskutushuijaus, jossa raha lähtee omasta pankista vapaaehtoisesti, on eri asia kuin murto, ja se on usein joko rajattu ulos tai katettu selvästi pienemmällä summalla.

Käytännön johtopäätös on suoraviivainen. Ne asiat, jotka vakuutusyhtiö vaatii, kannattaa tehdä joka tapauksessa. Kun ne on tehty, vakuutuksen hinta on yleensä matalampi ja tarve pienempi. Vakuutus on viimeinen kerros, ei ensimmäinen.

Ihmiskerros: miksi sitä ei voi ostaa?

Kyberturvallisuuden ihmiskerros on se osa, jota ei voi ostaa tuotteena, ja lähes jokainen läheltä nähty tapaus alkoi juuri siitä. Ei siitä, että joku oli tyhmä, vaan siitä, että viesti tuli kiireeseen ja näytti tavalliselta. Hyvät huijausviestit on kirjoitettu osumaan oikeaan hetkeen: kuukauden vaihteeseen, lomakauteen, tilinpäätökseen. Tähän ei ole teknistä ratkaisua, koska viesti näyttää järjestelmän silmissä täysin normaalilta — mutta halpa ratkaisu on olemassa. Se on yksi viidentoista minuutin keskustelu tiimin kanssa, jossa sovitaan neljä konkreettista sääntöä. Keskustelu tekee enemmän kuin seinälle teipattu ohje, koska säännöt tulevat sovituiksi ääneen eikä kukaan joudu tulkitsemaan niitä yksin kiireessä.

Tähän ei ole teknistä ratkaisua, mutta siihen on halpa ratkaisu. Yksi viidentoista minuutin keskustelu tiimin kanssa tekee enemmän kuin seinälle teipattu ohje, koska siinä sovitaan konkreettinen sääntö:

Tilinumeron muutos vahvistetaan aina puhelimella tunnettuun numeroon, ei siihen numeroon, joka on viestissä.
Kukaan ei joudu vaikeuksiin siitä, että ilmoittaa klikanneensa. Vahinko kasvaa hiljaisuudessa, ei virheessä.
Kiire on huijarin työkalu. Jos viesti painostaa toimimaan heti, se on itsessään syy tarkistaa.
Salasanaa ei koskaan syötetä sivulle, jolle on tultu sähköpostin linkistä. Osoite kirjoitetaan itse tai käytetään kirjanmerkkiä.

Nämä neljä lausetta kattavat käytännössä tietojenkalastelun ja laskutushuijauksen. Ne eivät maksa mitään, ne on mahdollista opettaa kerralla, ja ne toimivat myös silloin, kun tekniikka pettää.

Mistä aloittaa ensi maanantaina?

Jos tästä sivusta pitää tehdä yksi tehtävälista ensi maanantaiksi, se on viisi kohtaa tässä järjestyksessä: kaksivaiheinen tunnistautuminen sähköpostiin, automaattiset päivitykset kaikkiin koneisiin ja puhelimiin, varmuuskopio joka ei ole kiinni samassa verkossa ja jonka palautus on kerran testattu, vartin keskustelu tiimin kanssa, ja yhden sivun tilannepaperi järjestelmistä ja vastuuhenkilöistä. Järjestys on tärkeysjärjestys eikä mieltymysjärjestys: sähköposti on ensimmäisenä siksi, että sen kautta nollataan kaikkien muiden palveluiden salasanat. Yksikään näistä viidestä ei vaadi ostopäätöstä eikä kuukausimaksua, ja yhdessä ne kattavat sen osan riskistä, joka pienyrityksissä oikeasti toteutuu. Alla jokainen kohta perusteluineen.

Kaksivaiheinen tunnistautuminen sähköpostiin Sähköposti ensin, koska sen kautta nollataan kaikkien muiden palveluiden salasanat. Tämä yksi asia estää suurimman osan siitä, mikä alkaa varastetusta salasanasta.
Automaattiset päivitykset kaikkiin koneisiin ja puhelimiin Käyttöjärjestelmä, selain, työohjelmat ja verkkosivun taustajärjestelmä. Automaattinen skannaus etsii nimenomaan päivittämättömiä.
Varmuuskopio, joka ei ole kiinni samassa verkossa Ja yksi testattu palautus. Ilman testiä varmuuskopio on oletus, ei suunnitelma.
Vartin keskustelu tiimin kanssa Neljä sääntöä edellisestä luvusta. Sovi samalla, kenelle ilmoitetaan, jos jokin näyttää oudolta.
Yhden sivun tilannepaperi Mitä järjestelmiä käytämme, kuka on kunkin vastuuhenkilö, kenelle soitetaan ensin. Tämä paperi on ainoa asia, jolla on merkitystä sinä päivänä, kun jotain tapahtuu.

Jos haluatte, että joku käy nämä läpi kanssanne ilman että lopputulos on tarjous jostain kuukausimaksullisesta, teemme sitä työtä: katso IT-palvelut yrityksille.

Usein kysyttyä

Onko kyberturvallisuus ja tietoturva sama asia?

Käytännön keskustelussa kyllä, ja sanoja käytetään ristiin myös viranomaisteksteissä. Tarkasti ottaen tietoturva koskee tiedon suojaamista missä tahansa muodossa, kyberturvallisuus taas toiminnan turvaamista verkon kautta tulevilta uhilta. Ero on hyödyllinen lähinnä siksi, että se muistuttaa kysymään myös "pystymmekö toimimaan huomenna", ei vain "vuotiko tieto".

Meillä on kolme työntekijää. Onko meillä oikeasti riski?

On, mutta ei siksi, että joku etsisi teitä. Automaattinen skannaus käy verkkoa läpi kohdetta valitsematta, ja tietojenkalasteluviestit lähetetään satoihin tuhansiin osoitteisiin kerralla. Koko ei suojaa. Toisaalta samasta syystä tavallinen ylläpito riittää: automaatti etsii helppoja kohteita, ei vaikeita.

Koskeeko NIS2 meitä?

Todennäköisesti ei, jos ette toimi direktiivissä nimetyillä toimialoilla ja olette pieni yritys. Kokoraja ja toimiala ratkaisevat, ei se, kuinka paljon käytätte tietotekniikkaa. Yleisin todellinen syy noudattaa sen käytäntöjä on sopimusvaatimus isolta asiakkaalta, ja silloin vaatimus lukee sopimuksessa eikä laissa.

Kannattaako kybervakuutus?

Voi kannattaa, mutta lue ehdot ensin. Monessa vakuutuksessa edellytetään kaksivaiheista tunnistautumista, toimivia varmuuskopioita ja päivityksiä, ja laskutushuijaukset on usein rajattu erikseen. Vakuutus ei korvaa perussuojausta, ja perussuojaus tehtynä myös laskee vakuutuksen hintaa.

Mitä teen ensimmäisenä, jos epäilen tietomurtoa?

Katkaise laitteen verkkoyhteys mutta älä sammuta sitä, koska sammuttaminen hävittää osan jäljistä. Vaihda tärkeimpien tunnusten salasanat toiselta, puhtaalta laitteelta. Jos rahaa on lähtenyt, soita heti pankkiin. Sitten rikosilmoitus poliisille, ja jos henkilötietoja on vuotanut, tietosuojavaltuutetun toimistolle lähtökohtaisesti 72 tunnin kuluessa.

Riittääkö virustorjunta ja palomuuri?

Ei yksin. Ne ovat hyödyllisiä, mutta kumpikaan ei estä sitä, että joku kirjautuu sisään oikealla varastetulla salasanalla tai että työntekijä maksaa väärennetyn laskun. Suurin osa todellisista vahingoista tapahtuu kanavia pitkin, jotka näyttävät järjestelmän silmissä täysin normaalilta.

Mistä saan luotettavaa tietoa ilman että joku myy minulle jotain?

Traficomin Kyberturvallisuuskeskuksen tiedotteet ja ohjeet ovat suomeksi, maksuttomia eivätkä ne myy mitään. Ne kertovat myös, mitkä huijaukset ovat Suomessa juuri nyt liikkeellä, mikä on hyödyllisempää kuin yleinen uhkapuhe.

Lue seuraavaksi

Lue myös: blogi · hinnasto · kassajärjestelmä ravintolaan · kanta-asiakasohjelma pienyritykselle · digitaalinen leimakortti · ajanvarausjärjestelmien hinnat · verkkosivut yritykselle · sovelluskehitys iOS ja Android