Verkkokameroiden tietoturva koskee jokaista taloyhtiötä, yrittäjää ja kiinteistönomistajaa, jolla on verkkoon kytketty valvontakamera pihalla, varastossa tai liiketilassa. Huonosti suojatusta kamerasta tulee helposti valvonnan aukko. Pahimmillaan ulkopuolinen pääsee katsomaan kuvaa tai etenemään kameran kautta koko kiinteistön tai yrityksen sisäverkkoon. Tärkein yksittäinen korjaus on oletussalasanojen vaihto, ja se onnistuu yleensä alle tunnissa.
Kun perusasiat ovat kunnossa, kamera tekee sen mitä pitää. Siitä ei tule tietosuojariskiä eikä reittiä tietomurtoon. Tässä artikkelissa kerrotaan, miksi tehdasasetukset ovat vaarallisia, miten vaihto tehdään oikein ja mitä muuta kameravalvonnan suojaamiseen kuuluu.
Miksi oletussalasana on verkkokameran suurin heikkous
Moni IP-kamera ja tallennin (NVR) on vuosien ajan toimitettu tehtaalta valmistajan yleisillä tunnuksilla, esimerkiksi käyttäjänimellä ”admin” ja helposti arvattavalla salasanalla. Tunnusten listat ovat julkisesti saatavilla, ja automaattiset skannerit käyvät läpi internetiin näkyviä laitteita koko ajan.
Vuonna 2016 Mirai-haittaohjelma kaappasi satojatuhansia kameroita ja tallentimia käyttämällä noin kuudenkymmenen yleisen oletustunnuksen listaa. Laitteet valjastettiin palvelunestohyökkäyksiin, eikä useimpien omistajien tiedossa ollut mitään. Mitään hienostunutta hakkerointia ei tarvittu, koska ovi oli jätetty auki.
Sääntely on kiristymässä. EU:n radiolaitedirektiivin kyberturvallisuusvaatimukset ovat koskeneet uusia langattomia laitteita 1.8.2025 alkaen, ja ne käytännössä kieltävät kaikille laitteille yhteiset oletussalasanat. EU:n kyberkestävyyssäädöksen (Cyber Resilience Act) päävelvoitteet tulevat voimaan joulukuussa 2027. Kiinteistöissä on kuitenkin edelleen tuhansia ennen näitä päivämääriä asennettuja laitteita, eikä uusi sääntely korjaa niitä takautuvasti.
Myytti: ”Kamera on vain sisäverkossa, joten se on turvassa”
Tämä on yleisin väärinkäsitys. Moni kamera ja kotireititin avaa UPnP-toiminnon avulla portteja internetiin automaattisesti, eikä käyttäjä huomaa sitä. Lisäksi valmistajien P2P-pilvipalvelut, joiden avulla kuvaa katsotaan puhelimella, luovat yhteyden ulos ilman palomuurisääntöjä.
Pelkkä sisäverkkokaan ei suojaa. Jos toimiston kannettava saa haittaohjelman tietojenkalasteluviestistä, hyökkääjä on jo samassa verkossa kuin kamerat. Kamera on tällöin kätevä paikka piiloutua, koska sitä harvoin valvotaan ja sen ohjelmisto päivittyy harvoin.
Kokenut asiantuntija ei siis kysy, näkyykö kamera internetiin. Hän kysyy, mitkä laitteet pääsevät kameraan käsiksi ja millä tunnuksilla.
Oletussalasanojen vaihto ja verkkokameroiden tietoturva askel askeleelta
Ammattilainen aloittaa inventaariosta, ei salasanoista. Ensin selvitetään, mitä laitteita kiinteistössä on, keneltä ne on hankittu ja kenellä tunnukset ovat. Sen jälkeen edetään järjestyksessä:
1. Vaihda pääkäyttäjän salasana jokaiseen kameraan ja tallentimeen. Käytä vähintään 14 merkin laitekohtaista salasanaa.
2. Tarkista erikseen ONVIF- ja RTSP-käyttäjät, koska niillä on usein oma salasanansa.
3. Luo katselijoille omat rajatut tunnukset ja poista ylimääräiset käyttäjät.
4. Päivitä laiteohjelmisto valmistajan sivuilta tai hallintaohjelmistosta.
5. Kytke pois UPnP, Telnet ja tarpeettomat pilvi- tai P2P-palvelut.
Tallenna salasanat salasanojen hallintaohjelmaan, esimerkiksi Bitwardeniin tai 1Passwordiin. Teknisen tilan seinään teipattu lappu ei kelpaa. Jos kamerat on kytketty valvomoon, sovi vaihdosta etukäteen palveluntarjoajan kanssa, ettei hälytyskuvan siirto katkea yöksi.
Yksi poikkeus on tärkeä tietää. Vanhoille, noin 8-10 vuotta vanhoille malleille ei välttämättä enää julkaista päivityksiä. Tällaista laitetta ei saa kuntoon pelkällä salasanan vaihdolla, vaan se kannattaa eristää omaan verkkoonsa tai vaihtaa uuteen.
Verkon rakenne ratkaisee enemmän kuin yksittäinen salasana
Taloyhtiöissä toistuu sama tilanne: pyörävarastoon asennetaan neljä kameraa, ja asentaja avaa reitittimestä porttiohjauksen, jotta isännöitsijä voi katsoa kuvaa puhelimella. Ratkaisu toimii, mutta tallennin on samalla koko internetin nähtävillä.
Parempi tapa on erottaa kamerat omaan verkkosegmenttiinsä (VLAN) ja hoitaa etäkatselu VPN-yhteydellä. Kun kameravalvonta on ostettu palveluna valvomosta, yhteys on yleensä salattu ja valvomo huolehtii laitteiden ylläpidosta. Tästä kerrotaan lisää artikkelissa etävalvonnasta ja videoanalytiikasta. Laitteiden suojaaminen on osa laajempaa kokonaisuutta, jota käsitellään artikkelissa kyberturvallisuuspalveluista yrityksen turvallisuuden osana.
Työn hinta vaihtelee kohteen koon mukaan. Pienen kohteen, jossa on 4-8 kameraa, tarkistus ja uudelleenkonfigurointi vie asentajalta tyypillisesti 2-4 tuntia.
Yleisimmät virheet kameroiden suojaamisessa
Sama salasana kaikissa laitteissa ja kohteissa. Asentaja käyttää samaa tunnusta kymmenissä taloyhtiöissä. Kun yksi kohde vuotaa, kaikki muutkin ovat auki. Vaadi sopimukseen kohdekohtaiset salasanat ja niiden luovutus tilaajalle.
Entisten käyttäjien tunnukset jäävät voimaan. Hallituksen jäsen muuttaa pois, tai työntekijä lähtee, mutta katselusovellus toimii edelleen. Tunnukset kannattaa käydä läpi vähintään kerran vuodessa ja aina henkilövaihdosten yhteydessä.
Halpa nettikaupan kamera pilvisovelluksella. 30-60 euron kuluttajakamerat lähettävät kuvaa usein valmistajan palvelimille, joiden sijaintia ja tietosuojaa ei voi tarkistaa. Yrityskäytössä ja taloyhtiöissä tällainen ratkaisu on rekisterinpitäjälle riski.
Lainsäädäntö, tietosuoja ja vastuunjako
GDPR velvoittaa rekisterinpitäjän eli taloyhtiön tai yrityksen huolehtimaan henkilötietojen asianmukaisesta suojaamisesta, ja kameran tallentama kuva on henkilötietoa. Jos tallenteisiin päästään luvatta, tietoturvaloukkauksesta on ilmoitettava Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa, ellei loukkaus todennäköisesti aiheuta riskiä ihmisille. Näkyvät kameramerkit ja työntekijöiden tiedottaminen ovat pakollisia. Tarkista ajantasaiset vaatimukset Tietosuojavaltuutetun toimistosta ja artikkelista kameravalvonnan GDPR-vaatimuksista Suomessa.
Vastuunjako on syytä tuntea. Kamerat ja tallentimet ovat tuotteita, joita toimittavat ja asentavat hälytysjärjestelmäliikkeet. Valvomopalvelu ja siihen liittyvä hälytysvartiointi ovat turvallisuuspalveluja, joita saa lain yksityisistä turvallisuuspalveluista (1085/2015) mukaan tarjota vain Poliisihallitukselta toimiluvan saanut vartiointiliike, esimerkiksi Securitas, Avarn Security tai alueellinen toimija. Myös vakuutusyhtiöt voivat edellyttää, että valvontajärjestelmä on ylläpidetty ja suojattu. Jos näet kamerakuvassa käynnissä olevan murron, väkivaltaa tai tulipalon, soita aina ensin hätänumeroon 112.
UKK
Riittääkö pelkkä salasanan vaihto verkkokameran suojaamiseen?
Ei riitä. Salasanan vaihto poistaa suurimman riskin, mutta myös laiteohjelmisto on päivitettävä, tarpeettomat palvelut kytkettävä pois ja kamerat erotettava muusta verkosta.
Kuinka usein kameroiden salasanat pitää vaihtaa?
Vahvaa laitekohtaista salasanaa ei tarvitse vaihtaa määräajoin. Se on vaihdettava aina, kun käyttäjä tai palveluntarjoaja vaihtuu tai jos on syytä epäillä tietovuotoa.
Kuka vastaa taloyhtiön kameroiden tietoturvasta?
Vastuu on rekisterinpitäjällä eli taloyhtiöllä. Käytännössä tehtävät kannattaa kirjata asennus- tai valvomosopimukseen, jotta on selvää, kuka päivittää laitteet ja hallinnoi tunnuksia.
Ensimmäinen askel on tunnusten tarkistus
Hae esiin kiinteistön kameroiden ja tallentimen käyttäjälista ja selvitä, onko yhdessäkään laitteessa vielä tehtaan tunnukset tai vanhojen käyttäjien tilejä. Jos tunnuksia ei löydy kenenkään hallusta, se on jo vastaus: laitteet on otettava haltuun ja konfiguroitava uudelleen. Vahvat salasanat, päivitetty laiteohjelmisto ja erillinen verkko suojaavat verkkokameraa paremmin kuin kalliin kameran ostaminen.