Pilvipalvelujen käyttö on arkipäivää lähes jokaisessa suomalaisessa yrityksessä, mutta pilvipalvelujen tietoturva jää usein IT-vastuuhenkilön yksin kannettavaksi taakaksi. Se on virhe, sillä vastuu jakautuu aina palveluntarjoajan ja yrityksen välillä, eikä kumpikaan osapuoli hoida kaikkea puolestasi.
Tämä artikkeli käy läpi, mitä pilvipalvelujen tietoturva käytännössä tarkoittaa, mitkä ovat yleisimmät sudenkuopat ja miten yritys rakentaa toimivan suojauksen ilman ylimitoitettua byrokratiaa.
Mitä pilvipalvelujen tietoturva tarkoittaa käytännössä
Pilvipalvelu ei ole yksi asia vaan kokoelma erilaisia palvelumalleja – Microsoft 365, Google Workspace, AWS, Azure, erilaiset SaaS-sovellukset kirjanpitoon ja asiakashallintaan. Jokaisella on oma vastuunjakonsa.
Yleisin väärinkäsitys on, että pilvipalveluntarjoaja vastaa kaikesta tietoturvasta, koska yritys ”ostaa palvelun”. Todellisuudessa käytössä on jaetun vastuun malli: AWS ja Microsoft vastaavat infrastruktuurin, palvelinsalien ja verkkojen turvallisuudesta, mutta käyttöoikeuksien hallinta, salasanakäytännöt, kaksivaiheinen tunnistautuminen ja tietojen luokittelu jäävät aina asiakasyrityksen vastuulle.
Käytännön esimerkki: 15 hengen tilitoimisto siirsi asiakastietonsa pilvipalveluun ja oletti, että palveluntarjoaja hoitaa suojauksen automaattisesti. Kun yksi työntekijä käytti samaa salasanaa kolmessa eri palvelussa ja tunnukset vuotivat tietomurron yhteydessä toisaalla, hyökkääjä pääsi kirjautumaan myös pilvipalveluun ilman minkäänlaista hälytystä. Kaksivaiheinen tunnistautuminen olisi pysäyttänyt tapauksen kokonaan, mutta sitä ei ollut otettu käyttöön.
Lainsäädäntö ja viranomaisvaatimukset
Yrityksen on huomioitava EU:n yleinen tietosuoja-asetus (GDPR) aina, kun pilvipalvelussa käsitellään henkilötietoja – asiakasrekistereitä, palkkatietoja tai vaikkapa kameravalvonnan tallenteita. GDPR edellyttää muun muassa tietoa siitä, missä maassa tiedot fyysisesti sijaitsevat, ja sopimusta henkilötietojen käsittelystä palveluntarjoajan kanssa (data processing agreement).
Jos pilvipalvelu liittyy fyysisen turvallisuuden järjestelmiin, kuten etävalvottuun kameravalvontaan tai kulunvalvontaan, sovellettavaksi tulee myös kameralaki. Ajantasaiset vaatimukset kannattaa aina tarkistaa Tietosuojavaltuutetun toimistosta, sillä ohjeistus tarkentuu jatkuvasti ja yrityskohtaiset tulkinnat vaihtelevat toimialan mukaan.
Toimialasta riippuen mukaan voi tulla myös muita vaatimuksia: rahoitusalalla DORA-asetus, terveydenhuollossa erillinen tietosuojalainsäädäntö. Näissä tapauksissa pelkkä GDPR-vaatimustenmukaisuus ei riitä.
Yleisimmät virheet yritysten pilviturvassa
Kolme virhettä toistuu ylivoimaisesti useimmin:
Oletusasetuksiin luottaminen. Moni pilvipalvelu asennetaan käyttöön oletusasetuksilla, joissa esimerkiksi jaetut tiedostot ovat oletuksena ”kuka tahansa linkin saanut voi katsoa” -tilassa. Tämä on erityisen yleistä pienissä yrityksissä, joilla ei ole erillistä IT-osastoa.
Käyttöoikeuksien kasautuminen. Työntekijä vaihtaa tehtävää tai lähtee yrityksestä, mutta pilvipalvelun tunnukset ja oikeudet jäävät voimaan. Vuoden 2025 aikana tehdyissä auditoinneissa tämä on löytynyt lähes joka toisesta pk-yrityksestä.
Varmuuskopioinnin ulkoistaminen sokeasti. Moni yritys olettaa, että pilvipalvelu tekee automaattisesti varmuuskopiot, joista voi palauttaa tiedot kiristyshaittaohjelmatapauksessa. Todellisuudessa esimerkiksi Microsoft 365:n natiivi roskakori säilyttää poistetut tiedostot vain 30–93 päivää, eikä se korvaa erillistä varmuuskopiointiratkaisua.
Käytännön askeleet pilvipalvelujen suojaamiseen
Toimiva suojaus rakentuu vaiheittain, eikä sitä kannata yrittää tehdä kertarysäyksellä:
1. Kartoita kaikki käytössä olevat pilvipalvelut – myös ne, jotka yksittäiset tiimit ovat hankkineet ilman IT-osaston lupaa (”shadow IT”).
2. Ota käyttöön kaksivaiheinen tunnistautuminen kaikkiin palveluihin, joissa käsitellään yrityksen tai asiakkaiden tietoja.
3. Määrittele käyttöoikeudet roolipohjaisesti ja käy ne läpi vähintään kaksi kertaa vuodessa.
4. Sovi erillinen varmuuskopiointiratkaisu kriittiselle datalle, älä luota pelkkään pilvipalvelun sisäiseen versiohistoriaan.
5. Kirjaa vastuunjako palveluntarjoajan kanssa sopimukseen – kuka vastaa mistäkin poikkeamatilanteessa.
Kokenut turvallisuusalan konsultti aloittaa aina nykytilan kartoituksesta ennen kuin ehdottaa yhtään teknistä muutosta. Ilman kartoitusta suojaustoimet kohdistuvat helposti vääriin kohteisiin – esimerkiksi salausratkaisuihin, kun todellinen riski on hallitsemattomissa käyttöoikeuksissa.
Tässä vaiheessa moni yritys turvautuu ulkopuoliseen tietoturvallisuusauditointiin, joka tuottaa konkreettisen listan korjattavista puutteista ilman, että yritys joutuu itse arvaamaan mistä aloittaa.
Pilviturva osana yrityksen laajempaa turvallisuutta
Pilvipalvelujen tietoturva ei ole irrallinen saareke, vaan osa yrityksen kokonaisturvallisuutta. Sama logiikka pätee kuin fyysisessä vartioinnissa: yksittäinen lukko ei suojaa, jos ovi jätetään auki. Kyberturvallisuus kannattaa kytkeä osaksi laajempaa riskiarviointia, jossa käydään läpi sekä fyysiset että digitaaliset uhkat yhdessä.
Suomessa isot toimijat, kuten Securitas ja Avarn Security, ovat laajentaneet palveluvalikoimaansa myös kyberturvallisuuspalveluihin, koska asiakkaat haluavat yhden kumppanin sekä toimitilan vartiointiin että digitaalisten järjestelmien suojaukseen. Tämä ei tarkoita, että jokaisen yrityksen pitäisi ostaa molemmat samalta toimijalta – mutta vastuiden ja rajapintojen pitää olla selvillä riippumatta siitä, montaako eri kumppania käytetään.
Myytti, joka kannattaa kumota heti: pieni yritys ei ole ”liian pieni kiinnostaakseen hyökkääjiä”. Todellisuudessa suuri osa kiristyshaittaohjelmahyökkäyksistä kohdistuu automatisoidusti mihin tahansa haavoittuvaan järjestelmään koosta riippumatta. Pk-yritykset ovat usein houkuttelevampi kohde juuri siksi, että suojaustaso on keskimäärin heikompi kuin suuryrityksissä.
UKK – pilvipalvelujen tietoturva
Kuka vastaa pilvipalvelussa tapahtuvasta tietomurrosta, yritys vai palveluntarjoaja?
Vastuu jakautuu jaetun vastuun mallin mukaisesti. Palveluntarjoaja vastaa infrastruktuurin turvallisuudesta, mutta yritys vastaa käyttöoikeuksista, salasanakäytännöistä ja tietojen luokittelusta. GDPR:n mukainen ilmoitusvelvollisuus henkilötietojen tietoturvaloukkauksesta koskee aina rekisterinpitäjänä toimivaa yritystä, ei vain palveluntarjoajaa.
Riittääkö pilvipalvelun oma varmuuskopiointi, vai tarvitaanko erillinen ratkaisu?
Natiivit palautustoiminnot, kuten roskakorit ja versiohistoria, eivät korvaa erillistä varmuuskopiointia. Ne on suunniteltu yksittäisten virheiden korjaamiseen, eivät laajamittaiseen kiristyshaittaohjelmatapaukseen, jossa tarvitaan puhdas palautuspiste ajalta ennen hyökkäystä.
Miten pieni yritys pääsee alkuun ilman omaa IT-osastoa?
Aloitus kannattaa tehdä kartoittamalla käytössä olevat palvelut ja ottamalla kaksivaiheinen tunnistautuminen käyttöön kaikkialla – tämä yksin torjuu suuren osan yleisimmistä hyökkäyksistä. Sen jälkeen ulkopuolinen asiantuntija-arvio auttaa priorisoimaan loput toimenpiteet käytettävissä olevan budjetin mukaan.
Yhteenveto
Pilvipalvelujen tietoturva ei vaadi valtavaa budjettia, mutta se vaatii selkeän vastuunjaon ja säännöllisen ylläpidon. Suurin osa vahingoista syntyy perusasioiden laiminlyönnistä – puuttuvasta kaksivaiheisesta tunnistautumisesta, vanhentuneista käyttöoikeuksista ja oletusasetuksiin luottamisesta, ei kehittyneistä hyökkäystekniikoista.
Kun kartoitus, käyttöoikeuksien hallinta ja varmuuskopiointi ovat kunnossa, yritys on jo huomattavasti paremmassa asemassa kuin valtaosa suomalaisista pk-yrityksistä tällä hetkellä.