Mitä tietoturvakartoitus tarkoittaa?
Tietoturvakartoitus on yrityksen kyberturvan nykytilan arvio. Sen tarkoitus ei ole vain etsiä teknisiä puutteita, vaan antaa johdolle ja vastuuhenkilöille selkeä kuva siitä, missä riskit ovat ja mitä kannattaa korjata ensin.
Nykytilan selvitys
Kartoitetaan yrityksen IT-ympäristö, käyttäjähallinta, varmuuskopiot, laitteet, pilvipalvelut ja kriittiset järjestelmät.
Riskien priorisointi
Kaikkea ei tarvitse korjata heti. Hyvä kartoitus erottaa kriittiset riskit pienemmistä kehityskohteista.
Toimenpidesuunnitelma
Lopputuloksena yritys saa paremman kuvan siitä, mitä kannattaa tehdä seuraavaksi ja missä järjestyksessä.
Mistä tietoturvakartoituksen hinta muodostuu?
Hinta riippuu ennen kaikkea kartoituksen laajuudesta. Pienen yrityksen kevyt nykytila-arvio on eri asia kuin usean järjestelmän tekninen auditointi, toimitusketjuvaatimusten selvitys tai NIS2-valmiuden arviointi.
Yrityksen koko
Työntekijämäärä, käyttäjätilien määrä, toimipisteet ja ulkoistetut IT-palvelut vaikuttavat työmäärään.
Järjestelmien määrä
Pilvipalvelut, tuotantojärjestelmät, asiakasrekisterit, integraatiot ja etätyöratkaisut voivat laajentaa kartoitusta.
Datan kriittisyys
Henkilötiedot, asiakasdata, maksutiedot, tuotantodata ja sopimustiedot nostavat riskitasoa.
Raportoinnin taso
Kevyt lista havainnoista maksaa vähemmän kuin johdolle ja asiakkaille esitettävä laaja raportti.
Suuntaa-antavat kartoitustasot
Nämä eivät ole kiinteitä hintoja, vaan auttavat ymmärtämään, millaisia palvelutasoja markkinassa voi olla.
Kevyt lähtötilanne
Sopii pienelle yritykselle, joka haluaa ymmärtää perusriskit ja tärkeimmät korjauskohteet ilman raskasta auditointia.
Laajempi kartoitus
Sopii yritykselle, jolla on useita järjestelmiä, asiakasdataa, kumppanivaatimuksia tai kasvava IT-ympäristö.
NIS2- tai auditointivalmius
Sopii yritykselle, joka haluaa tarkistaa sääntelyyn, asiakkaisiin tai sertifiointiin liittyviä vaatimuksia.
Mitä kartoituksessa voidaan tarkistaa?
Varsinainen sisältö riippuu palveluntarjoajasta, mutta tyypillisesti kartoitus voi sisältää seuraavia osa-alueita.
Tekniset osa-alueet
- Käyttäjätilit ja pääsynhallinta
- Kaksivaiheinen tunnistautuminen
- Varmuuskopiointi ja palautumisen testaus
- Päätelaitteiden suojaus
- Päivitykset ja haavoittuvuudet
- Pilvipalveluiden asetukset
Johtamisen ja prosessien osa-alueet
- Tietoturvavastuut
- Poikkeamatilanteiden toimintamalli
- Henkilöstön ohjeistus
- Toimittajariski ja sopimukset
- Kriittisten järjestelmien tunnistaminen
- Raportointi johdolle tai asiakkaille
Milloin yrityksen kannattaa tehdä tietoturvakartoitus?
Kartoitus kannattaa tehdä ennen kuin ongelma pakottaa toimimaan. Se on erityisen hyödyllinen silloin, kun yritys kasvaa tai asiakas alkaa kysyä tietoturvasta.
Asiakas vaatii tietoturvaa
Isot asiakkaat ja julkiset hankinnat voivat edellyttää näyttöä tietoturvan käytännöistä.
Yritys kasvaa nopeasti
Uudet järjestelmät, uudet työntekijät ja useat pilvipalvelut voivat kasvattaa riskiä huomaamatta.
NIS2 tai compliance kiinnostaa
Kartoitus auttaa selvittämään, onko yrityksellä valmiuksia vastata uusiin vaatimuksiin.
Mitä kannattaa valmistella ennen kartoitusta?
Hyvin valmisteltu kartoitus on tehokkaampi ja voi säästää kustannuksia.
Kerää perustiedot
- Käytössä olevat järjestelmät ja palvelut
- Käyttäjämäärät ja käyttöoikeuksien hallinta
- IT-kumppanit ja palveluntarjoajat
- Varmuuskopiointikäytännöt
Mieti liiketoiminnan kriittiset kohdat
- Mitä järjestelmiä ilman yritys ei voi toimia?
- Mitä dataa pitää suojata erityisesti?
- Mitä asiakkaat tai sopimukset edellyttävät?
- Kuka vastaa tietoturvasta tällä hetkellä?
Usein kysytyt kysymykset
Lyhyet vastaukset yleisiin kysymyksiin tietoturvakartoituksen hinnasta ja sisällöstä.
Onko kevyt kartoitus riittävä?
Usein se on hyvä alku. Jos löydetään merkittäviä riskejä tai asiakasvaatimuksia, voidaan jatkaa laajempaan auditointiin.
Voiko kartoituksen tehdä etänä?
Monet asiat voidaan selvittää etänä haastatteluilla, dokumenteilla ja järjestelmätiedoilla. Teknisempi tarkistus voi vaatia tarkempaa pääsyä ympäristöön.
Saako kartoituksesta raportin?
Usein kyllä. Raportin taso vaihtelee kevyestä havaintolistasta laajempaan johdon tai asiakkaan käyttöön sopivaan dokumenttiin.
Korvaako tämä NIS2-arvion?
Ei välttämättä. Tietoturvakartoitus voi olla osa NIS2-valmiuden selvittämistä, mutta virallinen soveltuvuus ja velvoitteet kannattaa tarkistaa erikseen.
Pyydä tietoturvakartoituksen hinta-arvio
Jätä tiedot, jos haluat suuntaa-antavan arvion siitä, millainen kartoitus voisi sopia yrityksellesi.