Tietoturvan kehittämistyössä törmätään usein heti alkuunsa kysymyksiin, mitä kaikkea meidän pitäisi oikeastaan huomioida, tehdä, sekä missä järjestyksessä. Tähän tietoturvan eri viitekehykset auttavat osaltaan valmistautumaan. Niihin on koottu parhaat käytännöt valmiiksi pureksittuna rakenteeksi, jonka varaan organisaatio voi lähteä rakentamaan tietoturvatyötänsä.
Tässä blogikirjoituksessa käyn läpi yleisimmät tietoturvan viitekehykset sekä kerron, miksi ne ovat organisaatioille tärkeitä etenkin tänä päivänä.
Mikä tietoturvan viitekehys on?
Tietoturvan viitekehys on jäsennelty kokoelma vaatimuksia, hallintakeinoja ja käytäntöjä, joiden avulla organisaatio voi tunnistaa riskinsä, suojata tärkeimmät tietonsa ja järjestelmänsä, sekä osoittaa toimintansa riittävyyden. Osa viitekehyksistä on vapaaehtoisia standardeja tai suosituksia, osa taas perustuu lainsäädäntöön ja ovat soveltamisalaan kuuluville organisaatioille pakollisia.
Viitekehys ei itsessään suojaa mitään, mutta sen avulla organisaatio kykenee katsomaan tietoturvaa hallittuna kokonaisuutena. Ilman noudatettavaa viitekehystä tietoturvatyö jää helposti irrallisiksi teknisiksi toimenpiteiksi, joiden kattavuutta tai vaikuttavuutta on lähes mahdotonta arvioida.
Yleisimmät tietoturvan viitekehykset
Viitekehyksiä on kymmeniä, ja moni niistä menee sisällöltään osittain myös päällekkäin. Suomalaisen organisaation näkökulmasta seuraavat ovat yleisimpiä.
ISO/IEC 27001
ISO 27001 on maailman tunnetuin tietoturvastandardi. Se määrittelee vaatimukset tietoturvan hallintajärjestelmälle (ISMS, Information Security Management System), eli sille, miten organisaatio johtaa, suunnittelee, toteuttaa, seuraa ja parantaa tietoturvaansa jatkuvasti. Standardin liite A sisältää tänä päivänä 93 hallintakeinoa, jotka on jaettu organisatorisiin, henkilöstöön liittyviin, fyysisiin ja teknisiin osa-alueisiin.
ISO 27001 -sertifikaatti onkin monelle organisaatiolle selkein tapa osoittaa, että tietoturvaa johdetaan ja toteutetaan järjestelmällisesti. Sertifiointi ei kuitenkaan ole ainoa syy hyödyntää standardia, sillä sen rakenne toimii erinomaisena runkona myös ilman virallista auditointia.
Kyberturvallisuuslaki ja NIS2-direktiivi
Kyberturvallisuuslaki tuli Suomessa voimaan huhtikuussa 2025 ja toi EU:n NIS2-direktiivin vaatimukset osaksi kansallista lainsäädäntöä. Soveltamisalaan kuuluvien organisaatioiden on hallittava kyberturvallisuusriskejään, raportoitava merkittävistä poikkeamista viranomaisille sekä huolehdittava esimerkiksi toimitusketjun turvallisuudesta, jatkuvuudesta ja henkilöstön koulutuksesta. Vastuu on nimenomaisesti organisaation johdolla.
Vaikka organisaatio ei itse kuuluisi lain soveltamisalaan, vaatimukset valuvat usein alaspäin toimitusketjussa. Asiakas, joka kuuluu lain piiriin, edellyttää tyypillisesti myös toimittajiltaan näyttöä tietoturvan tasosta.
NIST Cybersecurity Framework (CSF 2.0)
Yhdysvaltalaisen NIST:n kyberturvallisuuden viitekehys on laajasti käytetty myös Euroopassa. Vuonna 2024 julkaistu versio 2.0 jäsentää kyberturvallisuuden kuuteen toimintoon: hallinnoi, tunnista, suojaa, havaitse, reagoi ja palauta. Kehikon vahvuus on sen selkeydessä auttaen hahmottamaan, onko organisaation tietoturvatyö tasapainossa vai painottuuko se liikaa esimerkiksi suojaamiseen.
CIS Controls
CIS Controls on priorisoitu lista 18 suojauskokonaisuudesta, jotka perustuvat todellisiin hyökkäyksiin. Toteutusryhmät (IG1–IG3) kertovat, mistä organisaation kannattaa aloittaa kokonsa ja resurssiensa mukaan. Pk-organisaatiolle IG1 on hyvä perustason tarkistuslista: laite- ja ohjelmistoinventaario, käyttöoikeuksien hallinta, päivitykset, varmuuskopiot ja tietoturvatietoisuus. Toisin kuin ISO 27001 tai NIST CSF, CIS Controls ei ole hallinnollinen tietoturvan viitekehys. Se ei kerro, miten tietoturvaa johdetaan, vaan mitä konkreettisia suojauksia kannattaa toteuttaa. Siksi se toimii parhaiten hallinnollisen kehikon rinnalla, käytännön toteutuksen tukena.
GDPR
EU:n yleinen tietosuoja-asetus ei ole varsinainen tietoturvan viitekehys, mutta se edellyttää henkilötietojen käsittelyltä asianmukaisia teknisiä ja organisatorisia suojatoimia. Käytännössä tietosuoja ja tietoturva kulkevat pitkälti käsi kädessä. Samat hallintakeinot palvelevat molempia.
Miksi viitekehykset ovat organisaatioille tärkeitä?
Moni organisaatio kokee viitekehykset raskaiksi ja byrokraattisiksi. Itse näen asian päinvastoin: hyvin valittu viitekehys säästää aikaa ja rahaa, koska sen avulla resurssit kohdistuvat oikeisiin asioihin.
Viitekehyksen hyödyt pähkinänkuoressa:
- Kokonaiskuva riskeistä. Viitekehys auttaa tunnistamaan sokeat pisteet, joita yksittäiset tekniset ratkaisut eivät kykene paljastamaan.
- Priorisointi. Kaikkea ei tarvitse tehdä kerralla. Kehikko auttaa erottamaan kriittiset asiat niistä, jotka voivat odottaa myöhempää läpikäyntiä.
- Selkeät vastuut. Kun tehtävät ja omistajat on määritelty, tietoturva ei jää yhden henkilön harteille.
- Vaatimustenmukaisuuden osoittaminen. Asiakkaat, kumppanit, vakuutusyhtiöt ja viranomaiset kysyvät yhä useammin näyttöä tietoturvan tasosta. Dokumentoitu ja viitekehykseen perustuva toiminta vastaa näihin kysymyksiin.
- Johdon ohjattavuus. Viitekehys antaa johdolle ymmärryksen ja mittarit, joiden avulla tietoturvaa voidaan seurata osana liiketoiminnan riskienhallintaa. Organisaation johto on aina viime kädessä vastuussa tietoturvasta.
- Jatkuva parantaminen. Tietoturva ei ole projekti, joka valmistuu tietyssä ajassa. Tietoturvan kehitys ja ylläpito on jatkuva prosessi.
Digiturvamalli ISMS-järjestelmänä
Viitekehyksen valinta on vasta alkua. Suurin haaste tulee siitä, miten vaatimukset muutetaan käytännön tekemiseksi ja miten tietoturvatyö pidetään ajan tasalla vuodesta toiseen. Excel-taulukoihin ja kansioihin hajautettu dokumentaatio vanhenee nopeasti, eikä kukaan välttämättä tiedä, mikä versio on voimassa ylipäätään. Näihin tarpeisiin vastaamaan onkin kehitetty tietoturvan hallintajärjestelmät eli ISMS-työkalut.
Esimerkkinä meillä ja asiakkaillamme käytössä oleva Digiturvamalli on SaaS-palveluna toimiva tietoturvan hallintajärjestelmä. Digiturvamallin vaatimuskirjastosta löytyy yli 80 vaatimuskehikkoa, muun muassa ISO 27001, NIS2 ja kyberturvallisuuslaki, GDPR, NIST CSF, CIS Controls, tiedonhallintalaki ja Julkri. Organisaatio valitsee itselleen olennaiset kehikot ja Digiturvamalli palastelee niiden vaatimukset konkreettisiksi tehtäviksi, ohjeistuksiksi ja työn kuluiksi.
Yhteenveto
Tietoturvan viitekehykset kertovat, mitä tietoturvan tulisi pitää sisällään, ja mahdollistavat tietoturvan tason osoittamisen oman organisaation osalta. ISO 27001, kyberturvallisuuslaki, NIST CSF, CIS Controls ja muut kehikot eivät kilpaile keskenään, vaan täydentävät toisiaan. Olennaista onkin valita omalle organisaatiolle sopiva kehikko tai kehikot ja jalkauttaa vaatimukset osaksi päivittäistä tekemistä.
Epävarma, mikä viitekehys sopisi juuri teidän organisaatiollenne tai miten ylipäätään lähteä asian kanssa liikkeelle? Jutellaan lyhyesti ja katsotaan tilannetta yhdessä. Varaa sinulle sopiva aika kalenteristani!
Mika Hakkarainen
CTO, co-founder & consigliere
Mika Hakkarainen on Above IT:n teknologiajohtaja, toinen perustaja ja tietohallintojen neuvonantaja. Hänellä on lähes 30 vuoden kokemus IT-alalta erilaisista organisaatioista Suomessa ja ulkomailla. Mika auttaa asiakkaita parantamaan sekä teknistä että hallinnollista tietoturvaa.
