Miksi pk-yritys on houkutteleva kohde hyökkääjille
Yleinen harhaluulo on, että hakkerit kiinnostuvat vain suurista yrityksistä. Todellisuus on päinvastainen: pk-yritykset ovat usein helpompia kohteita juuri siksi, että niillä on harvemmin järjestelmällistä tietoturvatyötä. Verizon Data Breach Investigations Report 2023 osoitti, että yli 40 % tietomurroista kohdistui alle 1 000 hengen organisaatioihin.
Tyypillinen skenaario: verkkokauppa pyörii kolmen vuoden takaisella PHP-versiolla, ylläpitotunnus on edelleen admin ja salasana sama kuin käyttöönotossa. Hyökkäys ei vaadi ammattilaisosaamista – automatisoituja työkaluja, jotka etsivät tällaisia aukkoja, pyörii verkossa vuorokauden ympäri.
Mitä tietoturva-auditointi käytännössä tarkoittaa
Auditointi ei ole pelkkä tarkistuslista. Se on järjestelmällinen läpikäynti, jossa kartoitetaan kaikki kohdat, joista järjestelmään voidaan murtautua tai tietoja vuotaa. NorthDevLabin auditoinnissa käydään läpi tyypillisesti seuraavat osa-alueet:
- Autentikaatio ja käyttöoikeudet: Onko käyttäjätunnuksilla liikaa oikeuksia? Käytetäänkö kaksivaiheista kirjautumista?
- Päivitystilanne: Ohjelmistot, kirjastot ja lisäosat – vanhentunut koodi on yleisin hyökkäysvektori.
- Tiedonsiirto ja tallennus: Kulkevatko arkaluonteiset tiedot salattuna? Tallennetaanko salasanat oikein?
- Syötteiden validointi: SQL-injektio ja XSS ovat edelleen Top 10 -listalla, vaikka ne on teknisesti helppo torjua.
- Lokitus ja valvonta: Huomataanko epäilyttävä toiminta ylipäätään?
Auditoinnin lopputulos on kirjallinen raportti, jossa haavoittuvuudet on luokiteltu vakavuuden mukaan – kriittinen, korkea, kohtalainen, matala – ja jokaiselle on konkreettinen korjausehdotus.
Esimerkki: mitä yhdessä auditoinnissa löytyi
Eräällä suomalaisella tukkuliikkeellä oli käytössä räätälöity tilausjärjestelmä. Auditoinnissa löytyi kolme merkittävää ongelmaa:
- Järjestelmä paljasti asiakkaiden tilaushistorian muuttamalla URL-osoitteen numeroa – ilman minkäänlaista pääsynhallintaa.
- Kirjautumissivu ei rajoittanut epäonnistuneita sisäänkirjautumisyrityksiä, jolloin salasanojen arvaaminen automaattisesti oli triviaalia.
- Vanhentunut kirjasto sisälsi julkisen haavoittuvuuden, jolle oli olemassa valmis hyökkäyskoodi.
Kaikki kolme korjattiin kahden päivän kehitystyöllä. Ilman auditointia ne olisivat voineet jäädä piiloon vuosiksi.
Milloin auditointi kannattaa teettää
Hyvä nyrkkisääntö: auditointi on ajankohtainen aina, kun jokin merkittävä muuttuu. Käytännössä tämä tarkoittaa:
- Ennen kuin järjestelmä otetaan tuotantokäyttöön tai tehdään suuri päivitys
- Kun yrityksellä on uusia alihankkijoita tai integraatioita ulkopuolisiin järjestelmiin
- Jos yritys käsittelee henkilötietoja tai maksukorttidataa – GDPR-vaatimukset edellyttävät käytännössä riskien arviointia
- Kun viimeisin auditointi on yli 12 kuukauden takaa
Auditointi ei myöskään ole kertaluonteinen toimenpide. Uusia haavoittuvuuksia löydetään jatkuvasti, ja järjestelmät muuttuvat. Vuosittainen tarkastus on kohtuullinen tahti useimmille pk-yrityksille.
Mitä auditointi maksaa – ja mitä se säästää
Suppea auditointi yhdelle web-sovellukselle maksaa tyypillisesti 1 500–4 000 euroa riippuen järjestelmän koosta. Se kuulostaa suurelta, kunnes vertaa sitä tietomurron todellisiin kustannuksiin: tiedottamisvelvollisuus, mainevahinko, mahdolliset GDPR-sakot ja järjestelmän puhdistus voivat helposti nousta kymmeniin tuhansiin euroihin – puhumattakaan menetetyistä asiakkuuksista.
Tietoturva ei ole vakuutus, jota ostetaan sen jälkeen kun vahinko on tapahtunut. Se on ennaltaehkäisevä investointi, joka maksaa itsensä takaisin jo kerran.
NorthDevLab tekee tietoturva-auditointeja suomalaisille pk-yrityksille – selkeällä raportilla ja konkreettisilla korjausehdotuksilla. Ota yhteyttä ja kerro järjestelmästäsi, niin annamme arvion auditoinnin laajuudesta ja hinnasta.