Hallinnoitu palomuuri ja EDR: mitä palveluun kuuluu ja miten hinta lasketaan

Hallinnoitu palomuuri on palvelu, jossa palveluntarjoaja konfiguroi, päivittää ja valvoo yrityksen palomuuria, tekee sääntömuutokset ja hoitaa etäyhteydet (VPN). Hallittu EDR tarkoittaa, että palveluntarjoaja asentaa päätelaitteisiin havainnointi- ja estoagentin, ylläpitää sen politiikkoja ja seuraa hälytyksiä. Molemmissa hinta koostuu kolmesta osasta: laitteesta tai lisenssistä, palvelumaksusta ja kertaluonteisesta käyttöönotosta. Havainnollisesti hallinnoidun palomuurin palvelumaksu voi olla noin 80–400 euroa laitteelta kuukaudessa ja hallitun EDR:n noin 4–12 euroa päätelaitteelta kuukaudessa, ilman arvonlisäveroa. Kumpikaan ei yksinään vastaa 24/7-reagointia, ellei sitä ole erikseen sovittu. Opas kuuluu kokonaisuuteen hallittujen kyberturvallisuuspalvelujen hinta.

Hallinnoidun palomuurin sisältö

Tyypillinen palvelukuvaus sisältää:

• alkuasennuksen ja sääntöjen suunnittelun yhdessä asiakkaan kanssa
• ohjelmistopäivitykset ja tietoturvakorjaukset sovitussa huoltoikkunassa
• sääntömuutokset pyynnöstä, usein tietty määrä kuukaudessa
• etäyhteyksien (VPN) ja mahdollisten toimipisteiden välisten yhteyksien hallinnan
• konfiguraation varmuuskopioinnin
• laitteen toimintakunnon valvonnan ja vikailmoitukset
• lisäpalveluina usein tunkeutumisen eston, verkkosuodatuksen ja palomuurilokien valvonnan

Huomaa ero toimintakunnon valvonnan ja tietoturvavalvonnan välillä. Ensimmäinen kertoo, onko laite päällä; jälkimmäinen tarkoittaa, että joku katsoo, mitä laitteen läpi yritetään. Jos palomuurilokien tietoturvavalvontaa ei ole kirjattu, sitä ei todennäköisesti ole.

Laite, lisenssi ja palvelu: kolme hintaa

Havainnollinen esimerkki, kolmen vuoden kustannus yhdelle toimipisteelle:

• Laite ostettuna 1 800 €
• Lisenssi 3 vuodelle 1 500 €
• Palvelumaksu 180 €/kk × 36 = 6 480 €
• Käyttöönotto 900 €

Yhteensä 1 800 + 1 500 + 6 480 + 900 = 10 680 € eli noin 297 €/kk. Jos laite ja lisenssi sisältyvät palveluun ja kuukausimaksu on 290 €, kolmen vuoden summa on 290 × 36 + 900 = 11 340 €. Ero on pieni, mutta jälkimmäisessä mallissa laite jää palveluntarjoajalle, mikä vaikuttaa vaihtamiseen.

Hallitun EDR:n sisältö

EDR-agentti havaitsee päätelaitteella epäilyttävää toimintaa, kuten kiristyshaittaohjelman salaustoimintaa tai tunnusten kalastelua, ja voi estää sen automaattisesti. Hallittu palvelu lisää tähän:

• agenttien asennuksen ja kattavuuden seurannan (montako laitetta on oikeasti suojattu)
• politiikkojen ylläpidon ja poikkeusten hallinnan
• hälytysten seurannan sovittuina aikoina
• suositukset ja tarvittaessa koneen eristämisen
• kuukausiraportin

Ratkaiseva kysymys on seurannan ajankohta. Moni hallittu EDR-palvelu seuraa hälytyksiä arkisin virka-aikaan, kun taas hyökkäykset ajoitetaan usein öihin ja viikonloppuihin. Jos tarvitset ympärivuorokautista ihmisen tekemää tutkintaa, kyse on MDR-palvelusta; katso MSSP, MDR ja SOC: erot.

Laskuesimerkki: EDR ja palomuuri yhdessä (havainnollinen)

18 hengen arkkitehtitoimistossa on 22 päätelaitetta, kaksi palvelinta ja yksi palomuuri.

• Hallittu EDR: 22 × 8 € = 176 €; palvelimet 2 × 20 € = 40 €
• Hallinnoitu palomuuri: 160 €/kk
• Yhteensä 376 €/kk, vuodessa 4 512 € (alv 0 %)

Jos toimisto haluaa 24/7-reagoinnin, se voi korvata EDR-palvelun MDR-palvelulla, esimerkiksi 22 × 16 € + 2 × 35 € = 352 + 70 = 422 €, jolloin kokonaishinta palomuurin kanssa on 582 €/kk. Ero 206 €/kk ostaa öiden ja viikonloppujen reagoinnin. Kokeile omia lukujasi kustannusarviolla.

Mitä sopimukseen kirjataan

1. Kattavuus: luettelo laitteista ja siitä, miten uudet laitteet lisätään.
2. Huoltoikkunat: milloin päivitykset tehdään ja miten käyttökatkoista ilmoitetaan.
3. Muutospyynnöt: montako sisältyy, mitä ylimenevät maksavat ja mikä on vasteaika.
4. Vikojen vasteajat: palomuurin vika voi katkaista koko toimiston yhteydet.
5. Omistus ja poistuminen: laitteen, lisenssin ja konfiguraation luovutus sopimuksen päättyessä.
6. Hälytysten käsittely: kuka katsoo hälytyksen, milloin ja mitä tekee.

Laajemmin palvelutasosta oppaassa SLA ja palvelutaso.

Perussuojaukset, joita palvelu ei korvaa

Hallittu palomuuri ja EDR eivät korvaa perusasioita, joita Kyberturvallisuuskeskus suosittaa kaikille organisaatioille: monivaiheinen tunnistautuminen, ohjelmistojen päivittäminen, varmuuskopiot, joista palautus on testattu, ja henkilöstön opastus kalastelun tunnistamiseen. Monet kybervakuutukset edellyttävät samoja asioita; katso kybervakuutuksen perusteet.

Laitteen elinkaari ja tuen päättyminen

Palomuuri on laite, jonka valmistaja tukee vain tietyn ajan. Kun tuki päättyy, laite ei enää saa tietoturvapäivityksiä, ja hallinnoitu palvelu muuttuu vanhentuneen laitteen ylläpidoksi. Ota elinkaari huomioon hinnassa:

• Kysy tuen päättymispäivä ennen sopimusta, erityisesti jos palveluntarjoaja ottaa hallintaan yrityksen nykyisen laitteen.
• Sovi vaihdosta: sisältyykö laitteen vaihto palveluun, kun tuki päättyy, vai ostetaanko uusi laite erikseen?
• Jaksota kustannus: jos laite vaihdetaan esimerkiksi viiden vuoden välein ja se maksaa 1 800 €, vuosikustannus on 360 € eli 30 €/kk palvelumaksun päälle.
• Lisenssin vanheneminen: jos suojapalvelujen lisenssi vanhenee, osa suojauksista voi lakata toimimasta, vaikka laite toimisi. Kirjaa, kuka seuraa uusimista.

Sama koskee päätelaitteita: EDR-agentti suojaa vain tuettua käyttöjärjestelmää. Vanhat koneet, joihin ei saa päivityksiä, ovat valvonnan heikoin kohta ja usein palvelun ulkopuolella. Kartoita ne ennen käyttöönottoa ja tee niille suunnitelma: uusiminen, eristäminen omaan verkkoonsa tai korvaavat suojaukset.

Havainnollinen esimerkki: 22 laitteesta neljä on niin vanhoja, ettei niihin saa nykyistä käyttöjärjestelmää. Uusien koneiden hinta 4 × 1 100 € = 4 400 € on kertaluonteinen, mutta ilman vaihtoa nämä neljä jäävät valvonnan katvealueeksi.

Lue myös: hinnoittelumallit: käyttäjä, laite vai lokimäärä ja kyberturvallisuuslaki ja pk-yritys.

Usein kysyttyä

Riittääkö käyttöjärjestelmän oma suojaus?

Pienimmille yrityksille käyttöjärjestelmän ja pilvipalvelun omat suojaukset voivat olla hyvä pohja, jos ne on otettu kunnolla käyttöön ja niitä seurataan. Ero hallittuun palveluun on juuri seuranta ja reagointi.

Voiko palomuurin hallinnan ostaa ilman laitetta?

Voi, jos laite on yrityksen oma ja palveluntarjoaja tukee kyseistä laitetta. Tarkista ennen sopimusta, onko laite vielä valmistajan tuen piirissä.

Kuka on vastuussa, jos sääntömuutos katkaisee yhteyden?

Sopimuksen mukaan. Kirjaa muutospyyntöjen hyväksyntä ja palautussuunnitelma; hyvä käytäntö on, että muutos voidaan perua nopeasti.

Lähteet ja lisätietoa

• Kyberturvallisuuskeskus – perustason tietoturvaohjeet ja varoitukset haavoittuvuuksista
• Finlex – kyberturvallisuuslaki 124/2025 (9 §: hallintatoimenpiteet)
• Verohallinto – laitehankintojen poistot ja arvonlisävero