MSSP, MDR, SOC palveluna ja XDR: mitä eroa ja mitä kukin sisältää

Lyhyesti: MSSP (Managed Security Service Provider) on laaja hallittu tietoturvapalvelu, joka ylläpitää ja valvoo useita suojauksia, kuten palomuuria, päätelaitesuojausta ja sähköpostisuojausta. MDR (Managed Detection and Response) keskittyy hyökkäysten havaitsemiseen ja niihin reagointiin ympäri vuorokauden, tavallisesti päätelaitteista ja identiteeteistä kerätyn tiedon avulla. SOC palveluna tarkoittaa ulkoistettua tietoturvavalvomoa, joka kerää lokeja monista lähteistä SIEM-järjestelmään, korreloi ne ja valvoo niitä. XDR on tekniikka, joka yhdistää päätelaitteiden, sähköpostin, pilvipalvelujen ja verkon tiedot; se voi olla MDR-palvelun alusta. Nimet menevät käytännössä päällekkäin, joten tarjous on luettava palvelukuvauksen eikä nimen perusteella.

Tämä opas kuuluu kokonaisuuteen hallittujen kyberturvallisuuspalvelujen hinta.

Palvelutyypit rinnakkain

Taulukko kuvaa tyypillisiä painotuksia, ei palveluntarjoajien tarjontaa. Esimerkiksi monet MSSP-yritykset myyvät myös MDR- ja SOC-palvelua, ja osa MDR-palveluista kerää myös lokeja.

MSSP: ylläpito ja valvonta yhdestä paikasta

MSSP ottaa vastuulleen tietoturvalaitteiden ja -ohjelmistojen päivittäisen hallinnan. Tyypillisiä osia ovat palomuurin ja VPN-yhteyksien hallinta, päätelaitesuojaus, sähköpostin roskaposti- ja kalastelusuojaus, haavoittuvuusskannaus, varmuuskopioinnin valvonta ja kuukausiraportti.

Hyvä puoli on, että yksi kumppani vastaa kokonaisuudesta. Riskinä on, että "valvonta" tarkoittaa vain laitteiden toimintakunnon seurantaa, ei hyökkäysten tutkintaa. Kysy aina: mitä tapahtuu, kun klo 3 yöllä havaitaan epäilyttävä kirjautuminen?

MDR: havaitse ja reagoi

MDR-palvelussa analyytikot tutkivat hälytykset ja reagoivat niihin. Reagointi tarkoittaa tavallisesti, että palvelu voi eristää koneen verkosta, pysäyttää prosessin tai sulkea käyttäjätunnuksen ja kertoo, mitä asiakkaan pitää tehdä seuraavaksi. Pk-yritykselle MDR on usein kustannustehokkain tapa saada ympärivuorokautinen valvonta, koska oma 24/7-vuorojärjestely vaatisi useita henkilöitä.

Tarkista sopimuksesta:

• saako palvelu eristää ja sulkea ilman erillistä lupaa vai vasta soitettuaan sinulle
• sisältyykö syvempi tutkinta hintaan vai alkaako sen kohdalla tuntiveloitus
• kattaako palvelu pilvisähköpostin ja käyttäjätunnukset vai vain päätelaitteet
• mitä tapahtuu laitteille, joihin agenttia ei voi asentaa (tulostimet, tuotantolaitteet)

SOC palveluna ja SIEM: kun tarvitaan lokit

SOC (Security Operations Center) on valvomo. Palveluna ostettuna se kerää lokit palomuureista, palvelimista, pilvipalveluista, käyttäjähakemistosta ja sovelluksista SIEM-järjestelmään, jossa niitä korreloidaan ja valvotaan. Lokien keruu on hyödyllistä, kun hyökkäyksen jäljet pitää pystyä selvittämään jälkikäteen tai kun asiakas, auditoija tai sääntely edellyttää lokien säilyttämistä ja valvontaa.

SOC-palvelu hinnoitellaan usein lokimäärän (gigatavua päivässä) tai lokilähteiden mukaan, ja siinä on yleensä vähimmäislaskutus. Siksi se on pienelle yritykselle usein kallein vaihtoehto suhteessa kokoon. Hinnoittelun laskentatavat on selitetty oppaassa hinnoittelumallit: käyttäjä, laite vai lokimäärä.

XDR ja muut lyhenteet

• EDR (Endpoint Detection and Response): päätelaitteen agentti, joka havaitsee ja estää. Katso hallinnoitu palomuuri ja EDR.
• XDR (Extended Detection and Response): laajentaa EDR:n sähköpostiin, identiteetteihin, pilvipalveluihin ja verkkoon. XDR on tuote; MDR on palvelu, joka voi käyttää sitä.
• SIEM: lokienhallinta- ja korrelointijärjestelmä, SOC-palvelun tyypillinen työkalu.
• SOAR: automaatio, joka toteuttaa vakiotoimenpiteitä hälytysten perusteella.
• vCISO: ulkoistettu tietoturvajohtaja; katso ulkoistetun CISO:n hinta.

Mikä sopii millekin yritykselle (havainnollisia esimerkkejä)

1. 8 hengen tilitoimisto, kaikki pilvessä: hallittu EDR ja pilvisähköpostin suojaus, monivaiheinen tunnistautuminen, varmuuskopiot. 24/7 MDR on harkittava, jos asiakastietoja on paljon.
2. 35 hengen konepaja, tuotantoverkko ja toimisto: MDR toimiston laitteille, hallinnoitu palomuuri ja verkon segmentointi tuotannolle; tuotantolaitteille, joihin agenttia ei voi asentaa, verkkopohjainen valvonta.
3. 120 hengen elintarviketukku, joka saattaa kuulua kyberturvallisuuslain piiriin: MDR, SOC-palvelu tärkeimmille lokilähteille, ulkoistettu CISO riskienhallinnan toimintamalliin ja häiriötilannevalmius. Tarkista soveltamisala oppaasta kyberturvallisuuslaki ja pk-yritys.

Palveluntarjoajia on Suomessa runsaasti, mukaan lukien kotimaiset tietoturvayhtiöt, IT-palvelutalot ja kansainväliset MDR-palvelut. Emme pisteytä niitä; käytä valintaan menetelmää oppaassa sopivimman tietoturvakumppanin valinta.

Viisi kysymystä, joilla selvität mitä oikeasti ostat

Koska nimet eivät kerro sisältöä, pyydä jokaiselta ehdokkaalta kirjallinen vastaus näihin:

1. Mistä lähteistä tietoa kerätään? Luettele päätelaitteet, palvelimet, pilvisähköposti, käyttäjähakemisto, palomuuri ja pilvialustat erikseen.
2. Kuka katsoo hälytyksen ja milloin? Ihminen ympäri vuorokauden, ihminen arkisin ja automatiikka muulloin vai pelkkä automatiikka?
3. Mitä palvelu saa tehdä itse? Eristää, sulkea tunnuksen, estää osoitteen vai vain ilmoittaa?
4. Mitä raportoidaan? Kuukausiraportti, välitön ilmoitus vakavista tapauksista, tiedot viranomaisilmoitusta varten.
5. Mikä ei sisälly? Pyydä luettelo poissuljetuista asioista: syvä forensiikka, palautustyö, paikan päällä käynti, uudet lähteet.

Jos kaksi tarjousta vastaa näihin eri tavalla, ne eivät ole vertailukelpoisia, vaikka molempien otsikossa lukisi "24/7-valvonta". Tällöin on parempi muokata tarjouspyyntöä kuin verrata hintoja suoraan.

Usein kysyttyä

Onko MDR sama kuin virustorjunta?

Ei ole. Virustorjunta ja EDR ovat ohjelmistoja. MDR on palvelu, jossa ihmiset tutkivat hälytyksiä ja reagoivat niihin. MDR käyttää yleensä EDR- tai XDR-ohjelmistoa.

Tarvitseeko pieni yritys SIEM-järjestelmää?

Ei yleensä ensimmäisenä. Pienelle yritykselle monivaiheinen tunnistautuminen, päätelaitesuojaus, varmuuskopiot ja MDR tuovat yleensä enemmän suojaa euroa kohden. Lokien keruu tulee ajankohtaiseksi, kun asiakkaat tai sääntely sitä vaativat.

Voiko palveluja yhdistellä eri toimittajilta?

Voi, mutta silloin vastuunjako pitää kirjata tarkasti: kuka reagoi, kuka ilmoittaa ja kenen lokit ratkaisevat. Monen toimittajan mallissa hälytys voi jäädä kahden palvelun väliin.

Mitä tarkoittaa "co-managed"?

Yhteishallinnoitu malli, jossa asiakkaan oma IT ja palveluntarjoaja jakavat tehtävät, esimerkiksi päivisin oma väki ja öisin palvelu.

Lähteet ja lisätietoa

• Kyberturvallisuuskeskus – ohjeet organisaatioille ja tietoturvan perustason suositukset
• ENISA, EU:n kyberturvallisuusvirasto – eurooppalaiset suositukset ja raportit
• Finlex – kyberturvallisuuslaki 124/2025