Häiriötilannevalmius ja IR-retainer: mitä sopimus sisältää ja milloin se kannattaa

Häiriötilannevalmius eli IR-retainer (incident response retainer) on ennakkoon tehty sopimus, jolla palveluntarjoaja sitoutuu aloittamaan tietoturvapoikkeaman tutkinnan ja rajoittamisen sovitussa vasteajassa. Tavallisesti siihen kuuluu ennakkoon ostettu tuntipankki, valmiiksi sovitut ehdot ja yhteystiedot sekä usein valmistelevia palveluja, kuten häiriötilannesuunnitelman katselmointi tai harjoitus. Havainnollisesti pk-yrityksen retainer voi maksaa noin 3 000–15 000 euroa vuodessa riippuen tuntimäärästä ja vasteajasta. Retainer ei ole sama kuin MDR: MDR havaitsee ja tekee ensitoimet, retainer tuo syvemmän tutkinnan, forensiikan ja palautuksen tuen, kun tapaus on vakava. Opas kuuluu kokonaisuuteen sopivimman tietoturvakumppanin valinta.

Miksi ennakkosopimus

Kun kiristyshaittaohjelma on salannut palvelimet, yritys tarvitsee apua tunneissa, ei päivissä. Ilman sopimusta aikaa kuluu:

palveluntarjoajan etsimiseen ja saatavuuden selvittämiseen
sopimusehdoista, hinnasta ja salassapidosta neuvottelemiseen
tunnusten, verkkokuvausten ja yhteyshenkilöiden selvittämiseen

Retainerissa nämä on tehty etukäteen. Lisäksi kyberturvallisuuslain piiriin kuuluvan on tehtävä ensi-ilmoitus 24 tunnissa ja jatkoilmoitus 72 tunnissa havaitsemisesta, ja GDPR:n ilmoitus tietosuojavaltuutetulle tehdään mahdollisuuksien mukaan 72 tunnissa. Ilmoituksiin tarvitaan tietoa, jota tutkinta tuottaa. Katso poikkeamailmoitukset 24 ja 72 tunnissa.

Retainer-mallit (havainnollisia)

Malli	Miten toimii	Havainnollinen hinta (alv 0 %)	Huomioi
Valmiusmaksu ilman tunteja	Taattu vasteaika, työ tuntihinnalla	1 500–4 000 €/v + 150–300 €/h	Halpa ylläpitää, kallis käyttää
Tuntipankki	Esim. 20–60 tuntia ennakkoon	3 000–15 000 €/v	Käyttämättömät tunnit?
Tuntipankki + ennakoivat palvelut	Tunteja voi käyttää myös harjoituksiin ja arvioihin	5 000–20 000 €/v	Hyödyllinen, jos tapauksia ei tule
MDR-palveluun sisältyvä	Tietty määrä tutkintaa MDR-hinnassa	Sisältyy kuukausihintaan	Mihin asti sisältyy?

Kysy erityisesti, siirtyvätkö käyttämättömät tunnit seuraavalle vuodelle tai voiko ne käyttää ennakoiviin palveluihin. Jos tunnit vanhenevat, retainer on vakuutusluonteinen maksu.

Laskuesimerkki: kannattaako retainer (havainnollinen)

40 hengen yritys arvioi kahta vaihtoehtoa:

A: Ei retaineria. Vakavassa tapauksessa tutkinta ja palautuksen tuki ostetaan kiireellisenä tuntihinnalla 260 €/h. Arvio vakavan tapauksen työmäärästä: 60 tuntia → 60 × 260 = 15 600 €.
B: Retainer 6 000 €/v, sisältää 30 tuntia (200 €/h), lisätunnit 200 €/h, käyttämättömiä tunteja voi käyttää harjoitukseen.

Vakavan tapauksen vuonna B maksaa 6 000 + 30 × 200 = 12 000 €, eli 3 600 € vähemmän kuin A. Rauhallisena vuonna A maksaa 0 € ja B 6 000 €, mutta B:n tunneilla tehdään esimerkiksi häiriötilanneharjoitus ja varmuuskopioiden palautustesti.

Hintaero ei kuitenkaan ole retainerin pääperuste. Tärkeintä on aika: jos sovittu vasteaika lyhentää katkosta yhdelläkin työpäivällä, säästö voi olla suurempi kuin koko vuosimaksu. Laske oma keskeytyksen hinta: liikevaihto päivässä × katteen osuus + palkat, jotka maksetaan tekemättömästä työstä.

Mitä sopimukseen kirjataan

Vasteaika: esimerkiksi etäyhteys 2–4 tunnissa ja paikan päällä seuraavana arkipäivänä; mitä vasteaika mittaa.
Saatavuus: 24/7 vai arkisin, myös juhlapyhinä.
Tunnit ja hinnat: sisältyvät tunnit, lisätuntien hinta, korotukset yö- ja viikonloppuaikaan.
Laajuus: tutkinta, forensiikka, rajoittaminen, palautuksen tuki, viestinnän tuki, viranomaisilmoitusten valmistelu.
Valmistelu: perehtyminen ympäristöön etukäteen, yhteystietolista, pääsyoikeudet.
Todisteiden käsittely: miten lokit ja levykuvat säilytetään, jos tapaus etenee rikosasiaksi.
Yhteensopivuus vakuutuksen kanssa: jos yrityksellä on kybervakuutus, ehdot voivat edellyttää vakuutusyhtiön hyväksymää tutkijaa; tarkista ennen sopimista. Katso kybervakuutuksen perusteet.

Valmistautuminen, joka ei maksa paljon

Laadi yhden sivun häiriötilanneohje: kuka päättää, kuka soittaa, mitä ei saa tehdä (esim. sammuttaa koneita ennen ohjetta).
Pidä yhteystiedot muualla kuin yrityksen sähköpostissa.
Testaa varmuuskopioiden palautus vähintään kerran vuodessa.
Harjoittele kerran: pöytäharjoitus vie pari tuntia.

Kyberturvallisuuskeskus julkaisee ohjeita poikkeamien käsittelyyn ja ottaa vastaan ilmoituksia myös lain ulkopuolisilta organisaatioilta.

Ensimmäiset 24 tuntia: miltä toiminta näyttää retainerin kanssa

Retainerin arvo näkyy ensimmäisessä vuorokaudessa. Tyypillinen kulku sovitun prosessin mukaan:

0–1 h: yrityksen päivystäjä soittaa retainer-numeroon. Palveluntarjoaja avaa tapauksen ja nimeää vastuuhenkilön.
1–4 h: tutkija saa etäyhteyden ja lokit. Koska ympäristöön on perehdytty etukäteen, aikaa ei kulu verkkokuvan selvittämiseen.
4–12 h: rajoittaminen: saastuneet koneet eristetään, kaapatut tunnukset suljetaan, hyökkääjän pääsy katkaistaan.
12–24 h: ensimmäinen tilannekuva johdolle: mitä tapahtui, mitä on tehty, mitkä järjestelmät voidaan palauttaa ja missä järjestyksessä. Samalla saadaan tiedot kyberturvallisuuslain ensi-ilmoitukseen, jos laki koskee yritystä.

Ilman ennakkosopimusta vaiheet 1–2 voivat viedä selvästi pidempään, koska sopimus, salassapito, hinnat ja pääsyoikeudet neuvotellaan kesken kriisin.

Valmistelu	Kuka tekee	Milloin
Yhteystietolista ja varahenkilöt	Yritys	Sopimuksen alussa, päivitys puolivuosittain
Verkkokuvaus ja järjestelmäluettelo	Yritys + palveluntarjoaja	Perehdytyksessä
Etäpääsyn valmistelu	Palveluntarjoaja	Perehdytyksessä
Pöytäharjoitus	Molemmat	Kerran vuodessa
Varmuuskopioiden palautustesti	Yritys tai IT-kumppani	Vähintään kerran vuodessa

Lue myös: oma valvonta vai ulkoistus ja kustannusesimerkit yrityskoon mukaan.

Usein kysyttyä

Tarvitaanko retainer, jos MDR on jo käytössä?

Riippuu MDR-sopimuksesta. Jos MDR sisältää vain ensitoimet ja tutkinta laskutetaan erikseen, retainer täydentää sitä. Monet MDR-palvelut tarjoavat retainerin lisäosana.

Voiko retainerin ostaa eri yritykseltä kuin valvonnan?

Voi. Silloin on sovittava, miten tutkija saa lokit ja pääsyn valvontajärjestelmään.

Maksaako vakuutus tutkinnan?

Kybervakuutus voi korvata sovittuja tutkintakuluja ehtojen mukaan. Retainer ja vakuutus ovat eri asioita: toinen varmistaa avun saatavuuden, toinen rahoittaa sitä.

Kuinka monta tuntia retaineriin kannattaa ostaa?

Mitoita tuntipankki yhden vakavan tapauksen ensimmäisten päivien työhön ja varaa lisätunneille sovittu hinta. Jos käyttämättömiä tunteja voi käyttää harjoituksiin ja arviointeihin, suurempi pankki on vähemmän riskialtis. Pyydä palveluntarjoajalta arvio tyypillisestä työmäärästä omankokoisessasi ympäristössä.

Mitä tapahtuu, jos tapaus sattuu juhannuksena?

Sen ratkaisee sopimuksen saatavuusehto. Varmista, että vasteaika koskee myös arkipyhiä ja lomakausia, ja että yrityksellä on silloin tavoitettava päätöksentekijä.

Lähteet ja lisätietoa

Kyberturvallisuuskeskus – poikkeamaohjeet ja ilmoittaminen
Poliisi – rikosilmoitus tietomurrosta tai kiristyksestä
Tietosuojavaltuutetun toimisto – henkilötietojen tietoturvaloukkaukset