Laskelmat, esimerkit ja valintamenetelmä
Paras tietoturvakumppani pk-yritykselle? Näin löydät sopivimman – valintamenetelmä ja kriteerit
Valintamenetelmä hallitun tietoturvapalvelun tarjoajalle ilman paremmuuslistoja – tarpeiden kartoitus, painotetut kriteerit, SLA- ja sopimuskysymykset, vertailutaulukko ja laskettu esimerkki.
"Parasta" tietoturvakumppania ei ole olemassa yleisesti, vaan sopivin kumppani on se, joka kattaa teidän tärkeimmät riskinne, reagoi silloin kun hyökkäykset tapahtuvat ja jonka sopimus on ymmärrettävä ja kohtuullinen koko sopimuskauden ajan. Löydät sen viidellä vaiheella: kartoita suojattavat kohteet ja riskit, päätä tarvittava palvelutaso, kirjoita vertailukelpoinen tarjouspyyntö, pisteytä tarjoukset omilla painotetuilla kriteereilläsi ja laske kokonaiskustannus koko sopimuskaudelle. Emme julkaise palveluntarjoajien paremmuusjärjestyksiä tai arvosteluja; tämä opas antaa menetelmän, jolla teet vertailun itse. Osion muut oppaat syventävät jokaista vaihetta.
Vaihe 1: kartoita kohteet ja riskit
Kirjaa ennen yhteydenottoa:
- Laitteet: kannettavat, työasemat, puhelimet, palvelimet, virtuaalikoneet
- Identiteetit: käyttäjätunnukset, ylläpitäjätunnukset, palvelutunnukset
- Pilvipalvelut: sähköposti ja toimisto-ohjelmistot, taloushallinto, asiakasrekisteri, pilvialustat
- Verkko: toimipisteet, palomuurit, etäyhteydet, tuotanto- tai kiinteistöautomaatioverkot
- Tärkeimmät tiedot: mitkä tiedot olisi pahinta menettää tai vuotaa
- Pahimmat skenaariot: keskeytys (kiristyshaittaohjelma), laskutuspetos (kaapattu sähköposti), tietovuoto
Kyberturvallisuuskeskuksen maksuton Kybermittari auttaa arvioimaan, missä kypsyystasossa olette. Katso viralliset lähteet.
Vaihe 2: päätä palvelutaso
Vastaa kolmeen kysymykseen:
- Tarvitaanko 24/7? Jos keskeytys yöllä tai viikonloppuna maksaisi enemmän kuin palvelun hintaero, vastaus on yleensä kyllä.
- Ilmoitus vai reagointi? Saako palvelu eristää koneen ja sulkea tunnuksen itse?
- Tarvitaanko lokit? Edellyttävätkö asiakkaat, auditoija tai sääntely lokien keruuta ja säilytystä?
Vastaukset ohjaavat palvelutyyppiin: hallittu EDR, MDR, SOC palveluna tai laaja MSSP; erot on selitetty oppaassa MSSP, MDR ja SOC: erot. Jos yrityksellä ei ole ketään, joka omistaa tietoturvan johtamisen, harkitse lisäksi ulkoistettua CISO:a. Jos haluat tietää, kestääkö suojaus oikean hyökkäyksen, tilaa penetraatiotestaus. Jos kukaan ei osaa tutkia vakavaa tapausta, tarvitset häiriötilannevalmiuden.
Vaihe 3: vertailukelpoinen tarjouspyyntö
Lähetä kaikille ehdokkaille sama palvelukuvaus: kohteiden määrät, toivottu palvelutaso, raportointitarpeet ja sopimuskausi. Pyydä hinta eriteltynä (kuukausimaksu, käyttöönotto, ylitykset, tuntihinnat) ja vastaukset sopimuskysymyksiin. Rakenne ja malli ovat oppaassa tarjouspyyntö tietoturvapalvelusta.
Vaihe 4: pisteytä omilla kriteereillä
Päätä painot ennen kuin avaat tarjoukset, jotta hinta ei ohjaa arviota huomaamatta. Esimerkkipainotus 30 hengen yritykselle:
| Kriteeri | Paino | Mitä arvioidaan |
|---|---|---|
| Kattavuus | 25 % | Valvotaanko kaikki vaiheessa 1 listatut kohteet |
| Reagointi | 25 % | Eristäminen ilman lupaa, vasteajat, tutkinta hinnassa |
| Kokonaiskustannus 3 v | 20 % | Kaikki maksut, myös korotukset ja ylitykset |
| Sopimusehdot | 15 % | Irtisanominen, vastuunrajoitus, tietojen palautus |
| Raportointi ja viestintä | 10 % | Suomenkielinen palvelu, johdon raportit, ilmoitustuki |
| Käyttöönotto | 5 % | Aikataulu, oma työmäärä |
Pisteytä jokainen kriteeri asteikolla 1–5 ja kerro painolla. Nämä ovat teidän omia arvioitanne omista tarjouksistanne, eivät yleisiä arvosanoja palveluntarjoajille.
Laskettu esimerkki: kaksi tarjousta (havainnollinen)
| Kriteeri (paino) | Tarjous A | Tarjous B |
|---|---|---|
| Kattavuus (25 %) | 4 | 5 |
| Reagointi (25 %) | 5 | 3 |
| Kokonaiskustannus (20 %) | 3 | 4 |
| Sopimusehdot (15 %) | 4 | 2 |
| Raportointi (10 %) | 4 | 4 |
| Käyttöönotto (5 %) | 3 | 5 |
- A: 4 × 0,25 + 5 × 0,25 + 3 × 0,20 + 4 × 0,15 + 4 × 0,10 + 3 × 0,05 = 1,00 + 1,25 + 0,60 + 0,60 + 0,40 + 0,15 = 4,00
- B: 5 × 0,25 + 3 × 0,25 + 4 × 0,20 + 2 × 0,15 + 4 × 0,10 + 5 × 0,05 = 1,25 + 0,75 + 0,80 + 0,30 + 0,40 + 0,25 = 3,75
Tarjous B on halvempi ja kattavampi, mutta A reagoi paremmin ja sen sopimus on reilumpi. Tässä yrityksessä painotus suosii A:ta. Toinen yritys, jolle hinta on tärkein, voisi päätyä B:hen – ja se voi olla heille sopivin valinta.
Vaihe 5: laske koko sopimuskauden kustannus
Kokonaiskustannus = kuukausimaksut × kuukaudet + käyttöönotto + arvioidut ylitykset + arvioitu tutkintatyö + uusimiskorotukset. Käytä kustannusarviota kuukausihinnan haarukkaan ja uusimiskorotuslaskuria toiseen ja kolmanteen vuoteen. Esimerkkejä eri kokoisille yrityksille on oppaassa kustannusesimerkit yrityskoon mukaan. Jos mietit vielä omaa valvontaa, vertaa vaihtoehtoja oppaassa oma valvonta vai ulkoistus.
Valinnan aikataulu pk-yrityksessä (havainnollinen)
| Viikko | Tehtävä |
|---|---|
| 1–2 | Kohteiden ja riskien kartoitus, Kybermittari tai vastaava arvio |
| 3 | Palvelutason päätös ja tarjouspyynnön kirjoittaminen |
| 4–6 | Tarjousaika, ehdokkaiden kysymykset |
| 7 | Tarjousten pisteytys ja esittelypalaverit |
| 8 | Neuvottelu ja sopimusluonnoksen tarkistus |
| 9–12 | Käyttöönotto: agentit, lokilähteet, yhteystiedot, ensimmäinen raportti |
Noin kolme kuukautta on pk-yritykselle realistinen aika, jos sopimus halutaan tehdä huolellisesti. Jos vanha sopimus päättyy, aloita aikataulu viimeistään neljä kuukautta ennen irtisanomisajan umpeutumista, jotta valvonta ei katkea.
SLA- ja sopimuskysymykset, jotka ratkaisevat usein
- Mitä vasteaika mittaa: hälytyksestä automaattiseen kuittaukseen vai ihmisen tekemään toimenpiteeseen?
- Mitä tapahtuu, jos SLA ei täyty – hyvitys, ja kuinka suuri?
- Voiko sopimuksen irtisanoa, jos palvelu ei toimi sovitusti?
- Mikä on palveluntarjoajan vastuun enimmäismäärä?
- Miten lokit, raportit ja konfiguraatiot luovutetaan sopimuksen päättyessä?
Tarkemmin oppaissa SLA ja palvelutaso ja sopimusehdot, vastuu ja irtisanominen. Tarkistuslistana toimii palveluntarjoajan arviointilista.
Usein kysyttyä
Onko kotimainen palveluntarjoaja aina parempi?
Ei automaattisesti. Kotimaisuus voi helpottaa suomenkielistä viestintää ja paikan päällä tehtävää työtä, mutta arvioi sitä samoilla kriteereillä kuin muita. Tarkista erityisesti, missä tietoja käsitellään ja kuka valvoo öisin.
Kuinka monta tarjousta kannattaa pyytää?
Kaksi tai kolme riittää yleensä pk-yritykselle. Enemmän tarjouksia lisää vertailutyötä enemmän kuin tietoa.
Voiko referenssejä pyytää?
Voi pyytää, mutta niitä ei aina voida antaa luottamuksellisuuden vuoksi. Pyydä vaihtoehtoisesti anonymisoitu esimerkkiraportti ja kuvaus tyypillisen häiriötilanteen kulusta.
Pitääkö kokeilujakso vaatia?
Kokeilujakso tai rajattu pilotti on hyödyllinen, jos se sisältää oikeat lähteet ja hälytysten käsittelyn. Pelkän agentin asennus ei kerro reagoinnin laadusta.
Lähteet ja lisätietoa
- Kyberturvallisuuskeskus – Kybermittari ja ohjeet organisaatioille
- Finlex – kyberturvallisuuslaki 124/2025, 9 § toimitusketjun turvallisuus
- Suomen Yrittäjät – yrittäjän sopimus- ja tietoturvaopastus
