Laskelmat, esimerkit ja valintamenetelmä
Ulkoistettu CISO (vCISO): mitä se tekee, mitä se maksaa ja milloin pk-yritys tarvitsee sen
Ulkoistetun tietoturvajohtajan tehtävät, päivä- ja kuukausipakettien hinnoittelu havainnollisin luvuin, vertailu omaan rekrytointiin ja kyberturvallisuuslain johdon vastuun tukeminen.
Ulkoistettu CISO eli vCISO on osa-aikainen tietoturvajohtaja, joka ostetaan palveluna päivä-, kuukausi- tai projektiperusteisesti. Hän ei valvo hälytyksiä, vaan johtaa tietoturvaa: arvioi riskit, laatii politiikat ja riskienhallinnan toimintamallin, ohjaa palveluntarjoajia, raportoi johdolle ja valmistelee auditointeja ja asiakkaiden tietoturvakyselyitä. Havainnollisesti vCISO-työ hinnoitellaan usein noin 800–2 500 euron päivähinnalla tai kuukausipakettina, esimerkiksi 1–4 päivää kuukaudessa. Pk-yritys hyötyy siitä erityisesti, jos se kuuluu kyberturvallisuuslain piiriin, asiakkaat vaativat tietoturvan näyttöä tai yrityksessä ei ole ketään, joka omistaa tietoturvan kokonaisuutena. Opas kuuluu kokonaisuuteen sopivimman tietoturvakumppanin valinta.
Mitä vCISO tekee
| Tehtävä | Esimerkki pk-yrityksessä |
|---|---|
| Riskiarvio | Kartoitus tärkeimmistä tiedoista, järjestelmistä ja uhkista |
| Politiikat ja ohjeet | Tietoturvapolitiikka, käyttäjäohje, salasana- ja etätyöohje |
| Riskienhallinnan toimintamalli | Kyberturvallisuuslain 8 §:n mukainen kirjallinen malli, jos laki koskee yritystä |
| Toimittajahallinta | MSSP-, MDR- ja pilvipalvelutoimittajien arviointi ja seuranta |
| Johdon raportointi | Neljännesvuosikatsaus hallitukselle, mittarit, päätösesitykset |
| Häiriötilannesuunnitelma | Kuka tekee mitä, kun jotain tapahtuu; harjoitukset |
| Asiakasvaatimukset | Tietoturvakyselyihin vastaaminen, sertifiointien valmistelu |
| Koulutus | Henkilöstön ja johdon tietoturvakoulutus |
vCISO ei korvaa teknistä valvontaa. Hän varmistaa, että ostettu valvonta kattaa oikeat asiat ja että yrityksessä tiedetään, mitä tehdä hälytyksen jälkeen.
Hinnoittelumallit (havainnollisia)
| Malli | Rakenne | Havainnollinen hinta (alv 0 %) | Sopii |
|---|---|---|---|
| Päivähinta | Tilataan tarpeen mukaan | 800–2 500 €/päivä | Satunnainen tarve |
| Kuukausipaketti | Esim. 1, 2 tai 4 päivää/kk, kiinteä hinta | 1 000–8 000 €/kk | Jatkuva johtamistyö |
| Projekti | Kiinteä hinta tietylle tuotokselle | 5 000–30 000 € | NIS 2 -valmistelu, sertifiointi |
| Yhdistelmä | Kuukausipaketti + tuntipankki lisätyölle | Perusmaksu + tuntihinta | Kasvavat yritykset |
Tarkista kuukausipaketeista, siirtyvätkö käyttämättömät päivät seuraavaan kuukauteen, sisältyykö sähköposti- ja puhelinkonsultointi pakettiin ja veloitetaanko kiireellinen työ korotettuna.
Laskuesimerkki: NIS 2 -valmistelu ja ylläpito (havainnollinen)
60 hengen kaukolämpöyhtiö selvittää kuuluvansa kyberturvallisuuslain piiriin (kaukolämpö on lain liitteessä I, ja valvojana toimii Energiavirasto). Se tilaa vCISO:lta:
Vuosi 1:
- Lähtötilanteen arvio ja riskiarvio: 4 päivää
- Riskienhallinnan toimintamalli ja politiikat: 6 päivää
- Johdon koulutus ja hyväksyntä: 1 päivä
- Häiriötilannesuunnitelma ja harjoitus: 3 päivää
- Ylläpito loppuvuonna 1 päivä/kk × 6 kk: 6 päivää
- Yhteensä 20 päivää × 1 300 € = 26 000 €
Vuosi 2 alkaen:
- 1 päivä/kk × 12 = 12 päivää × 1 300 € = 15 600 €/v
Kolmen vuoden kustannus on 26 000 + 15 600 + 15 600 = 57 200 € ilman korotuksia, keskimäärin noin 1 589 €/kk.
vCISO vai oma rekrytointi
| Ulkoistettu CISO | Oma tietoturvapäällikkö | |
|---|---|---|
| Kustannus | Maksat käytetyistä päivistä | Palkka ja sivukulut koko ajalta |
| Saatavuus | Sopimuksen mukaan, ei aina heti | Paikalla työaikana |
| Osaaminen | Näkemys useista organisaatioista | Syvä tuntemus omasta yrityksestä |
| Jatkuvuus | Henkilö voi vaihtua palveluntarjoajalla | Riski henkilön lähtemisestä |
| Sopii | Alle n. 150 hengen yritykset, joilla tarve on osa-aikainen | Suuremmat ja säännellymmät yritykset |
Havainnollinen vertailu: oman päällikön kokonaiskustannus palkkoineen, sivukuluineen ja koulutuksineen voi olla esimerkiksi 90 000–120 000 € vuodessa. Kaksi vCISO-päivää kuukaudessa 1 300 €:n päivähinnalla on 24 × 1 300 = 31 200 €/v. Jos tarve on kuitenkin yli kahdeksan päivää kuukaudessa, eli 96 päivää vuodessa (124 800 €), oma rekrytointi alkaa olla kilpailukykyinen. Laske oman tilanteesi raja: oma kokonaiskustannus ÷ vCISO:n päivähinta = päivien määrä vuodessa, jonka jälkeen oma henkilö on halvempi.
Johdon vastuu ei siirry
Kyberturvallisuuslain 10 §:n mukaan johto vastaa riskienhallinnan järjestämisestä, hyväksyy toimintamallin ja valvoo sen toteuttamista, ja johdolla on oltava riittävä perehtyneisyys. vCISO voi valmistella, kouluttaa ja raportoida, mutta päätökset ja vastuu ovat johdolla. Sama pätee GDPR:n rekisterinpitäjän vastuuseen. Katso kyberturvallisuuslaki ja pk-yritys.
Miten valita vCISO
- Pyydä kuvaus, miten ensimmäiset 90 päivää etenevät ja mitä tuotoksia syntyy.
- Varmista, että nimetty henkilö pysyy samana tai että vaihdosta sovitaan.
- Selvitä, onko vCISO:n työnantaja samalla valvontapalvelun myyjä. Silloin on hyvä sopia, miten eturistiriita hoidetaan, kun vCISO arvioi oman yhtiönsä palvelua.
- Kirjaa salassapito ja dokumenttien omistus: politiikat ja toimintamalli ovat yrityksen omaisuutta.
Miten vCISO:n työtä seurataan
Osa-aikainen johtamistyö jää helposti näkymättömäksi. Sovi alussa tuotokset ja mittarit, joita seurataan neljännesvuosittain:
| Mittari | Esimerkki tavoitteesta (havainnollinen) |
|---|---|
| Riskirekisteri | Ajantasainen, kymmenen suurinta riskiä omistajineen |
| Toimenpidesuunnitelma | Sovituista toimenpiteistä vähintään 80 % tehty aikataulussa |
| Monivaiheinen tunnistautuminen | Käytössä kaikissa ylläpito- ja etäyhteystunnuksissa |
| Varmuuskopioiden palautustesti | Tehty ja dokumentoitu vähintään kerran vuodessa |
| Toimittaja-arvioinnit | Kriittiset palveluntarjoajat arvioitu vuosittain |
| Johdon katsaus | Pidetty neljännesvuosittain, päätökset kirjattu |
| Häiriötilanneharjoitus | Pidetty kerran vuodessa, opit kirjattu |
Mittarit kannattaa sitoa yrityksen omaan lähtötasoon, esimerkiksi Kyberturvallisuuskeskuksen Kybermittarilla tehtyyn arvioon, jolloin edistystä voi verrata vuoden välein. Jos vCISO-päiviä kuluu, mutta mittarit eivät liiku, syy voi olla resursseissa: vCISO suunnittelee, mutta toteutus vaatii IT-työtä tai palveluja, joille ei ole budjettia. Silloin päätös kuuluu johdolle.
Lue myös: oma valvonta vai ulkoistus ja tarjouspyyntö tietoturvapalvelusta.
Usein kysyttyä
Voiko IT-päällikkö toimia myös CISO:na?
Pienessä yrityksessä usein, kunhan hänellä on aikaa ja tukea. Ristiriita syntyy, jos sama henkilö sekä ylläpitää järjestelmiä että arvioi niiden turvallisuutta; ulkopuolinen katselmointi auttaa.
Kuinka nopeasti vCISO saa riskienhallinnan toimintamallin valmiiksi?
Riippuu lähtötasosta. Jos perusdokumentaatiota ei ole, varaa useita viikkoja. Kyberturvallisuuslain siirtymäsäännöksessä toimintamallille annettiin kolme kuukautta siitä, kun lain kriteerit täyttyvät.
Saako vCISO-palveluun julkista tukea?
Tietoturvan kehittäminen voi joissain tapauksissa olla osa laajempaa tuettavaa kehittämisprojektia. Tavanomainen ylläpito ei yleensä ole. Katso viralliset lähteet.
Lähteet ja lisätietoa
- Finlex – kyberturvallisuuslaki 124/2025, 8 ja 10 §
- Kyberturvallisuuskeskus – ohjeet johdolle ja Kybermittari
- Traficom – kyberturvallisuuslain valvonta Traficomin toimialoilla
