Sudenkuopat, sopimusriskit ja viralliset lähteet
Tietoturvapalvelun SLA: vasteajat, vakavuusluokat, hyvitykset ja mitä 24/7 oikeasti tarkoittaa
Mitä tietoturvapalvelun palvelutasosopimukseen (SLA) kirjataan – vakavuusluokat, vasteajan mittaustapa, saatavuus, raportointi, hyvitykset ja irtisanomisoikeus – ja miten SLA:ita verrataan.
Tietoturvapalvelun palvelutasosopimus (SLA) määrittää, kuinka nopeasti palveluntarjoaja reagoi missäkin tilanteessa, mitä reagointi tarkoittaa ja mitä tapahtuu, jos lupaus ei täyty. Ratkaisevaa ei ole luku itse ("15 minuuttia"), vaan se, mitä luku mittaa: automaattista kuittausta, ihmisen aloittamaa tutkintaa vai koneen eristämistä. Hyvä SLA erittelee vakavuusluokat, kertoo mittaustavan, raportoi toteuman kuukausittain ja antaa hyvityksen tai irtisanomisoikeuden, jos taso jää toistuvasti saavuttamatta. Opas kuuluu kokonaisuuteen tietoturvapalvelun hankinnan sudenkuopat.
SLA:n osat
| Osa | Mitä kirjataan | Tyypillinen sudenkuoppa |
|---|---|---|
| Vakavuusluokat | Kriittinen, korkea, keskitaso, matala ja niiden määritelmät | Palveluntarjoaja luokittelee itse ilman kriteerejä |
| Vasteaika | Aika hälytyksestä toimenpiteeseen luokittain | Mittaa vain kuittausta |
| Ilmoitusaika | Milloin ja miten asiakkaalle ilmoitetaan | Sähköposti yöllä ilman puhelua |
| Toimenpiteet | Mitä palvelu tekee itse (eristys, tunnusten sulku) | Vaatii asiakkaan luvan, jota ei saada yöllä |
| Saatavuus | Palveluajat, juhlapyhät, huoltokatkot | "24/7" koskee vain hälytysten keruuta |
| Raportointi | SLA-toteuma kuukausittain | Ei raportoida, joten ei voi valvoa |
| Hyvitykset | Prosentti kuukausimaksusta, kun taso ei täyty | Hyvitys pieni ja ainoa seuraamus |
| Irtisanomisoikeus | Toistuva SLA-rikkomus oikeuttaa päättämään | Puuttuu kokonaan |
Vakavuusluokat ja vasteajat (havainnollinen malli)
| Luokka | Esimerkki | Ilmoitus asiakkaalle | Toimenpide |
|---|---|---|---|
| Kriittinen | Kiristyshaittaohjelman salaustoiminta, ylläpitotunnuksen kaappaus | Puhelu 15–30 min | Eristys tai tunnuksen sulku heti |
| Korkea | Onnistunut kalastelu, epäilyttävä kirjautuminen ulkomailta | 1 h | Tunnuksen nollaus, tutkinta |
| Keskitaso | Haittaohjelma estetty, mutta sama yritys toistuu | 4 h tai seuraava arkipäivä | Selvitys ja suositus |
| Matala | Asetuspoikkeama, vanhentunut agentti | Kuukausiraportti | Korjaus suunnitellusti |
Ajat ovat esimerkkejä, joilla voi lähteä neuvottelemaan; ne eivät ole alan standardeja. Varmista, että määritelmät sopivat teidän riskeihinne: esimerkiksi laskutuspetoksiin altis yritys voi haluta kaapatun sähköpostitilin kriittiseksi.
Mitä vasteaika mittaa
Pyydä kirjallinen määritelmä. Kolme yleistä tapaa:
- Kuittausaika: järjestelmä tai ihminen merkitsee hälytyksen vastaanotetuksi. Lyhyt luku, vähän merkitystä.
- Tutkinnan aloitusaika: analyytikko alkaa selvittää hälytystä.
- Toimenpideaika: eristys tai muu toimenpide on tehty, tai asiakas on saanut puhelun.
Kolmas on yritykselle tärkein, mutta sitä luvataan harvemmin. Jos sopimus mittaa vain kuittausta, lisää toimenpiteelle tavoiteaika, vaikka ilman hyvitystä.
Toinen hyödyllinen mittari on kattavuus: kuinka suuri osa laitteista ja tunnuksista on palvelun piirissä. 95 %:n kattavuus 40 laitteessa tarkoittaa kahta valvomatonta konetta – ja hyökkääjälle yksi riittää.
Hyvitykset: mitä ne ovat ja mitä eivät
SLA-hyvitys on tavallisesti prosentti kuukausimaksusta. Havainnollinen esimerkki: kuukausimaksu 1 100 €, ja sopimuksen mukaan jokainen kriittisen luokan vasteaikarikkomus hyvittää 5 % enintään 25 %:iin asti. Kaksi rikkomusta kuukaudessa: 1 100 × 0,10 = 110 €. Samaan aikaan viivästynyt reagointi on voinut maksaa yritykselle tuhansia euroja.
Hyvitys ei siis korvaa vahinkoa, eikä sen ole tarkoituskaan. Sen arvo on siinä, että palvelutaso mitataan ja raportoidaan. Tärkeämpää on oikeus irtisanoa sopimus, jos taso jää toistuvasti saavuttamatta, esimerkiksi kolmena kuukautena kuuden kuukauden aikana. Vahingonkorvauksesta ja vastuunrajoituksesta lisää oppaassa sopimusehdot, vastuu ja irtisanominen.
Asiakkaan velvollisuudet SLA:ssa
SLA sitoo myös asiakasta. Tyypillisesti asiakkaan pitää:
- nimetä yhteyshenkilöt ja varahenkilöt, jotka vastaavat puhelimeen myös öisin, jos niin on sovittu
- ilmoittaa uusista laitteista ja järjestelmistä
- pitää agentit asennettuina ja käyttöjärjestelmät tuettuina
- hyväksyä tai hylätä toimenpide-ehdotukset sovitussa ajassa
Jos asiakkaan yhteyshenkilö ei vastaa, palveluntarjoaja ei yleensä ole vastuussa viiveestä. Siksi ennakkovaltuutus tiettyihin toimenpiteisiin on usein parempi kuin puhelinlupa.
SLA ja sääntely
Kyberturvallisuuslain piiriin kuuluvan on huolehdittava poikkeamien havainnoinnista ja käsittelystä sekä toimitusketjun turvallisuudesta (124/2025, 9 §), ja tehtävä ensi-ilmoitus 24 tunnissa. SLA:n ilmoitusajat on mitoitettava niin, että yritys ehtii arvioida merkittävyyden ja ilmoittaa ajoissa. Samoin henkilötietojen käsittelysopimuksessa sovitaan, kuinka nopeasti käsittelijä ilmoittaa tietoturvaloukkauksesta rekisterinpitäjälle (GDPR 33 art. 2 kohta: ilman aiheetonta viivytystä). Katso poikkeamailmoitukset 24 ja 72 tunnissa.
SLA:iden vertailu kahden tarjouksen välillä
Tee taulukko, jossa rivit ovat vakavuusluokat ja sarakkeet tarjoukset; kirjaa jokaiseen soluun mittaustapa + aika + toimenpide. Kun luvut on muutettu samaan muotoon, ero näkyy. Tarkista samalla arviointilistan reagointikohdat ja valintamenetelmän painotukset.
Kuukausiraportin SLA-mittarit
SLA on arvokas vain, jos sen toteumaa seurataan. Pyydä, että kuukausiraportti sisältää vähintään:
| Mittari | Mitä se kertoo | Mitä seurata |
|---|---|---|
| Kattavuus (% laitteista ja tunnuksista) | Montako kohdetta on oikeasti valvonnassa | Puuttuvat laitteet nimettyinä |
| Hälytykset luokittain | Työn määrä ja luonne | Äkilliset muutokset |
| Vasteajan toteuma luokittain | Pysyykö lupaus | Rikkomukset ja niiden syyt |
| Toimenpiteet (eristykset, tunnusten sulut) | Toimiiko reagointi | Aiheettomat toimenpiteet |
| Avoimet suositukset | Mitä asiakkaan pitää tehdä | Kauan avoinna olleet |
| Agenttien ja lisenssien tila | Vanhentuneet tai pois päältä olevat | Korjausaikataulu |
Havainnollinen esimerkki: raportti kertoo, että kattavuus on 92 % 50 laitteesta eli neljä konetta on ilman toimivaa agenttia, ja kahdesta kriittisestä hälytyksestä toisen vasteaika ylitti sovitun 30 minuuttia. Kumpikin on asia kuukausipalaveriin: puuttuvat koneet ovat asiakkaan korjattavia, vasteajan ylitys palveluntarjoajan selitettävä.
Pidä palaveri vähintään neljännesvuosittain. Kun mittarit käydään läpi säännöllisesti, ongelmat havaitaan ennen kuin ne näkyvät oikeassa häiriötilanteessa.
Lue myös: hinnankorotus uusimisessa.
Usein kysyttyä
Onko 15 minuutin vasteaika hyvä?
Riippuu siitä, mitä se mittaa. 15 minuutin kuittaus on vähemmän arvokas kuin tunnin sisällä tehty eristys.
Saako SLA:ta muuttaa kesken kauden?
Vain sopimuksen mukaisesti. Tarkista, voiko palveluntarjoaja muuttaa palvelukuvausta yksipuolisesti ja miten siitä ilmoitetaan.
Kuuluuko huoltokatko SLA:n piiriin?
Yleensä suunnitellut huoltokatkot rajataan pois. Kirjaa, kuinka paljon etukäteen niistä ilmoitetaan ja miten valvonta hoidetaan katkon aikana.
Lähteet ja lisätietoa
- Kyberturvallisuuskeskus – poikkeamien käsittely ja ilmoittaminen
- Finlex – kyberturvallisuuslaki 124/2025
- Tietosuojavaltuutetun toimisto – käsittelijän ilmoitusvelvollisuus
