Tietoturvapalvelun hankinnan sudenkuopat: kahdeksan tapaa, joilla pk-yritys maksaa väärästä palvelusta

Pk-yrityksen tietoturvapalvelun hankinta epäonnistuu tavallisesti siksi, että odotus ja sopimus eivät kohtaa: yritys luulee ostaneensa reagoinnin, mutta palvelu vain ilmoittaa; valvonta kattaa päätelaitteet mutta ei pilvisähköpostia, josta hyökkäys alkaa; vuosisopimus jatkuu automaattisesti korotetulla hinnalla; tai häiriön sattuessa kukaan ei tiedä, kuka tekee viranomaisilmoituksen. Alla on kahdeksan toistuvaa mallia ja keino välttää jokainen. Esimerkit ovat yleistettyjä, eivät yksittäisten yritysten tapauksia. Tämä on osion pääopas, ja se linkittää kaikkiin osion oppaisiin.

1. Ostettiin ilmoitus, luultiin ostetun reagointi

Miten näkyy: palvelu havaitsee yöllä epäilyttävän kirjautumisen ja lähettää sähköpostin. Viesti luetaan aamulla klo 8, kun hyökkääjä on jo ehtinyt lähettää laskutuspetoksia asiakkaille.

Vältä: kirjaa sopimukseen, mitä palvelu saa tehdä itse (eristää, sulkea tunnuksen, estää) ja missä ajassa. Erottele vasteaika ilmoitukselle ja toimenpiteelle. Katso SLA ja palvelutaso.

2. Valvonnan katvealueet

Miten näkyy: EDR on kaikissa kannettavissa, mutta hyökkäys tapahtuu pilvisähköpostissa, etäyhteyspalvelimella tai tuotantoverkon koneessa, johon agenttia ei voi asentaa.

Vältä: listaa tarjouspyynnössä kaikki kohteet ja pyydä palveluntarjoajaa kertomaan, mitkä niistä valvotaan ja mitkä eivät. Pyydä kattavuusraportti kuukausittain: montako laitetta on oikeasti suojattu.

3. "24/7" tarkoittaa automatiikkaa

Miten näkyy: markkinointi lupaa ympärivuorokautisen valvonnan, mutta öisin hälytykset vain kerätään, ja ihminen katsoo ne aamulla.

Vältä: kysy suoraan, onko analyytikko töissä klo 3 yöllä ja mitä hän tekee. Erot palvelutyyppien välillä: MSSP, MDR ja SOC: erot.

4. Automaattinen jatko ja korotus

Miten näkyy: kolmen vuoden sopimus jatkuu automaattisesti vuodeksi kerrallaan, irtisanomisaika on kuusi kuukautta, ja hinnasto nousee jatkokaudella. Kun yritys huomaa korotuksen, irtisanomisaika on jo umpeutunut.

Vältä: merkitse irtisanomisen viimeinen päivä kalenteriin heti allekirjoituksen jälkeen ja neuvottele korotuskatto. Laske vaikutus: hinnankorotus uusimisessa.

5. Ylitykset ja hintaportaat

Miten näkyy: lokipohjaisen palvelun lasku nousee, kun uusi pilvipalvelu tuottaa lisää lokia, tai uusi työntekijä siirtää yrityksen seuraavaan pakettiin.

Vältä: pyydä ylitysten hinnoittelu kirjallisena ja ennuste lokimäärästä. Kirjaa, että palveluntarjoaja ilmoittaa etukäteen, kun raja lähestyy. Lue hinnoittelumallit.

6. Vastuunjako ilmoituksissa on sopimatta

Miten näkyy: perjantai-iltana havaitaan kiristyshaittaohjelma. Palveluntarjoaja eristää koneet, mutta kukaan ei tiedä, kuka arvioi, onko poikkeama merkittävä, ja kuka tekee ensi-ilmoituksen 24 tunnissa tai ilmoituksen tietosuojavaltuutetulle.

Vältä: kirjaa työnjako ja yhteyshenkilöt varahenkilöineen. Katso poikkeamailmoitukset 24 ja 72 tunnissa. Ilmoitusvelvollinen on aina yritys itse.

7. Vastuunrajoitus ja poistuminen jäävät lukematta

Miten näkyy: palvelussa tapahtuu laiminlyönti, mutta sopimuksen vastuunrajoitus on esimerkiksi kolmen kuukauden palvelumaksujen suuruinen. Tai sopimuksen päättyessä lokit poistetaan heti, eikä niitä saada uudelle palveluntarjoajalle.

Vältä: lue vastuu- ja päättymisehdot ennen allekirjoitusta: sopimusehdot, vastuu ja irtisanominen.

8. Testaus ilman lupaa tai väärällä rajauksella

Miten näkyy: testaaja testaa pilvipalvelun, jonka omistaa kolmas osapuoli, ilman sen lupaa, tai testaus kaataa tuotantojärjestelmän, koska aikataulua ei sovittu.

Vältä: tee kirjallinen lupa, jossa kohteet, ajat ja menetelmät on rajattu. Lue penetraatiotestauksen lupa ja rikoslaki.

Yhteenveto: tarkistustaulukko

Kaikki kohdat löytyvät myös palveluntarjoajan arviointilistasta.

Varoitusmerkit jo tarjousvaiheessa

Monet sudenkuopat näkyvät ennen allekirjoitusta, jos tietää mitä katsoa:

• Hinta ilman palvelukuvausta. Tarjous kertoo kuukausihinnan mutta ei sitä, mitä valvotaan ja mitä tehdään. Pyydä palvelukuvaus liitteeksi.
• "Rajaton" tai "kaikki sisältyy". Pyydä luettelo poissuljetuista asioista; jokaisella palvelulla on rajansa.
• Kiire allekirjoittaa. Kampanjahinta, joka on voimassa vain viikon, ei jätä aikaa lukea ehtoja. Kampanja-alennus myös päättyy uusittaessa.
• Sopimusluonnosta ei saa ennen päätöstä. Ehdot kuuluvat vertailuun yhtä lailla kuin hinta.
• Kukaan ei kysy ympäristöstä. Jos palveluntarjoaja tarjoaa kiinteän hinnan kysymättä laitteista, pilvipalveluista tai toimipisteistä, palvelu on todennäköisesti vakiopaketti, jonka sopivuus on tarkistettava.
• Vastuunjako ilmoituksissa jää epämääräiseksi. "Autamme tarvittaessa" ei kerro, kuka tekee mitä 24 tunnissa.
• Suositukset ilman tukea. Kuukausiraportti on hyödyllinen vain, jos joku auttaa toteuttamaan suositukset tai ne ovat yrityksen omalla IT:llä toteutettavissa.

Mikään näistä ei yksinään tarkoita huonoa palvelua, mutta jokainen on syy kysyä lisää. Kirjaa vastaukset ja käytä niitä valintamenetelmän pisteytyksessä ja tarjouspyynnön tarkentamisessa.

Kaksi muuta riskiä: vakuutus ja tietolähteet

Jos yritykselläsi on tai on tulossa kybervakuutus, sen ehdot voivat edellyttää tiettyjä suojauksia tai vakuutusyhtiön hyväksymää tutkijaa. Ristiriita palvelusopimuksen kanssa kannattaa selvittää etukäteen: kybervakuutus ja palveluvaatimukset. Tarkista sääntely ja ohjeet aina virallisista lähteistä: viralliset lähteet kyberturvallisuuspalvelun hankintaan.

Usein kysyttyä

Mikä kohta kannattaa tarkistaa ensimmäisenä?

Ensimmäinen: varmista, ettei oleteta, että palvelu toimii, kun se todellisuudessa vain ilmoittaa. Kysy aina, mitä tapahtuu yöllä.

Kannattaako sopimus käydä läpi juristin kanssa?

Jos sopimus on monivuotinen, sisältää merkittävän vastuunrajoituksen tai yritys kuuluu kyberturvallisuuslain piiriin, juristin katselmointi on yleensä halvempaa kuin virheen korjaaminen myöhemmin.

Miten huomaan, että palvelu ei toimi?

Pyydä kuukausiraportista kattavuus, hälytysten määrä ja käsittelyajat. Tee kerran vuodessa harjoitus, jossa testataan, havaitseeko palvelu sovitun testitapahtuman.

Voiko huonon sopimuksen korjata kesken kauden?

Joskus. Palveluntarjoajat voivat suostua muutoksiin, jos niistä on hyötyä molemmille, esimerkiksi pidempää kautta vastaan. Kirjaa jokainen muutos sopimuksen liitteeksi; sähköpostilupaukset unohtuvat, kun yhteyshenkilöt vaihtuvat.

Lähteet ja lisätietoa

• Kyberturvallisuuskeskus – ohjeet ja varoitukset
• Tietosuojavaltuutetun toimisto – käsittelijän ja rekisterinpitäjän velvollisuudet
• Finlex – kyberturvallisuuslaki 124/2025 ja rikoslaki