---
title: Kyberturvallisuuden due diligence – Välttämätön askel yrityskaupassa
description: Kyber-DD paljastaa yrityskaupan kyberriskit ennen allekirjoitusta. Katso, mitä kyberturvallisuuden due diligence sisältää ja miten löydökset vaikuttavat.
image: https://netchain.fi/hubfs/Blue%20images/IMG_3448.jpg
---

[Skip to content](https://netchain.fi/netchain-ajankohtaiset/kyberdd#main-content)

[![Netchain logo](https://netchain.fi/hs-fs/hubfs/Layer_1.png?width=162&height=33&name=Layer_1.png)](https://netchain.fi)

- [Etusivu](https://netchain.fi)
- [Meistä](https://netchain.fi/meista)
- [Ajankohtaiset](https://netchain.fi/netchain-ajankohtaiset)
- [Osaamisemme](https://netchain.fi/osaamisemme)
- [Asiakastoteutuksiamme](https://netchain.fi/asiakkaamme)
- [Yhteystiedot](https://netchain.fi/yhteystiedot)

Open main navigation

Close main navigation

- [Etusivu](https://netchain.fi)
- [Meistä](https://netchain.fi/meista)
- [Ajankohtaiset](https://netchain.fi/netchain-ajankohtaiset)
- [Osaamisemme](https://netchain.fi/osaamisemme)
- [Asiakastoteutuksiamme](https://netchain.fi/asiakkaamme)
- [Yhteystiedot](https://netchain.fi/yhteystiedot)

[duediligence](https://netchain.fi/netchain-ajankohtaiset/tag/duediligence) [yrityskauppa](https://netchain.fi/netchain-ajankohtaiset/tag/yrityskauppa)

# Kyberturvallisuuden due diligence – Välttämätön askel yrityskaupassa

 Published by [Heikki Paananen](https://netchain.fi/netchain-ajankohtaiset/author/heikki-paananen) on May 27, 2024, 4:32:48 PM

![Kyberturvallisuuden due diligence yrityskaupassa – Netchain Company Oy](https://netchain.fi/hs-fs/hubfs/Blue%20images/IMG_3448.jpg?width=1024&height=450&name=IMG_3448.jpg)

 

Yrityskaupat ovat merkittäviä investointeja ostajalle ja niiden onnistuminen edellyttää huolellista valmistelua ja riskien arviointia. Kyberturvallisuuden due diligence (kyber DD) on prosessi, joka auttaa ostavaa organisaatiota tunnistamaan ja arvioimaan kyberturvallisuuteen liittyviä riskejä, jotka voivat vaikuttaa yrityskaupan ehtoihin ja arvoon sekä antaa näkymää tulevasta. Tässä blogikirjoituksessa käsittelemme, mitä kyberturvallisuuden osalta tulee ottaa huomioon yrityskauppaa valmisteltaessa.

 

#### **Tietoturvan nykytilan arviointi**

Ensimmäinen askel on kohdeyrityksen tietoturvan nykytilan arviointi. Tämä sisältää käytössä olevien tietoturvateknologioiden ja -käytäntöjen tarkastelun. On tärkeää ymmärtää, miten kohdeyritys suojaa arkaluonteisia tietojaan ja miten se on varautunut mahdollisiin tietoturvaloukkauksiin. Miten organisaation tietoturvadokumentaatio ja esimerkiksi vaatimukset organisaation jatkuvuudelle käytännössä toteutuu. Tunnistaako organisaatio “kultamunansa”, mitkä ovat tärkeimmät assetit joiden vaarantuessa yritys lakkaa olemasta tai sen olemassa olo vaarantuu merkittävästi. Arviointeja tehdessäni olen törmännyt keskusteluihin, joissa pohditaan yrityksen johtotasolla, kenen vastuulla tietoturva organisaatiossa on ylipäänsä.

 Kohteen internetiin näkyvää digitaalista järjestelmäpintaa voidaan tarkastella non-intruisive menetelmällä katsoen, miltä ne näyttävät mahdollisen hyökkääjän silmin. Non-intrusive tarkoittaa tietoturvassa sellaisia menetelmiä tai toimia, jotka eivät häiritse tai keskeytä normaalia liiketoimintaa tai järjestelmän toimintaa. Häiritsevä (esimerkiksi lisäkuorma, kyselymäärät) tai aktiivinen skannaus johonkin kohteeseen ei ole hyvien tapojen mukaista ilman lupaa ja usein myös laitonta tietoliikenteen häirintää.

Tässä yhteydessä on tärkeää, että varmistetaan paikallisten lakien ja regulaation osalta, onko non-intrusiivinen selvitys sallittua.

 

#### **Tietoturvaloukkauksien historian tarkastelu**

Kohdeyrityksen mahdolliset aikaisemmat tietoturvaloukkaukset ja niiden seuraukset tulisi selvittää. Kohde yritys ei itse edes välttämättä tiedä, että heihin on kohdistunut tietomurto tai heidän tietopääomia taikka IPR:ää on valunut organisaatiosta ulos. Tämä antaa kuvan yrityksen kyvystä hallita tietoturvariskejä ja sen valmiudesta reagoida tietoturvatapahtumiin. Näitä tilanteita jopa peitellään tai niitä ei ole edes tunnistettu, että perälauta vuotaa jatkuvasti eli organisaation IPR:t ovat valuneet kilpailijoille tai jollekin muulle taholle hyödynnettäväksi.   
OSINT(Open Source Intelligence), avointen lähteiden tiedustelu on oiva keino etsiä ostettavan organisaation julkiseen internetiin ja pimeään verkkoon vuodettuja/vuotamiaan tietoja. Myös avainhenkilöiden yritykseen liittyviä tekemisiä voidaan selvittää samassa yhteydessä.

Tässä yhteydessä nousee usein esille hyvät ja huonot tekniset toteutukset internettiin näkyvistä palveluista jopa vuosien takaa.

#### **Tietoturvakulttuuri ja -koulutus**

Tietoturvakulttuurin ja henkilöstön tietoturvakoulutuksen taso kohdeyrityksessä on myös tärkeä tekijä. Vahva tietoturvakulttuuri ja hyvin koulutettu henkilöstö ovat avainasemassa tietoturvariskien hallinnassa. Virheiden tekemisen peittely nousee viimeistään tässä vaiheessa esiin.   
Tässä yhteydessä myyjän tietoturvasta vastaava henkilö on kultaakin arvokkaampi, jolloin kysymyksiin saadaan selkeimmät vastaukset. Vähemmän tiedostavissa organisaatioissa kyberturvallisuus nähdään jopa IT-tuen tekniseksi asiaksi.

 

#### **Sääntelyyn ja vaatimuksiin vastaaminen**

On välttämätöntä varmistaa, että kohdeyritys noudattaa kaikkia kyberturvallisuuteen liittyviä sääntelyvaatimuksia ja standardeja. Tämä sisältää paikalliset, kansalliset ja kansainväliset tietosuojalait ja -määräykset. Viimeisimpinä NIS2-vaatimukset jotka ylettyvät myös alihankintaketjuun yhteiskunnan kannalta merkittävien organisaatioiden ketjussa. Onko tietosuoja-asiat vain “tietosuojaseloste nettisivuilla”, kypsyys ja konkretia siis tulee tarkastaa.

 

#### **Tietoturvariskien hallinta**

Arvioi, kuinka hyvin kohdeyritys hallitsee tietoturvariskejä ja miten se reagoi tietoturvatapahtumiin. Onko näistä havainnoista lokikirjaa/evidenssiä että havainnoitia tehdään ja havainnointikyky on olemassa?   
Tämä sisältää tietoturvastrategian, -politiikat ja -prosessit sekä kyvyn tunnistaa ja vastata uhkiin riittävän nopeasti ja tehokkaasti. Esimerkiksi vasta tehty ISO27001-sertifiointi tietoturvallisuudenhallintajärjestelmästä koko myytävän liiketoiminta-alueen osalta helpottaa usein tarkastajaa, mutta ei korvaa KyberDD:tä.

 

#### **Tietoturvan integrointi yrityskaupan jälkeen**

Yrityskaupan jälkeinen integraatioprosessi on yhtä tärkeä kuin due diligence -prosessi. On suunniteltava, miten kohdeyrityksen tietoturva integroidaan ostavan yrityksen tietoturvaan ja mitä parannuksia voidaan tehdä. Kuinka teknologiat toimivat yhteen, saadaanko ne keskustelemaan keskenään... Toisinaan päädytän siihen, että vaihdetaan kummankin tahon ratkaisut uusiin yhtenäisiin jollain aikajänteellä.   
Kuinka mahdolliset tietoturvakulttuuriasiat yhdistetään, kuinka kulttuuri yhteensovitetaan jos ne ovat kaukana toisistaan , esimerkkinä vapauden kulttuuri, jossa ei ole vastuita vs tarkka tietoturvanjohtamisen malli.

 

#### **Tulokset selvityksestä**

Aiemmista selvitettävistä asioista ja esiin nousseista asioista luodaan usein kysymys patteristo, joiden vastausten perusteella arvioidaan myytävää liiketoimintaa/organisaatiota kyberriskien osalta. Pitää muistaa, että kyberriskit ovat yksi osa-alue due diligence prosessissa. Muita usein selvitettäviä asioita ovat vero, hr, liiketoiminta ja sen riskit, oikeudelliset asiat, IT- ja digitaalisuus ja yleiset riskienhallinnan asiat. Toisinaan kyberDD on alisteinen IT tai legal DD:lle(lakiasiat) tai sitä ei huomioida/tehdä ollenkaan erinäisistä syistä.

Myyjän vastaukset sekä muut tulokset analysoidaan ja keskustellaan yrityskaupan kyber DD -osiossa. Kyberturvallisuuskonsultti raportoi löydöksistä riskeinä, jotka usein luokitellaan seuraavasti: 1) arvonmääritykseen vaikuttavat riskit, 2) lausimien(reps) ja takuiden(warrantit) avulla lievennettävät riskit, 3) kyber- tai takuu- ja vahingonkorvausvakuutuksella katetut riskit, 4) yrityskaupan jälkeen integraatiosuunnittelulla lievennettävät riskit.

 

#### Arvo KyberDD:stä

KyberDD:n arvo punnitaan paremmin tunnistettujen riskien osalta esimerkiksi rahoitusta hakiessa eli se voi mahdollistaa paremmat ehdot lainoitettavalle. Osaavat rahoittajat osaavat kysyä jo nyt muutakin kuin IT DD:n perään.   
Lisäksi case Vastaamo on toivottavasti tuonut jokaiselle investoijan tarkistuslistalle, kuinka varmistetaan että investointini ei "sulaisi" tietoturvapoikkeaman vuoksi tai sen kannattavuus ei muutu miinusmerkkiseksi pitkällä aikavälillä esimerkiksi maineen menetyksenä.  
Saat käsityksen kuinka tietoturvaratkaisut integroidaan kaupan jälkeen, miten paljon on teknologia- ja käytänteiden kehitysvelkaa. Selvitys antaa kuvan kyberturvallisuuden maturiteetista niin strategisella, taktisella kuin operatiivisella tasolla.

Lukijalle voi kuulostaa raskaalle selvitykselle, mutta tässäkin on hyvä huomioida riskilähtöisyys - valita painotukset ja tarkasteltavat osa-alueet mitkä ovat riskipitoisimpiä ja tärkeiksi tunnistettuja.

Pohditko yrityksen tai liiketoiminnan ostamista, yritykseen sijoittamista merkittävällä pääomalla tai olet myymässä liiketoimintaa - ole meihin yhteydessä niin autamme selvittämään kyber ja/tai IT DD:n avulla osana prosessianne.

 

Jatkoksi kannattaa lukea artikkeli [IT due diligence yrityskaupassa: mitä ostajan pitää selvittää](https://netchain.fi/netchain-ajankohtaiset/it-due-diligence). Siinä käymme läpi, mitä yrityskaupan IT-selvitys sisältää, mitkä löydökset vaikuttavat kauppaan sekä mitä selvitys kestää ja maksaa.

 

[Tutustu tietoturvatarkastuspalveluihin](https://netchain.fi/palvelut/tietoturvatarkastuspalvelut) tai ota yhteyttä kyber- ja IT due diligence -tarpeista. Teemme mielellämme yhteistyötä yritysjärjestelyjä tekevien toimistojen kanssa.

###### Muita artikkeleita

[![1000 hyökkäystä viikossa, paljon vai vähän?](https://netchain.fi/hs-fs/hubfs/netchain-mittaristo-johdolle-1600x1096.png?width=624&height=427&name=netchain-mittaristo-johdolle-1600x1096.png)](https://netchain.fi/netchain-ajankohtaiset/tuhathyokkaustaviikossa-mitanekertovatoikeasti)

[raportointi](https://netchain.fi/netchain-ajankohtaiset/tag/raportointi), [mittarit](https://netchain.fi/netchain-ajankohtaiset/tag/mittarit), [uhkatieto](https://netchain.fi/netchain-ajankohtaiset/tag/uhkatieto)

#### [Tuhat hyökkäystä viikossa – mitä uhkaluvut oikeasti kertovat](https://netchain.fi/netchain-ajankohtaiset/tuhathyokkaustaviikossa-mitanekertovatoikeasti)

Suomalaisiin organisaatioihin kohdistui heinäkuussa keskimäärin 1 055 kyberhyökkäystä viikossa....

[![Interim CISO -palvelu – tietoturvajohtaja organisaation tueksi](https://netchain.fi/hs-fs/hubfs/interimciso360_1.jpg?width=624&height=427&name=interimciso360_1.jpg)](https://netchain.fi/netchain-ajankohtaiset/interim-tietoturvajohtajapalvelu)

[interim](https://netchain.fi/netchain-ajankohtaiset/tag/interim), [cisco](https://netchain.fi/netchain-ajankohtaiset/tag/cisco)

#### [Interim CISO – tietoturvajohtajuus silloin kun sitä eniten tarvitaan](https://netchain.fi/netchain-ajankohtaiset/interim-tietoturvajohtajapalvelu)

Tietoturva on noussut hallitustason kysymykseksi. NIS2, ISO 27001, DORA ja muut regulaatiot...

[![Netchain yhteistyössä Cyber Audit Companyn kanssa – Part-IS-akkreditointi](https://netchain.fi/hs-fs/hubfs/AI-Generated%20Media/Images/The%20image%20depicts%20a%20modern%20office%20setting%20where%20a%20group%20of%20professionals%20is%20engaged%20in%20a%20meeting%20In%20the%20foreground%20a%20diverse%20team%20consisting%20of%20men%20an.png?width=624&height=427&name=The%20image%20depicts%20a%20modern%20office%20setting%20where%20a%20group%20of%20professionals%20is%20engaged%20in%20a%20meeting%20In%20the%20foreground%20a%20diverse%20team%20consisting%20of%20men%20an.png)](https://netchain.fi/netchain-ajankohtaiset/part-is-yhteistyo)

[akreditointi](https://netchain.fi/netchain-ajankohtaiset/tag/akreditointi), [part-is](https://netchain.fi/netchain-ajankohtaiset/tag/part-is), [yhteistyö](https://netchain.fi/netchain-ajankohtaiset/tag/yhteistyö), [aviation](https://netchain.fi/netchain-ajankohtaiset/tag/aviation)

#### [Netchain yhteistyössä - Cyber Audit Companylle Part-IS -akkreditointi](https://netchain.fi/netchain-ajankohtaiset/part-is-yhteistyo)

[![Netchain logo](https://netchain.fi/hs-fs/hubfs/Layer_1.png?width=196&height=40&name=Layer_1.png "Netchain logo")](https://netchain.fi)

IT- ja kyberturvakonsultointia tämän päivän näkemyksillä

[Netchain LinkedInissä](https://www.linkedin.com/company/netchaincompany)

 

 

#### Palvelumme

- [Konsultointipalvelumme, Mitä osaamme](https://netchain.fi/osaamisemme)
- [Interim tietoturvajohtaja](https://netchain.fi/interim-ciso)
- [Interim IT-johtaja](https://netchain.fi/interim-cio)
- [IT-hankkeet ja kilpailutukset](https://netchain.fi/it-hankkeet-kilpailutukset)
- [Nykytila-analyysit](https://netchain.fi/it-kyberturva-nykytila)
- [1Password-salasanahallintapalvelu](https://netchain.fi/1password)
- [CyberCoach-koulutuspalvelu](https://netchain.fi/palvelut/cybercoach-koulutuspalvelu)
- [Tarkista domainisi turvallisuus DomainBuddyllämme](https://domainbuddy.netchain.fi/)
- [Tietoturvatarkastukset](https://netchain.fi/palvelut/tietoturvatarkastuspalvelut)

#### Netchain

- [Meistä](https://netchain.fi/meista)
- [Yhteystiedot](https://netchain.fi/yhteystiedot)
- [Asiakastoteutuksiamme](https://netchain.fi/asiakkaamme)
- [Rekrytointi](https://netchain.fi/rekrytointi)
- [Tietosuojaseloste](https://netchain.fi/netchain-tietosuojaseloste)
- [Varaa tapaaminen kanssamme](https://netchain.fi/meetings/heikki-paananen)

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Heikki Paananen",
    "url" : "https://netchain.fi/netchain-ajankohtaiset/author/heikki-paananen"
  },
  "dateModified" : "2026-09-24T14:03:57.188Z",
  "datePublished" : "2024-05-27T13:32:48.000Z",
  "headline" : "Kyberturvallisuuden due diligence – Välttämätön askel yrityskaupassa",
  "image" : [ "https://netchain.fi/hubfs/Blue%20images/IMG_3448.jpg" ],
  "mainEntityOfPage" : {
    "@id" : "https://netchain.fi/netchain-ajankohtaiset/kyberdd",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://netchain.fi/hubfs/Logot/netchain-logo-sininen-rgb.jpg"
    },
    "name" : "Netchain Company Oy"
  }
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://netchain.fi/#organization",
  "@type" : "Organization",
  "address" : {
    "@type" : "PostalAddress",
    "addressCountry" : "FI",
    "addressLocality" : "Lohja",
    "postalCode" : "08700",
    "streetAddress" : "Heiniläntie 7"
  },
  "alternateName" : "Netchain",
  "contactPoint" : {
    "@type" : "ContactPoint",
    "availableLanguage" : [ "Finnish", "English" ],
    "contactType" : "customer service",
    "email" : "heikki@netchain.fi",
    "telephone" : "+358-50-388-1450"
  },
  "description" : "Netchain Company Oy on puolueeton kumppani IT- ja kyberturvallisuuden johtamiseen. Interim CISO, Interim CIO, kilpailutukset ja koulutus.",
  "founder" : {
    "@type" : "Person",
    "jobTitle" : "Toimitusjohtaja",
    "name" : "Heikki Paananen",
    "url" : "https://www.linkedin.com/in/heikpaa/"
  },
  "foundingDate" : "2023-08",
  "legalName" : "Netchain Company Oy",
  "logo" : {
    "@type" : "ImageObject",
    "height" : 33,
    "url" : "https://netchain.fi/hs-fs/hubfs/Layer_1.png",
    "width" : 162
  },
  "name" : "Netchain Company Oy",
  "sameAs" : [ "https://www.linkedin.com/in/heikpaa/" ],
  "taxID" : "3379346-5",
  "url" : "https://netchain.fi"
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://netchain.fi/#service",
  "@type" : "ProfessionalService",
  "areaServed" : [ {
    "@type" : "Country",
    "name" : "Finland"
  } ],
  "hasOfferCatalog" : {
    "@type" : "OfferCatalog",
    "itemListElement" : [ {
      "@type" : "Offer",
      "itemOffered" : {
        "@type" : "Service",
        "description" : "Kokenut tietoturvajohtaja organisaatiosi tueksi muutostilanteisiin, kasvuvaiheisiin ja regulaatiopaineeseen.",
        "name" : "Interim CISO -palvelu",
        "url" : "https://netchain.fi/interim-ciso"
      }
    }, {
      "@type" : "Offer",
      "itemOffered" : {
        "@type" : "Service",
        "description" : "IT-johtajuus väliaikaiseen tarpeeseen - strategia, hankinnat ja digitalisaatio.",
        "name" : "Interim CIO -palvelu",
        "url" : "https://netchain.fi/interim-cio"
      }
    }, {
      "@type" : "Offer",
      "itemOffered" : {
        "@type" : "Service",
        "description" : "NIS2, ISO 27001, NIST CSF ja PART-IS -vaatimustenmukaisuuden arviointi.",
        "name" : "Kyberturvallisuusauditointi",
        "url" : "https://netchain.fi/osaamisemme"
      }
    }, {
      "@type" : "Offer",
      "itemOffered" : {
        "@type" : "Service",
        "description" : "Jatkuva kyberturvallisuuskoulutus Teams- ja Slack-ymparistossa koko organisaatiolle.",
        "name" : "CyberCoach-koulutuspalvelu",
        "url" : "https://netchain.fi/palvelut/cybercoach-koulutuspalvelu"
      }
    }, {
      "@type" : "Offer",
      "itemOffered" : {
        "@type" : "Service",
        "description" : "1Password Business -lisenssit ja kayttoonotto organisaatioille valtuutettuna MSP-kumppanina.",
        "name" : "1Password-salasanahallinta",
        "url" : "https://netchain.fi/1password"
      }
    } ],
    "name" : "Netchain-palvelut"
  },
  "knowsAbout" : [ "NIS2-direktiivi", "ISO 27001", "DORA", "GDPR", "CRA", "PART-IS", "NIST CSF", "OT-turvallisuus", "Muutosjohtaminen", "IT-strategia" ],
  "name" : "Netchain Company Oy",
  "parentOrganization" : {
    "@id" : "https://netchain.fi/#organization"
  },
  "priceRange" : "€€€",
  "url" : "https://netchain.fi"
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://netchain.fi/#website",
  "@type" : "WebSite",
  "description" : "IT- ja kyberturvallisuuskonsultointi",
  "inLanguage" : "fi",
  "name" : "Netchain Company Oy",
  "publisher" : {
    "@id" : "https://netchain.fi/#organization"
  },
  "url" : "https://netchain.fi"
}
```