Suomalaisiin organisaatioihin kohdistui heinäkuussa keskimäärin 1 055 kyberhyökkäystä viikossa. Kesäkuussa luku oli 1 146. Uhkakuva ei parantunut kuukaudessa kahdeksaa prosenttia – mittari muuttui. Tämä ero on koko kirjoitukseni ydin.
Kun lähden tutustumaan asiakkaan kyberturvallisuuden mittaamiseen, johtoryhmässä on lähes aina esillä jokin uhkaluku. Tuhat hyökkäystä viikossa. Kasvua kolmekymmentä prosenttia. Luvut ovat helppoja esittää ja ne herättävät huomiota. Ongelma on se, että niistä ei seuraa 99% tilanteista yhtäkään päätöstä.
Haluan avata, mistä nämä luvut syntyvät, milloin niitä kannattaa lukea ja mitä mittaan niiden sijaan silloin kun vastaan tietoturvasta.
En nimeä tässä yksittäistä toimittajaa, koska kysymys ei ole yhden yrityksen raportista. Kyse on koko mittaustavasta, joka on kaikilla telemetriaan perustuvilla katsauksilla sama. Otan esimerkiksi kaksi perättäistä kuukautta yhdestä laajasti uutisoidusta kuukausikatsauksesta.
Lähde: kansainvälisen tietoturvatoimittajan kuukausittainen uhkatilannekatsaus, kesäkuu ja heinäkuu 2026, sellaisina kuin luvut on Suomessa uutisoitu.
Absoluuttinen määrä laski. Vuosikasvu putosi 35 prosentista yhdeksään. Tekoälykehotteiden riskiosuus muuttui yli kolmanneksen. Kaikki tämä yhden kuukauden aikana.
Hyökkääjien käyttäytyminen ei muutu kuukaudessa näin paljon. Mittausjärjestelmä muuttuu: sensorikanta, tuotevalikoima, uudet tunnistesäännöt, asiakaskunnan koostumus ja se jakaja, jolla keskiarvo lasketaan. Luku kertoo mittalaitteesta enemmän kuin uhkasta.
Tämä on tärkeä erotus. Katsaukset itse ovat yleensä huolellisesti tehtyjä ja ne kertovat rajoitteensa. Luku muuttuu harhaanjohtavaksi matkalla otsikkoon.
Kaksi suomalaista teknologiajulkaisua uutisoi saman heinäkuun katsauksen päivän välein. Molemmat nostivat otsikkoon Suomen tuhatluvun. Kumpikaan ei nostanut otsikkoon sitä, mitä sama raportti kertoo Pohjoismaiden vertailusta:
Suomen luku on Pohjoismaiden alin ja kasvu pienin. Samasta aineistosta olisi voinut kirjoittaa otsikon "Suomi selvisi naapureita vähemmällä". Sitä otsikkoa ei kirjoitettu. Otsikko liikkuu järjestelmällisesti dramaattisempaan suuntaan, ei koskaan takaisin.
Sama näkyi kiristyshaittaohjelmaluvussa. Raportissa kasvu vuodentakaiseen oli 87 prosenttia. Otsikossa siitä tuli kaksinkertaistuminen. Ero ei ole suuri, mutta pyöristys tapahtui vain yhteen suuntaan.
Norjan miinusmerkki kannattaa pysähtyä lukemaan erikseen. Jos mittari kuvaisi vastustajan aktiivisuutta, olisi selitettävä, miksi kyberrikolliset vähensivät toimintaansa Norjassa kahdeksan prosenttia samalla kun ne lisäsivät sitä Ruotsissa 36 prosenttia. Uskottavampi selitys on muutos sensorikannassa tai asiakaskoostumuksessa. Kun mittari tuottaa maakohtaisia eroja, joita kukaan ei osaa selittää uhkatilanteella, se ei ole uhkatilanteen mittari.
Toimialaerot kertovat saman jakajaongelmasta. Katsauksessa eniten hyökkäyksiä kohdistui koulutus- ja tutkimusalaan, 4 848 viikossa organisaatiota kohden. Energia- ja infrasektorilla luku oli 2 759 ja majoitus-, matkailu- ja vapaa-ajan sektorilla 2 614. Korkeimman toimialan ja Suomen keskiarvon välillä on yli nelinkertainen ero. Yksi "organisaatio" tarkoittaa siis hyvin eri asiaa sen mukaan, mitä otokseen sattuu kuulumaan.
Toimittajien uhkaluvut perustuvat käytännössä aina estotapahtumien laskuriin. Kun tunkeutumisen esto tunnistaa hyväksikäyttöyrityksen, kun sähköpostisuodatin pysäyttää kalasteluviestin tai kun päätelaitesuojaus torjuu haittaohjelman, syntyy tapahtuma. Tapahtumat summataan, jaetaan organisaatioiden määrällä ja normalisoidaan viikkotasolle.
Tästä syntymekanismista seuraa kolme rajoitetta, jotka on hyvä tunnistaa:
Määritelmällisesti kyllä. Luvaton yritys päästä järjestelmään tai vaikuttaa sen toimintaan on hyökkäysyritys tai sen valmistelu, olipa se automaattinen tai kohdennettu. Kukaan ei väitä väärin, kun kutsuu sitä hyökkäykseksi.
Päätöksenteon mittarina ei. Neljä syytä:
Kalliimpi seuraus kuin epätarkkuus. Kun johdolle kerrotaan kolme vuotta putkeen, että hyökkäyksiä on tuhat viikossa eikä mitään ole tapahtunut, syntyy väärä oppiminen. Joko "meillä on tämä hallussa" tai vielä hankalampi "tähän ei voi vaikuttaa".
Ollaan reiluja toimittajienkin suuntaan, heidän telemetria on ainutlaatuista aineistoa ja osa siitä on erittäin käyttökelpoista.
Harvalukuiset ja seurauksellisemmat ilmiöt kestävät tarkastelun paremmin. Samassa heinäkuun katsauksessa kiristyshaittaohjelmista raportoitiin 964 hyökkäystä, mikä oli 87 prosenttia enemmän kuin vuotta aiemmin ja 49 prosenttia enemmän kuin kesäkuussa. Nämä ovat erillisiä, tunnistettavia ja liiketoiminnan kannalta merkityksellisiä tapahtumia, joten signaali-kohinasuhde on aivan toinen kuin skannausvolyymissa. Varauksena kannattaa muistaa, että vuotosivustoihin perustuvat laskennat vääristyvät uudelleenlistauksista ja perusteettomista väitteistä.
Osuudet kestävät paremmin kuin absoluuttiset määrät. Kun katsauksessa kerrotaan, että joka 128. sähköposti eli 0,78 prosenttia luokiteltiin tietojenkalasteluksi ja että viidennes viesteistä oli riskialttiita tai muuten ei-toivottuja, kyse on suhdeluvusta. Suhdeluku ei kasva pelkästään siitä, että sensoreita tulee lisää, koska sekä osoittaja että nimittäjä liikkuvat samaan suuntaan. Tällaista lukua voi verrata omaan ympäristöön mielekkäästi.
Hyväksikäytön nopeus on hyödyllinen luku. Kun tiedämme, että haavoittuvuuden julkaisusta hyväksikäyttöön kuluu tunteja eikä viikkoja, se muuttaa suoraan päivityspolitiikan vaatimustasoa. Tämä on esimerkki mittarista, joka johtaa päätökseen.
Kotimainen, poikkeamiin perustuva tilannekuva on eri lähde kuin volyymitilasto. Liikenne- ja viestintäviraston Kyberturvallisuuskeskuksen Kybersää kuvaa ilmoitettuja poikkeamia ja niiden käsittelyä. Kun siellä kerrotaan, että useissa Microsoft 365 -tilimurroissa uhri oli itse hyväksynyt hyökkääjän laitteen omilla tunnuksillaan, saan tiedon mekanismista. Mekanismista seuraa kontrolli: kalastelunkestävä monitekijätunnistus(MFA), ehdolliset pääsykäytännöt (conditional access) ja laitehyväksynnän rajaaminen. Yksikään viikkovolyymi ei anna tätä.
Uhkaluku on sää. Sitä ei voi hallita eikä siihen voi useinkaan vaikuttaa. Sen sijaan voi vaikuttaa siihen, kestääkö oma rakennus sään. Nämä kuusi mittaria raportoin johdolle ja jokainen niistä vastaa kysymykseen "mitä teemme maanantaina".
Neljäs mittari on niistä aliarvostetuin. Ilmoituskynnys on ainoa tietoturvamittari, joka paranee sillä, että lopetetaan syyllistäminen. Rangaistuskulttuuri pidentää havaitsemisaikaa ja havaitsemisaika on se muuttuja, joka ratkaisee kiristyshaittaohjelmatapauksen laajuuden. Käytämme tähän kotimaista CyberCoach-koulutusalustaa, koska jatkuva harjoittelu muuttaa käyttäytymistä, kertaluontoinen verkkokurssi ei. Saati onko verkkokurssilla relevanttia tietoa eri rooleille rooleille päivittyvinä sisältöinä.
Netchain Company Oy on itse IT- ja kyberturvallisuusalan konsultointitoimija ja edustamme tuotteita, kuten 1Password-salasanahallintaa. Meille on siis liiketoiminnallisesti edullista, että kyberturvallisuus näyttää kiireelliseltä.
Juuri siksi en käytä uhkavolyymilukuja myyntiargumenttina. Jos perustelu ostopäätökselle on "hyökkäyksiä on tuhat viikossa", perustelu ei kestä ensimmäistäkään tarkentavaa kysymystä johtoryhmässä. Kestävä perustelu kuuluu: nämä ovat "kolme" mittariamme, joissa olemme jäljessä ja tämä on niiden korjaamisen hinta ja hyöty. Ne vievät meitä kyberkypsyydessä tavoitteita kohti askel kerrallaan.
En suosittele lopettamaan uhkatilastojen seuraamista. Suosittelen käyttämään niitä oikeassa tehtävässä.
Sama periaate pätee laajemminkin. Kun teemme kyberturvallisuuden due diligencen yrityskaupassa, emme kysy kohteelta, montako hyökkäystä siihen kohdistuu. Kysymme, kuinka nopeasti se korjaa, kuinka nopeasti se havaitsee ja kuinka nopeasti se palautuu. Kaksi ensimmäistä kysymystä ovat mitattavissa. Uhkaluku ei ole.
Rakennamme Interim CISO -palvelussa mittaristoa, joka kytkee tietoturvan liiketoiminnan päätöksiin. Aloitetaan siitä, mitä teillä tällä hetkellä raportoidaan ja mitä siitä puuttuu.
Se tarkoittaa tietoturvatuotteiden kirjaamien estotapahtumien keskiarvoa yhtä organisaatiota kohti tietyssä asiakasjoukossa. Valtaosa tapahtumista on automaattista, kohdentamatonta liikennettä: haavoittuvuusskannauksia, tunnettujen haavoittuvuuksien hyväksikäyttöyrityksiä ja massakalastelua. Luku ei kerro, montako kertaa organisaatioon on tunkeuduttu.
Määritelmällisesti kyllä, koska kyse on luvattomasta yrityksestä vaikuttaa järjestelmään tai käyttäjään. Riskimittarina ei, koska hyökkäysyrityksen kustannus hyökkääjälle on lähes nolla ja yritysten määrä on siksi irrotettu toteutuneista seurauksista.
Koska mittari on riippuvainen mittausjärjestelmästä. Sensorikannan muutos, uudet tai poistetut tunnistesäännöt, asiakaskunnan koostumus ja normalisoinnin jakaja liikuttavat lukua ilman että vastustajan toiminta muuttuu. Siksi lyhyen aikavälin muutoksia ei pidä tulkita uhkatilanteen muutoksena. Heinäkuussa 2026 sama katsaus näytti Norjassa kahdeksan prosentin laskua ja Ruotsissa 36 prosentin kasvua, mikä ei ole selitettävissä rikollisten käyttäytymisellä.
Yleensä vasta uutisoinnissa. Katsaukset kertovat rajoitteensa ja esittävät luvut kontekstissa. Vääristymä syntyy otsikoinnissa: heinäkuun 2026 katsauksessa kiristyshaittaohjelmien kasvu vuodentakaiseen oli 87 prosenttia, mutta otsikossa siitä tuli kaksinkertaistuminen. Samasta aineistosta jäi mainitsematta, että Suomen luvut olivat Pohjoismaiden alhaisimmat.
Mittareita, joihin organisaatio voi itse vaikuttaa: korjausaika kriittisissä haavoittuvuuksissa, kalastelunkestävän monitekijätunnistuksen kattavuus, internetiin näkyvien palveluiden määrä, aika klikkauksesta ilmoitukseen, palautuskokeen todellinen läpäisy ja kriittisten toimittajien inventaarion kattavuus. Jokainen niistä johtaa toimenpiteeseen, jolla on omistaja ja määräpäivä.
Kannattaa, mutta oikeasta kohdasta. Arvokkainta niissä on kuvaus hyökkäystavoista ja hyväksikäytön nopeudesta, ei viikkovolyymi. Kotimaisena vastinparina kannattaa seurata Kyberturvallisuuskeskuksen Kybersäätä, joka perustuu ilmoitettuihin poikkeamiin ja kertoo mekanismeista.
Kirjoittaja Heikki Paananen on Netchain Company Oy:n toimitusjohtaja ja toimii usein ulkoistettuna tai interim CISO-roolissa asiakasorganisaatioissa. Taustalla on yli 20 vuotta tietoturvan ja IT:n johtamista energiasektorilta julkishallintoon ja monialakonserneihin. Tutustu osaamiseemme.