Jos riskiarvion uhkasarakkeessa lukee ”kyberhyökkäys”, ”tietomurto” tai ”inhimillinen virhe”, rivi on auditoinnissa hieman hankala. Siitä ei selviä kohde, tapahtumaketju eikä seuraus, joten kontrollien valintaa ja riittävyyttä on vaikea perustella. Tämänkaltainen ylätason riskikirjaus ei siis yksinkertaisesti riitä tehokkaan riskienhallinnan toteuttamisessa. Siitä on vaikea johtaa perusteltuja kontrolleja, eli sillä ei voi ohjata.
ENISA julkaisi 22.9.2026 vuosittaisen uhkakuvaraporttinsa, joka perustuu vuoden 2025 aineistoon ja 8 257 kerättyyn ja analysoituun tapaukseen. Tämä on mielestäni paras julkinen aineisto, jolla suomalainenkin organisaatio voi perustella uhkien valintaa.
Mihin ISO 27001 -riskiarviointi voi kaatua
Standardi edellyttää, että organisaatio tunnistaa, arvioi ja käsittelee riskit. Käytännössä kaksi ensimmäistä vaihetta tehdään usein samassa palaverissa samalla lomakkeella, ja lopputulos on pikemminkin uhkaluettelo kuin riskiarvio.
Uhkaluettelo kertoo, mitä maailmassa tapahtuu. Riskiarvio taas kertoo, mitä teille voi tapahtua, mistä se tavanomaisesti saa alkunsa ja mitä se teille merkitsisi. Riskin suuruus riippuu kahdesta asiasta: kuinka todennäköisesti tapahtuma toteutuu juuri teidän ympäristössänne ja kuinka vakavat seuraukset sillä olisi teidän toiminnallenne. Standardin kohta 6.1.2 d edellyttää arvioimaan molemmat.
Kannattaakin tässä kohtaa kysyä: mistä todennäköisyys- ja vaikutusluvut ovat peräisin? Jos vastaus on vain ”arvioimme ne yhdessä”, kannattaa kysyä seuraavaksi, mihin havaintoihin, oletuksiin tai asiantuntija-arvioihin luvut perustuvat.
Muuten arviota on vaikea toistaa tai perustella. Standardin kohta 6.1.2 b edellyttää, että toistuvat riskiarviot tuottavat johdonmukaisia, päteviä ja vertailukelpoisia tuloksia. Jos lukujen taustaa ei ole dokumentoitu, niiden osoittaminen on vaikeaa. Tässä tilanteessa on myös vaikea perustella kontrollien valintaa.
Viime aikoina myös toisenlaisia vastauksia on tullut, esimerkiksi että luku on otettu uhkakuvaraportista. Se on kyllä askel oikeaan suuntaan, mutta se ei vielä riitä.
Raportin rehellisin luku on 5,2 prosenttia
ENISAn aineistossa palvelunestohyökkäysten osuus poikkeamista on 51,3 prosenttia ja luvattoman pääsyn osuus 39,5 prosenttia. Nämä kaksi ovat erityyppisiä uhkia ja ne torjutaan eri kontrolleilla. Siksi ne kuuluvat riskiarviossa omille riveilleen.
Raportin kiinnostavin luku koskee tunkeutumisreittejä. ENISA tunnisti tunkeutumisreitin vain 5,2 prosentissa luvattoman pääsyn tapauksista. Niistä 60,4 prosenttia hyödynsi haavoittuvuutta. Huomaa, että raportti laskee samaan lukuun sekä jo tunnetut haavoittuvuudet että nollapäivähaavoittuvuudet. ENISA kertoo rajoituksesta suoraan: avoimet lähteet ja vapaaehtoisesti jaettu tieto eivät muodosta täydellistä kuvaa uhkakentästä.
Ulkoinen uhkakuva kertoo, mitä uhkia kannattaa ottaa huomioon. Mutta koska se ei tunne ympäristöänne, se ei osaa arvioida organisaationne todennäköisyyksiä. Kuten luvuista näkyy, edes toteutuneiden hyökkäysten kulusta ei useimmiten ole tarkkaa tietoa.
Todennäköisyyden arviointia kannattaa tukea organisaation omalla aineistolla, eli poikkeamalokeilla, korjausten läpimenoajalla, kalastelusimulaatioiden tuloksilla sekä käyttöoikeuskatselmusten löydöksillä. Jos tällaista aineistoa on, kirjatkaa se arvion perusteluksi. Kirjattu perustelu ohjaa riskienhallinnan toimenpiteitä, ja sen avulla voitte myöhemmin arvioida, onko arvio edelleen pätevä.
Ajattelen, että ero uhkaluettelon ja riskiarvion välillä kiteytyy tähän. Uhkaluettelon voi lainata mistä tahansa, mutta riskiarviota ei.
Toimialan uhkakuva kertoo enemmän kuin keskiarvo
Poimin raportista kokonaiskuvan rinnalle myös toimialajakauman. Julkishallinnon osuus poikkeamista oli 31,8 prosenttia, liike-elämän palvelujen 8,5 %, kuljetusalan 8 %, teollisuuden 6,9 % ja rahoitusalan 5,6 prosenttia. Havaitusta toiminnasta 57,3 prosenttia oli ideologisesti motivoitunutta ja 29,3 prosenttia taloudellisesti motivoitunutta. Jälkimmäisistä 47,3 prosenttia liittyi kiristyshaittaohjelmiin.
Toimialakohtaisetkin luvut kuvaavat ENISAn havaitsemien tapausten jakaumaa, eivät yksittäisen organisaation riskien toteutumistodennäköisyyksiä.
Jakaumasta näkyy suoraan, että keskiarvoinen uhkakuva ei kuvaa ketään. Jos toimitte julkishallinnossa, palvelunestohyökkäykset painottuvat aineistossa voimakkaasti – ne muodostavat 81,8 prosenttia sektorin tapauksista. ENISAn mukaan niiden seuraukset jäivät kuitenkin yleensä vähäisiksi, joten niitä kannattaa arvioida sekä todennäköisyyden että seurausten kannalta. Teollisuudessa kuva on toinen, peräti 61,1 prosenttia sektorin tapauksista oli taloudellisesti motivoituneita, ja niistä 82,8 prosenttia oli kiristyshaittaohjelmia.
Kun rivin perustelussa lukee, että painotusta on muutettu oman toimialan tai muun organisaatiolle olennaisen ulkoisen aineiston perusteella, arvio on jäljitettävissä ja hyödyllinen auditoinnissa. Samalla se on puolustettavissa johtoryhmässä, jossa tietoturvabudjetista päätetään.
Miten hyödyntää ENISAn raporttia riskiarviossa?
Uhkaraportin käyttäminen riskiarvion lähteenä on luonteva osa kontrollin A.5.7 (uhkatieto) toteuttamista. Poimikaa raportista ne uhkatyypit, jotka esiintyvät teidän toimialallanne, ja kirjatkaa kuhunkin uhkaan liittyvät riskit. Sama uhka voi johtaa useaan riskiin: kiristyshaittaohjelma voi pysäyttää tuotannon, mutta se voi myös vuotaa asiakastietoja, ja nämä ovat eri riskejä eri seurauksineen. Kunkin riskin kuvauksesta tulee käydä ilmi riittävän konkreettisesti, mitä voi tapahtua, mihin se kohdistuu ja mikä sen voi käynnistää. Merkitkää lähde ja päivämäärä, jotta seuraava arvioija näkee, milloin riski on syytä arvioida uudelleen.
Arvioikaa tämän jälkeen kunkin riskin todennäköisyys oman aineiston, ulkoisen tiedon ja dokumentoidun asiantuntija-arvion perusteella. Kirjatkaa näkyviin, mihin arvio perustuu. Jos käytössä on mittari, merkitkää myös sen arvo. Jos omaa mittaria ei ole, se ei vielä tarkoita, ettei riskiä voisi arvioida. Tällöin perustelun pitää vain näkyä muuten: esimerkiksi aiemmissa havainnoissa, ulkoisessa aineistossa tai dokumentoidussa asiantuntija-arviossa. Jos mitään perustelua ei löydy, todennäköisyys on käytännössä arvattu. Se kannattaa huomata itse ennen kuin auditoija istuu pöytään.
Todennäköisyys on kuitenkin vain toinen puoli arviosta. Yhtä tärkeää on arvioida, mitä riskin toteutuminen merkitsisi juuri teidän organisaatiollenne. Harvoin toteutuva riski voi olla sietämätön, jos sen seuraukset ovat vakavat, kun taas usein toteutuva mutta vähäinen riski voi olla hyväksyttävä. Seurauksia varten kannattaa määritellä organisaation omat asteikot, esimerkiksi rahallinen menetys, vaikutus liiketoiminnan jatkuvuuteen tai katkon kesto. Standardin kohta 6.1.2 a edellyttää, että organisaatio määrittelee sekä riskien arviointikriteerit että riskien hyväksymiskriteerit.
Lopuksi katsokaa, miten kutakin riskiä käsitellään ja kuka siitä vastaa. Jos käsittely edellyttää kontrollia, tarkistakaa, mikä kontrolli riskiin vastaa ja että se näkyy asianmukaisesti riskien käsittelyssä (6.1.3) ja soveltuvuuslausunnossa. Jos yhteyttä ei löydy, riski on joko kirjattu liian yleisesti tai riskin käsittely jää perustelematta.
Kaikki tämä saattaa kuulostaa työläältä, mutta ei tässä mahdottomasti työtä ole. Hyvässä riskiarviossa ei ole kyse rivien määrästä vaan siitä, että riskit on kuvattu riittävän tarkasti ja arviot perusteltu. Silloin riskiarvio myös ohjaa toimintaa ja kestää tarkastelua silloin, kun jokin menee pieleen.
Jos oma riskiarvionne on tällä hetkellä enemmän luettelo kuin arvio, ota yhteyttä ja käydään se yhdessä läpi ennen seuraavaa katselmusta.
Ville Koskinen
COO & Lead Auditor
Lähteet ja lisälukemista →
ENISA: Threat Landscape 2026 (22.9.2026)
ENISA: Threat Landscape – raporttisivu
Into Security: ISO 27001 –tietosivu
Into Security: Ulkoinen hyökkäyspinta – tiedätkö, mitä organisaatiostasi näkyy internetiin?
Into Security: ISO 27001 ja NIS2: Jatkuva parantaminen ja viisi nyrkkisääntöä
Into Security: NIS2 vie johdon epämukavuusalueelle – Inton NIS2-kypsyysmalli