Maailmassa on tällä hetkellä jo yli 21 miljardia yhdistettyä IoT-laitetta, ja Ericssonin ennusteen mukaan määrä nousee 26,4 miljardiin vuoteen 2026 mennessä (Digita / Ericsson, 2021). Jokainen uusi laite on potentiaalinen sisäänpääsyaukko verkkoon, jos sitä ei ole asianmukaisesti eristetty muusta infrastruktuurista. Verkon segmentointi on tehokkain yksittäinen toimenpide, jolla voit rajata tietoturvariskin vain yhteen verkon osaan ja pitää älykkään kodin tai yrityksen toiminnan turvassa.
Mitä verkon segmentointi tarkoittaa IoT-ympäristössä?
Verkon segmentointi tarkoittaa yksinkertaisesti sitä, että yksi fyysinen verkko jaetaan useampaan loogiseen osaan. IoT-yhteydessä tämä merkitsee sitä, että älykodin laitteet, kuten älylukot, kamerat, termostaatit ja valaistus, eivät ole samassa verkossa kuin tietokoneesi, puhelimesi tai muut arkaluontoiset laitteet.
Segmentoinnin tavoite on yksinkertainen: jos hyökkääjä pääsee käsiksi heikosti suojattuun IoT-laitteeseen, hän ei automaattisesti pääse käsiksi pankkitietoihisi, tiedostoihisi tai yritysverkkosi resursseihin. Verkkojen välinen liikenne kulkee palomuurin tai reitittimen kautta, jolloin siihen voidaan asettaa tiukat säännöt.
Miksi IoT-laitteiden segmentointi on välttämätöntä?
IoT-laitteiden tietoturva on usein heikompi kuin perinteisten tietokoneiden. Moni valmistaja toimittaa laitteen oletussalasanalla, vanhalla ohjelmistolle tai ilman automaattisia tietoturvapäivityksiä. Theseus-tietokannan tutkimuksen (Anola-Pukkila, Jori, 2023) mukaan streaming-laitteet ovat haavoittuvimpia IoT-kategorioita, sillä ne kattavat 25,94 prosenttia tunnistetuista haavoittuvuuksista. Televisiota seuraa 21,34 prosentin osuudella.
Segmentoimaton verkko tarkoittaa, että kun hyökkääjä löytää heikon pisteensä, esimerkiksi vanhan IP-kameran, hän pystyy liikkumaan sivuttain verkon sisällä ja käydä käsiksi kaikkiin muihin laitteisiin. Tätä kutsutaan lateraaliseksi liikkeeksi, ja se on yksi yleisimmistä tavoista laajentaa hyökkäys koko organisaatioon tai kotiin.
Euroopan komissio on hyväksynyt useita tukitoimia IoT-infrastruktuurin turvaamiseksi ja edge-laskennan edistämiseksi (EU Digital Strategy, 2026). Tämä politiikkakehys asettaa kasvavia vaatimuksia sekä tietoturvan että verkon hallinnan osalta kaikille IoT-ympäristöille, erityisesti yrityksissä. Lue lisää IoT-laitteiden tietoturvasta, riskeistä ja haavoittuvuuksista.
Segmentoinnin perustyökalut: VLAN, palomuurit ja vierasverkot
Verkon segmentointi ei vaadi monimutkaista laitteistoa. Useimmissa nykyaikaisissa kotiverkon reitittimissä ja erityisesti yritystason laitteissa on jo valmiina kaikki tarvittavat ominaisuudet.
VLAN (Virtual Local Area Network) on yleisin tapa toteuttaa looginen verkkoerottelu. Se mahdollistaa useiden erillisten verkkojen luomisen yhdelle fyysiselle laitteistolla. Esimerkiksi kotiverkkoon voidaan luoda VLAN 10 kotilaitteille, VLAN 20 IoT-laitteille ja VLAN 30 vieraille.
Vierasverkko on yksinkertaisin segmentointiratkaisu kotikäyttöön. Useimmat kuluttajareitittimet, kuten ASUS RT-AX88U, TP-Link Archer AX55 tai Netgear Orbi, tukevat vierasverkkoa, joka on automaattisesti erillinen pääverkosta. IoT-laitteiden siirtäminen vierasverkkoon on nopein tapa parantaa turvallisuutta ilman syvempää verkkoasiantuntemusta.
Palomuurisäännöt määrittävät, mitä liikennettä sallitaan verkkojen välillä. Esimerkiksi IoT-verkon voidaan sallia muodostaa lähtevä yhteys internetiin, mutta sisäänpäin tuleva liikenne pääverkosta IoT-segmenttiin estetään kokonaan.
”IoT-laitteen hakkerointi on jo paha asia. Pääsyn laajeneminen koko verkkoon on katastrofi. Segmentointi pitää näiden välillä seinän.”
Askel askeleelta: kuinka segmentoit IoT-laitteet käytännössä
Alla oleva ohje sopii sekä kotikäyttöön että pienyrityksille. Vaativammat yritysympäristöt voivat tarvita useampia verkkotasoja ja hallitusohjelmistoja, kuten Cisco Identity Services Engine (ISE) tai Aruba ClearPass.
- Vaihe 1: Kartoita laitteet. Lista kaikki verkkosi laitteet ja luokittele ne ryhmiin: henkilökohtaiset laitteet (tietokoneet, puhelimet), IoT-laitteet (kamerat, termostaatit, älylamput, kaiuttimet), yrityslaitteet (tulostimet, NAS-asemat) ja vieraiden laitteet.
- Vaihe 2: Valitse segmentointistrategia. Kotikäyttäjille riittää usein vierasverkko tai reitittimen Guest Network -ominaisuus. Vaativampaan käyttöön tarvitset manageable-kytkimen (esim. Netgear GS308E tai TP-Link TL-SG108E) VLAN-tuella.
- Vaihe 3: Luo VLAN tai vierasverkko reitittimessä. Kirjaudu reitittimesi hallintapaneeliin. Useimmissa reittimissä, kuten Ubiquiti UniFi tai pfSense, VLAN-asetus löytyy kohdasta Network tai Advanced Settings.
- Vaihe 4: Siirrä IoT-laitteet uuteen verkkoon. Ota IoT-laitteen Wi-Fi-asetuksista vanhan verkon tilalle uusi SSID. Laitteiden, jotka ovat yhteydessä Ethernet-kaapelilla, VLAN-segmentointi hoidetaan kytkimen porttiasetuksista.
- Vaihe 5: Aseta palomuurisäännöt. Estä liikenne IoT-verkosta pääverkkoon. Salli vain tarvittava liikenne ulos internetiin. Tarkista, etteivät IoT-laitteet pysty kommunikoimaan keskenään, jos se ei ole tarpeellista.
- Vaihe 6: Testaa segmentointi. Yhdistä tietokoneesi IoT-verkkoon ja yritä pingata pääverkon laitteita. Yhteyden pitäisi epäonnistua. Tarkista myös, toimivatko IoT-laitteet normaalisti omassa segmentissään.
- Vaihe 7: Pidä laitteet ja firmware ajan tasalla. Segmentointi ei korvaa säännöllistä päivitystä. Tarkista IoT-laitteidesi firmware-versiot kuukausittain tai ota automaattiset päivitykset käyttöön.
Vertailu: eri segmentointistrategiat ja niiden soveltuvuus
Alla olevasta taulukosta näet eri segmentointistrategioiden vertailun soveltuvuuden, vaativuustason ja kustannusten osalta.
| Strategia | Soveltuu | Vaativuus | Laitehinta | Tietoturvataso |
|---|---|---|---|---|
| Vierasverkko (Guest Network) | Kotikäyttö | Matala | 0 – sis. reitittimeen | Perus |
| VLAN + manageable-kytkin | Kotikäyttö / PK-yritys | Keskitaso | 30–150 € | Hyvä |
| pfSense / OPNsense palomuuri | PK-yritys / harrastaja | Korkea | 100–400 € | Erittäin hyvä |
| Ubiquiti UniFi -ympäristö | PK-yritys / toimisto | Korkea | 300–1000 € | Erittäin hyvä |
| Cisco / Aruba yritysratkaisu | Suuryritys / terveydenhuolto | Hyvin korkea | 1000–10 000+ € | Korkein |
Kotikäyttäjälle vierasverkko on usein riittävä ensimmäinen askel. Pienyrityksille, joissa on useita IoT-laitteita, suosittelemme VLAN-pohjaista segmentointia pfSense- tai Ubiquiti UniFi -ympäristöllä. Lue lisää IoT-laitteiden käyttöönottoon yritysverkossa.
Suosituimmat laitteet ja ohjelmistot segmentointiin
Markkinoilla on useita laadukkaita vaihtoehtoja, joista löytyy sopiva ratkaisu niin kotikäyttäjälle kuin isoille yrityksille.
Kuluttajareitittimet vierasverkolla: ASUS RT-AX88U, ASUS ZenWiFi Pro ET12, TP-Link Deco XE75 ja Eero Pro 6E ovat hyviä esimerkkejä reitittimistä, joissa vierasverkko on helppo ottaa käyttöön mobiilisovelluksen tai selainpohjaisen hallinnan kautta.
VLAN-tukiset hallittavat kytkimet: Netgear GS308E, TP-Link TL-SG108E ja D-Link DGS-1008P tarjoavat VLAN-segmentoinnin 30–80 euron hintaan. Netgear GS308E on erityisen suosittu kotikäyttäjien ja pienten toimistojen keskuudessa sen yksinkertaisen hallintaliittymän ansiosta.
Avoimen lähdekoodin palomuuriohjelmistot: pfSense ja OPNsense ovat ilmaisia ohjelmistoja, jotka muuttavat tavallisen tietokoneen tai mini-PC:n, kuten Protectli Vault tai Minisforum, tehokkaaksi palomuuriksi. Molemmat tukevat VLAN-konfigurointia graafisen käyttöliittymän kautta.
Yrityskäyttöön: Ubiquiti UniFi -ekosysteemi (reitittimet, kytkimet, tukiasemat) on erittäin suosittu PK-yrityksissä sen helpon hallintaliittymän ja hyvän hinta-laatu-suhteen vuoksi. Cisco Catalyst- ja Meraki-sarjat sekä Aruba Networks (HP) tarjoavat parhaan turvallisuustason suuryrityksille.
5G ja mobiiliverkot osana IoT-segmentointia Suomessa
Suomessa 5G-verkon kotitalouspeitto oli joulukuun 2025 lopussa 93 prosenttia, mutta maantieteellisesti se kattoi vasta 19 prosenttia pinta-alasta (Traficom, 2025). Tämä tarkoittaa, että suurin osa teollisuudessa ja maaseudulla toimivista IoT-ratkaisuista nojaa edelleen 4G LTE -verkkoon tai kiinteisiin yhteyksiin.
Mobiiliverkkopohjainen IoT-segmentointi toimii eri tavalla kuin kiinteissä verkoissa. Operaattorit, kuten Telia, Elisa ja DNA, voivat tarjota yritysasiakkaille APN-pohjaisia (Access Point Name) yksityisverkkoja, joissa IoT-laitteet ovat automaattisesti erotettuna muusta internet-liikenteestä. Näin teollisuuslaitokset voivat toteuttaa segmentoinnin myös mobiiliyhteydellä.
Ruotsissa ja Tanskassa avointen valokuituverkkojen osuus on selvästi Suomea korkeampi: Ruotsissa noin 90 prosenttia ja Tanskassa lähes 100 prosenttia, kun Suomessa se on vain noin 30 prosenttia (sttinfo.fi / STT, 2026). Tämä avoimuuden puute lisää yksittäisten operaattoreiden hallintaa infrastruktuurista ja tekee monipuolisen verkkoarkkitehtuurin suunnittelusta haastavampaa Suomessa. Lue lisää teollisuuden IoT-ratkaisuista Suomessa.
| Maa | 5G kotitalouspeitto (2025) | Avointen valokuituverkkojen osuus (2026) | Valokuidun kotitalouspeitto |
|---|---|---|---|
| Suomi | 93 % | ~30 % | ~80 % |
| Ruotsi | Korkea | ~90 % | ~82 % |
| Norja | Korkea | Korkea | ~75 % |
| Tanska | Korkea | ~100 % | Korkea |
Yrityskäyttö, sääntely ja IoT-segmentoinnin tulevaisuus
Euroopan komissio on hyväksynyt joukon toimenpiteitä, joilla nopeutetaan seuraavan sukupolven IoT:n ja edge-laskennan käyttöönottoa EU-alueella (EU Digital Strategy, 2026). Tämä kehitys asettaa uusia vaatimuksia myös verkkoarkkitehtuurille: yritykset, jotka käsittelevät arkaluonteisia tietoja IoT-järjestelmien kautta, tarvitsevat entistä tiukempaa segmentointia NIS2-direktiivin ja tulevan EU:n kyberturvallisuussäädöstön vaatimusten täyttämiseksi.
NIS2-direktiivi, joka tuli voimaan EU-tasolla lokakuussa 2024, velvoittaa kriittisen infrastruktuurin toimijat ottamaan käyttöön verkkojen segmentoinnin ja muut verkon suojaustoimenpiteet. Suomessa NIS2-direktiivi on implementoitu kybersäädöstöön, joka vaikuttaa laajaan joukkoon toimialojen yrityksiä energiasta terveydenhuoltoon. Lue lisää IoT-laitteiden kokonaisoppaasta tai tutustu IoT-protokollien vertailuun.
Teollisuuden IoT-ympäristöissä (IIoT) segmentoinnin merkitys korostuu entisestään. Tuotantolaitosten verkoissa yhden vaarantuneen laitteen vaikutukset voivat olla välittömästi fyysisiä, kuten tuotantolinjan pysähtyminen tai turvallisuusjärjestelmän häiriö. Omdia ennustaa matkapuhelinverkkoihin perustuvien IoT-yhteyksien kasvavan 5,9 miljardiin vuoteen 2035 mennessä, mikä tarkoittaa, että teollisuuden IoT-arkkitehtuurit monimutkaistuvat merkittävästi (ETN / Omdia, 2025).
”IoT-laitemäärän lähestyessä 49 miljardia maailmanlaajuisesti, segmentointi on muuttunut teknisestä yksityiskohdasta liiketoiminnan jatkuvuuden ehdoksi.”
Usein kysytyt kysymykset IoT-verkon segmentoinnista
Mitä verkon segmentointi tarkoittaa IoT-kontekstissa?
Verkon segmentointi tarkoittaa IoT-laitteiden eristämistä omaan loogiseen tai fyysiseen verkon osaan siten, etteivät ne ole suorassa yhteydessä tietokoneiden, puhelinten tai muiden arkaluonteisten laitteiden kanssa. Käytännössä tämä toteutetaan VLAN-teknologialla, erillisellä vierasverkolla tai palomuurisäännöillä. Tavoitteena on rajata mahdolliset tietoturvaongelmat yhteen segmenttiin siten, että yhden haavoittuvan laitteen kompromissi ei automaattisesti johda koko verkon vaarantumiseen. Segmentointi on perustavanlaatuinen tietoturvatoimenpide, joka on suositeltu sekä kotiverkoille että yrityksille.
Mitkä IoT-laitteet kannattaa ensisijaisesti segmentoida?
Ensisijaisesti segmentoitavia laitteita ovat ne, jotka joko käsittelevät arkaluonteista dataa tai ovat verkossa aina päällä ilman aktiivista käyttäjävalvontaa. Käytännön prioriteettilista on: 1) IP-kamerat ja valvontakamerat, koska ne ovat yleinen hyökkäyskohde, 2) älylukkot ja kulunvalvontalaitteet, 3) termostaatit ja HVAC-järjestelmät, 4) älyteleviot ja streaming-laitteet, jotka tutkimusten mukaan ovat kaikkein haavoittuvimpia (Anola-Pukkila, 2023), 5) teollisuus- ja tuotantolaitteet sekä 6) vieraiden laitteet. Vähemmän kiireellisiä ovat esimerkiksi älylamput, jotka eivät yleensä sisällä arkaluonteista dataa, vaikka nekin kuuluvat IoT-segmenttiin.
Onko VLAN riittävä IoT-segmentointiin?
VLAN on välttämätön rakennuspalikkaa, mutta yksinään se ei riitä. VLANin lisäksi tarvitaan palomuurisäännöt, jotka estävät liikenteen siirtymisen IoT-segmentistä muihin verkkoihin. Ilman näitä sääntöjä VLAN jakaa liikennettä, mutta ei estä sivuttaista liikettä verkkojen välillä. Hyvä segmentointiratkaisu sisältää: VLAN loogiseen erotteluun, palomuurin sääntöineen verkkojen välisen liikenteen hallintaan, laiterekisterin jolla tiedetään mitä verkkoon on kytketty, sekä valvontaratkaisun poikkeavan liikenteen havaitsemiseen. Yrityskäytössä kannattaa harkita myös NAC-ratkaisua (Network Access Control), joka varmistaa että vain tunnetut ja hyväksytyt laitteet pääsevät verkkoon.
Mikä ero on vierasverkolla ja VLANilla IoT-segmentoinnissa?
Vierasverkko on yksinkertainen ja nopea ratkaisu, jonka suurin osa kuluttajareittimistä tukee. Se luo automaattisesti erillisen Wi-Fi-verkon, jossa laitteet eivät näe toisiaan eivätkä pääverkon laitteita. Vierasverkko sopii parhaiten kotikäyttäjille, joilla ei ole syvempää verkko-osaamista. VLAN on joustavampi ja tarkempi ratkaisu: sillä voidaan luoda useita erillisiä segmenttejä eri laitetyypeille, hallita Ethernet-kaapeloituja laitteita ja asettaa yksityiskohtaisia palomuurisääntöjä. VLANin konfigurointi vaatii hallittavan kytkimen ja enemmän teknistä osaamista. Yritysympäristöissä VLAN on lähes aina oikea ratkaisu, kotikäytössä vierasverkko riittää useimmiten.
Kuinka testaan, toimiiko segmentointi oikein?
Segmentoinnin testaus on tärkeä vaihe, joka jää monilta tekemättä. Perusteellisin tapa on siirtää tietokone väliaikaisesti IoT-verkkoon ja testata, pystyykö se pingaamaan tai muodostamaan yhteyden pääverkon laitteisiin. Jos ping epäonnistuu, segmentointi toimii. Lisäksi kannattaa tarkistaa, toimivatko IoT-laitteet normaalisti omassa segmentissään, eli pystyvätkö kamerat lähettämään kuvan pilveen ja termostaatit kommunikoimaan ohjaussovelluksen kanssa. Edistyneempää testausta varten voidaan käyttää Nmap-verkkoskanneria tai Wireshark-liikenneanalysaattoria, jotka paljastavat mahdolliset väärät reitityssäännöt tai palomuurin aukot.
Miten 5G vaikuttaa IoT-laitteiden segmentointiin?
5G tuo mukanaan sekä mahdollisuuksia että uusia haasteita segmentoinnin kannalta. Mahdollisuuksina ovat operaattoripohjainen verkkoviipaleointi (network slicing), jossa operaattori voi teknisesti eristää IoT-liikenteen omalle osaverkollaan jo ennen kuin se saapuu yrityksen tai kodin reitittimelle. Suomessa 5G:n kotitalouspeitto on jo 93 prosenttia (Traficom, 2025), mutta maantieteellinen kattavuus on vasta 19 prosenttia, eli suurin osa teollisuuden IoT-sovelluksista toimii edelleen 4G-verkoissa tai kiinteillä yhteyksillä. Haasteiden puolella 5G lisää yhdistettyjen laitteiden määrää, mikä laajentaa myös segmentoitavan verkon laajuutta.
Mitä NIS2-direktiivi edellyttää IoT-segmentoinnilta?
NIS2-direktiivi, joka astui täysimääräisesti voimaan EU:ssa lokakuussa 2024, edellyttää kriittistä infrastruktuuria operoivilta organisaatioilta muun muassa verkkojen segmentointia, pääsynhallintaa ja säännöllistä tietoturva-auditointia. Suomessa direktiivi koskee yrityksiä energiasta, liikenteestä, terveydenhuollosta ja digitaalisesta infrastruktuurista. Käytännössä tämä tarkoittaa, että pelkkä vierasverkko ei täytä vaatimuksia: yrityksiltä edellytetään dokumentoitu segmentointisuunnitelma, tekniset kontrollit ja osoitettu kyky havaita ja raportoida poikkeamat. Pienemmät yritykset, joita direktiivi ei suoraan koske, hyötyvät silti samoista periaatteista tietoturvariskien pienentämiseksi.
Voinko segmentoida IoT-verkon edullisesti?
Kyllä. Yksinkertaisin ja edullisin tapa on aktivoida reitittimesi vierasverkkoominaisuus, mikä ei maksa mitään, jos reititin tukee sitä. Useimmat vuoden 2020 jälkeen valmistetut kuluttajareitittimet, kuten TP-Link Archer -sarjan laitteet tai ASUS RT-sarjan reitittimet, sisältävät tämän ominaisuuden. Jos haluat VLAN-tason segmentoinnin, edullisin reitti on hankkia manageable-kytkin, kuten Netgear GS308E (noin 40 euroa) tai TP-Link TL-SG108E (noin 30 euroa), ja käyttää avoimen lähdekoodin palomuuriohjelmistoa kuten OPNsense tai pfSense vanhassa PC:ssä. Kokonaiskustannus voi jäädä alle 100 euron, ja ratkaisu tarjoaa selvästi paremman turvallisuustason kuin segmentoimaton verkko.
Aiheeseen liittyvät artikkelit
- IoT-laitteet kotona ja yrityksessä: Opas ja vertailut
- IoT-laitteet yritysverkossa: käyttöönoton parhaat käytännöt
- IoT-laitteiden tietoturva: riskit, haavoittuvuudet ja suojautuminen 2026
- Mitä ovat IoT-laitteet? Opas esineiden internetiin 2026
- MQTT vs Zigbee vs Z-Wave vs Matter: IoT-protokollien vertailu 2026
- Teollisuuden IoT (IIoT) Suomessa: miten tehtaat hyödyntävät dataa
Lähteet
- Traficom: Suomen mobiiliverkkojen kehitys (2025) – https://tieto.traficom.fi/fi/tilastot/suomen-mobiiliverkkojen-kehitys
- Traficom: Suomen digikehitys kansainvälisessä vertailussa (2025) – https://tieto.traficom.fi/fi/tilastot/suomen-digikehitys-kansainvalisessa-vertailussa
- Euroopan komissio / EU Digital Strategy: Euroopan esineiden internetiä koskeva politiikka (2026) – https://digital-strategy.ec.europa.eu/fi/policies/internet-things-policy
- Digita / Ericsson: IoT-sovellusten markkina ja IoT-yhteyksien ennuste (2021) – https://www.digita.fi/suomen-iot-maajoukkue-esittaytyy/
- STT / sttinfo.fi: Selvitys Suomen valokuitumarkkina (2026) – https://www.sttinfo.fi/tiedote/71805973/selvitys-suomen-valokuitumarkkina-poikkeaa-muista-pohjoismaista-merkittavimmat-erot-avoimuudessa
- Theseus / Anola-Pukkila Jori: Trends in IoT Device Use and Security (2023) – https://www.theseus.fi/bitstream/handle/10024/920662/Anola-Pukkila_Jori.pdf
- ETN / Omdia: IoT-yhteyksien määrä lähes kuusinkertaistuu lähivuosina (2025) – https://etn.fi/index.php/about/13-news/18357-iot-yhteyksien-maeaeraen-laehes-kuusinkertaistuu-laehivuosina
IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025
