IoT-laitteiden tietoturva: riskit, haavoittuvuudet ja suojautuminen 2026

Suomessa astui voimaan 1. kesäkuuta 2026 kansallinen kyberkestävyyslaki, joka muuttaa kaiken sen, mitä IoT-laitteiden turvallisuudelta voidaan vaatia. Samaan aikaan Traficomin Kyberturvallisuuskeskus raportoi, että Suomen kyberuhkataso pysyi vuoden 2026 ensimmäisellä puoliskolla kohonneella tasolla – vaikka kokonaistilanne säilyi vakaana. Kotien älylukot, valvontakamerat ja reitittimet eivät ole enää vain mukavuuksia: ne ovat aktiivinen osa kyberturvallisuuden uhkamaisemaa.

Miksi IoT-laitteet ovat erityinen tietoturvaongelma?

IoT-laitteet eroavat perinteisistä tietokoneista merkittävällä tavalla: niissä pyörii usein yksinkertaistettu käyttöjärjestelmä, päivitykset ovat epäsäännöllisiä tai puuttuvat kokonaan, ja käyttöliittymä on niin suppea, ettei käyttäjä helposti huomaa ongelmia. Älyreititin, ovikello, lämpömittari tai teollisuussensori voi olla verkossa vuosia ilman minkäänlaista tietoturvahuoltoa.

Perusongelma on se, että monet valmistajat ovat perinteisesti priorisoineet laitteistokustannuksia ja markkinoilletulonopeutta tietoturvan kustannuksella. Tuloksena on laitteita, joissa on tehdasoletussalasana ”admin/admin”, avoimia portteja tai vanhentuneita ohjelmistokomponentteja. Kun tällainen laite liitetään kotireitittimeen, siitä tulee potentiaalinen sisäänkäyntipiste hyökkääjälle.

Tilannetta monimutkaistaa se, että IoT-laitteiden kirjo on valtava: yksinkertaisesta lämpömittarista teolliseen ohjausjärjestelmään, älylukkoon tai valvontakameraan. Kukin laitetyyppi tuo omat riskinsä. Lisäksi laitteet ovat usein verkottuneita keskenään, jolloin yhden laitteen kompromettoiminen voi avata pääsyn koko verkkoon. Syvempää tietoa IoT-laitteiden perusominaisuuksista löydät artikkelista Mitä ovat IoT-laitteet? Opas esineiden internetiin 2026.

IoT-tietoturvan historia lyhyesti: miten tähän on tultu

Esineiden internet alkoi yleistyä kuluttajamarkkinoilla laajemmin 2010-luvun puolivälissä. Tuolloin laitteiden tietoturvaan ei kiinnitetty paljoakaan huomiota – tärkeintä oli yhteys ja helppokäyttöisyys. Yle raportoi jo tuolloin, että IoT-laitteiden toimintaa säätelevää lainsäädäntöä ei ollut olemassa, mikä hidasti turvallisuuden kehittämistä.

Vuoden 2016 Mirai-bottiverkkohyökkäys osoitti dramaattisesti, mitä voi tapahtua, kun sadat tuhannet suojaamattomat IoT-laitteet kaappataan. Hyökkäys kaadoi lyhyeksi ajaksi merkittäviä internet-palveluja. Tämä pisti viranomaiset ja valmistajat liikkeelle ympäri maailman. EU:ssa prosessi on ollut pitkä, mutta Cyber Resilience Act ja Suomen kyberkestävyyslaki edustavat nyt konkreettista tulosta.

Sääntely-ympäristö muuttui olennaisesti 2020-luvulla. EU alkoi valmistella yhdenmukaista lainsäädäntöä, ja kansalliset kyberturvallisuusviranomaiset – Suomessa Traficomin Kyberturvallisuuskeskus (NCSC-FI) – saivat lisää toimivaltuuksia ja resursseja. Kehitys kulminoitui vuoteen 2026, jolloin Suomessa tuli voimaan oma kyberkestävyyslaki täydentämään EU-sääntelyä.

Yleisimmät IoT-tietoturvariskit ja haavoittuvuudet

IoT-laitteiden haavoittuvuudet voidaan jakaa karkeasti kolmeen pääluokkaan: laitteen omaan heikkouteen, verkkoarkkitehtuurin puutteisiin ja käyttäjien toimintaan. Usein hyökkäys hyödyntää näistä kaikkia yhtä aikaa.

Laitetasolla yleisin ongelma on tehdasoletussalasanat. Monet laitteet toimitetaan oletustunnuksilla kuten ”admin/admin” tai ”user/1234”, joita valtaosa käyttäjistä ei koskaan vaihda. Heti toisena tulevat vanhentuneet ohjelmistokomponentit: laite voi sisältää kolmansien osapuolten kirjastoja, joissa on tunnettuja haavoittuvuuksia, mutta päivitysprosessi on hidas tai olematon.

Verkkoarkkitehtuurin puolella yleisin virhe on se, että kaikki laitteet – tietokoneet, älypuhelimet ja IoT-laitteet – ovat samassa verkossa ilman segmentointia. Tällöin yhden laitteen kaappaaminen antaa hyökkääjälle pääsyn koko verkkoon. Yrityskäytössä tämä on erityisen vakava riski.

Käyttäjätasolla suurin ongelma on tietämättömyys. Monet eivät tiedä, mitä laitteita heidän verkossaan on, saatikka millainen ohjelmistopäivitystilanne niissä on. Turvallisuusasetuksia ei muuteta, koska niistä ei tiedetä tai niitä pidetään liian monimutkaisina.

EU:n Cyber Resilience Act ja Suomen kyberkestävyyslaki 2026

EU:n Cyber Resilience Act (CRA) on historiallinen muutos IoT-laitteiden sääntelyssä. Se siirtää painopisteen pois pelkästä verkon tai käyttäjän suojaamisesta kohti laitteen koko elinkaaren aikaista turvallisuutta. Jokaisella EU-markkinoilla myytävällä digitaalisella tuotteella on oltava CE-merkintään liittyvä kyberturvallisuusarvio, päivityssitoumus ja haavoittuvuuksien ilmoittamisvelvollisuus.

Suomi meni askeleen pidemmälle: kansallinen kyberkestävyyslaki astui voimaan 1.6.2026 täydentämään EU-sääntelyä. Laki toi pakollisen haavoittuvuuksien ilmoittamisen Traficomille jo 11.9.2026 alkaen – kuukausia ennen CRA:n täysimääräistä soveltamista, joka alkaa 11.12.2027.

IoT-laitteiden tietoturva on muuttunut vapaaehtoisesta suosituksesta lakisääteiseksi vaatimukseksi – ja tämä muuttaa kaiken siitä, mitä kuluttajat voivat laitteiltaan odottaa.

CRA jakaa tuotteet riskiluokkiin. Älylukot, valvontakamerat ja kotireitittimet voivat kuulua vaativampiin luokkiin, joille asetetaan tiukempia arviointivaatimuksia. Valmistajan vastuu elinkaaren aikaisista päivityksistä jatkuu vähintään viisi vuotta tai tuotteen oletetun käyttöiän ajan, kumpi on pidempi.

Käytännön tasolla tämä tarkoittaa, että valmistajien on jatkossa pystyttävä osoittamaan sekä tekninen suojaus että haavoittuvuuksien hallintaprosessi osana markkinoillepääsyä. Vaatimuksiin kuuluvat tunnistautuminen, käyttöoikeuksien valvonta, salaus, turvalliset päivitykset, secure boot ja koventaminen. Suomalaisyrityksille tämä on tärkeä hankintakriteeri: IoT-laitteet kotona ja yrityksessä: Opas ja vertailut käsittelee laajemmin, miten laitevalinta tehdään käytännössä.

Käytännön suojautumiskeinot kotikäyttäjille

Lakimuutokset eivät poista käyttäjän vastuuta. Laite ei suojaa itseään – käyttäjä tekee sen. Tärkeimmät toimenpiteet ovat yksinkertaisia mutta usein laiminlyötyjä.

Reitittimen suojaus on perustavanlaatuinen. Reitittimen hallintaliittymän salasana pitää vaihtaa heti käyttöönoton yhteydessä, etähallinta poistaa käytöstä ellei sille ole tarvetta, ja ohjelmistopäivitykset asentaa heti kun valmistaja julkaisee niitä. Reititin on kotiverkon portti – jos se on kompromettioitu, kaikki sen takana olevat laitteet ovat vaarassa.

Salasanahygienia koskee jokaista laitetta erikseen. Käytä uniikkia, vahvaa salasanaa jokaiseen laitteeseen. Salasananhallintaohjelmat, kuten Bitwarden tai 1Password, helpottavat tätä merkittävästi. Oletussalasanojen vaihtaminen on yhä ykkössuositus Traficomin ja alan asiantuntijoiden ohjeissa.

Firmware-päivitykset on asennettava säännöllisesti. Monet laitteet tukevat automaattisia päivityksiä – ota ne käyttöön. Jos laite ei enää saa tietoturvapäivityksiä valmistajalta, harkitse sen korvaamista turvallisemmalla mallilla. Tämä pätee erityisesti halvimpiin Android-pohjaisiin TV-bokseihin, jotka Kyberturvallisuuskeskuksen mukaan muodostavat erityisen riskin.

Julkisia Wi-Fi-verkkoja tulee välttää, kun hallitset IoT-verkkoasi etänä. VPN-yhteys lisää suojakerroksen erityisesti silloin, kun pääset laitteisiisi kodin ulkopuolelta. Tietoturvan vaikutuksista laajempaan digitaaliseen infrastruktuuriin löydät lisää artikkelista Trending tech news 2026: tärkeimmät teknologiauutiset Suomessa.

IoT-tietoturva yrityksissä: erityispiirteet ja vaatimukset

Yrityskäytössä IoT-tietoturva on huomattavasti monimutkaisempi haaste kuin kotona. Organisaatioissa voi olla kymmeniä tai satoja IoT-laitteita – teollisuussensoreita, kulunvalvontajärjestelmiä, ympäristömonitoreita, turvallisuuskameroita ja älykkäitä rakennusjärjestelmiä. Jokainen näistä on potentiaalinen haavoittuvuus.

Telian asiantuntijat korostavat, että yritysten on varmistettava laitteiden tekniset standardit ja etäpäivitystuki jo hankintavaiheessa. Laitteen viestintä on suojattava datan arkaluonteisuuden mukaan, ja valmistajan kanssa on tehtävä yhteistyötä suojausratkaisujen ymmärtämiseksi. Tämä on erityisen tärkeää pitkän käyttöiän laitteissa, jotka voivat olla verkossa vuosikymmenen.

Kyberturvallisuuden hallinta yhdistyy yhä useammin pilvipalveluihin. IoT-laitteiden tuottama data käsitellään usein pilvipalveluissa, joissa on omat tietoturvavaatimuksensa. Pilviympäristöjen tietoturvakäytäntöjä käsitellään tarkemmin artikkelissa Tekoälyn tietoturva ja riskit yrityksissä 2026, joka käsittelee myös laajemmin digitaalisen infrastruktuurin turvallisuuskysymyksiä.

Mitä uusi sääntely tarkoittaa laitteen ostajalle käytännössä?

CRA:n myötä EU-markkinoilla myytävissä laitteissa tulee olemaan selkeämmät tiedot tietoturvasta. CE-merkintä laajenee kattamaan kyberturvallisuusarvioinnin, ja valmistajien on ilmoitettava, kuinka kauan laitteelle tarjotaan tietoturvapäivityksiä. Tämä tekee laitevertailusta helpompaa.

Käytännössä ostajan kannattaa kiinnittää huomiota seuraaviin asioihin: kuinka pitkä on valmistajan lupaama päivitystuki, tukeeko laite automaattisia tietoturvapäivityksiä, onko oletussalasanan vaihto pakollinen ensiasennuksessa ja onko viestintä salattu. Laitteet, jotka täyttävät CRA:n vaatimukset, ovat suositeltavampia myös ennen lain täysimääräistä voimaantuloa.

Erityisen tarkkana kannattaa olla halvimpien tuontilaitteiden kanssa. Markkinoilla on edelleen paljon laitteita, joissa ei ole kunnollista päivitystukea tai joiden tietoturvakäytännöistä ei tiedetä mitään. Laitevalintaan liittyvää lisätietoa tarjoaa artikkeli IoT-laitteet kotona ja yrityksessä: Opas ja vertailut.

Toimitusketjun riskit ja supply chain -turvallisuus

Yksi 2020-luvun keskeinen IoT-tietoturvatrendi on toimitusketjuriskit. Laite koostuu sadoista komponenteista ja ohjelmistokirjastoista, joita ei aina tunneta. Haavoittuvuus voi piillä kolmannen osapuolen kirjastossa tai laiteohjelmistossa, jota valmistaja ei itse ole kirjoittanut.

CRA:n yksi keskeinen vaatimus on nimenomaan toimitusketjun turvallisuus. Valmistajien on tiedettävä, mitä komponentteja heidän tuotteissaan on, ja pystyttävä reagoimaan nopeasti, kun näissä komponenteissa löytyy haavoittuvuuksia. Tämä on suuri muutos monille valmistajille, jotka aiemmin saattoivat hankkia valmismoduuleja ilman tarkkaa tietoa niiden sisällöstä.

Kyberkestävyyslaki ei velvoita vain valmistajaa – se muuttaa koko toimitusketjun vastuurakenteen komponenttitoimittajista integraattoreihin asti.

Yrityksen näkökulmasta toimitusketjuriski tarkoittaa myös sitä, että IoT-laitteen toimittajan taustan ja tietoturvakäytäntöjen selvittäminen on osa hankintaprosessia. Telia suosittelee tekemään yhteistyötä valmistajan kanssa suojausratkaisujen ymmärtämiseksi jo ennen hankintaa. Pilvipalveluiden roolista IoT-datan käsittelyssä löydät lisää artikkelista Pk-yrityksen siirtyminen pilvipalveluun: migraatiosuunnitelma.

IoT-tietoturva ja älykodin tulevaisuus Suomessa

Suomessa ja Pohjoismaissa älykotien yleistyminen jatkuu. Älylämpöpumput, energianhallintajärjestelmät, sähköautojen latauspisteet ja kotiautomaatio yhdistävät yhä useamman laitteen verkkoon. Jokainen uusi laite on tietoturvapäätös.

Erityisesti energianhallinnan IoT-laitteet – kuten sähköautojen älykkäät kotilatausasemat – keräävät arkaluontoista dataa kulutustottumuksista ja voivat olla yhteydessä energiayhtiön järjestelmiin. Tietoturvan laiminlyönti tässä kontekstissa voi tarkoittaa pääsyä laajempaan kriittiseen infrastruktuuriin. Sähköautojen latauslaitteista löydät lisätietoa artikkelista Mikä on paras sähköauton kotilatausasema omakotitaloon 2026?

Traficomin kyberturvallisuustilannekatsauksen mukaan vuoden 2026 ensimmäinen puolisko osoittaa, että kyberuhkien torjuminen vaatii vahvempaa varautumista ja resursointia. Tämä koskee paitsi viranomaisia ja yrityksiä, myös yksittäisiä kuluttajia. Tietoisuuden lisääminen on yhtä tärkeää kuin tekninen suojaus.

IoT-laitteiden tietoturva-auditointi: käytännön työkalu- ja menetelmävertailu

Oman IoT-ympäristön tietoturvatason selvittäminen vaatii konkreettisia työkaluja. Alla on vertailu neljästä yleisimmin käytetystä lähestymistavasta, joista jokainen sopii hieman eri tarpeisiin.

Käytännön auditointi kannattaa aloittaa verkkoskannauksella. Nmap-komennolla nmap -sV -p 1-65535 192.168.1.0/24 saa nopeasti listan kaikista verkossa näkyvistä laitteista ja niiden avoimista porteista. Shodan-hakupalvelu puolestaan paljastaa, näkyvätkö omat laitteet julkiseen internettiin, mikä on yleisin ja vakavin virhekonfiguraatio. Shodan CEO John Matherly arvioi vuoden 2025 Defcon-esityksessään, että yli 15 prosenttia maailman IoT-laitteista on suoraan tavoitettavissa ilman autentikointia.

Firmware-analyysi on seuraava askel edistyneemmille käyttäjille. Binwalk-työkalu purkaa laitteen firmware-kuvan ja paljastaa mahdolliset kovakoodatut salasanat tai vanhentuneet kirjastot. OWASP Firmware Security Testing Methodology -ohjeistus (päivitetty maaliskuussa 2025) listaa tarkistuspisteet järjestelmällisesti. Suomessa Kyberturvallisuuskeskus suositteli tammikuussa 2026 julkaistussa ohjeessaan juuri firmware-tarkistuksia osana yritysten IoT-riskienhallintaa.

Sertifiointipolku on pakollinen laitevalmistajille EU:n Cyber Resilience Actin myötä, mutta vapaaehtoinen sertifiointi esimerkiksi IoT Security Foundation (IoTSF) -standardin mukaisesti parantaa myyntiargumentteja jo ennen lakisääteistä vaatimusta. IoTSF:n vuoden 2025 raportin mukaan sertifioituja tuotteita ostaa mieluummin 68 prosenttia eurooppalaisista B2B-hankkijoista.

Yleisimmät IoT-tietoturvavirheet ja miten ne vältetään vaihe vaiheelta

Valtaosa IoT-tietoturvaongelmista johtuu toistuvista, ennakoitavista virheistä. Bitdefender analysoi vuoden 2025 IoT Threat Landscape -raportissaan yli 3,8 miljardia lokitapahtumaa ja tunnisti viisi yleisintä virhettä, jotka yhdessä vastaavat 81 prosentista kaikista IoT-tietoturvapoikkeamista.

1. Oletussalasanojen säilyttäminen. Yli 40 prosenttia tutkituista laitteista käytti edelleen tehdasasetuksena toimitettuja tunnuksia (Bitdefender 2025). Korjaus: vaihda salasana heti käyttöönoton yhteydessä ja tallenna se salasananhallintaohjelmaan kuten Bitwarden tai 1Password.
2. Automaattipäivitysten poissaolo. Cujo AI:n vuoden 2025 kotikäyttäjätutkimuksen mukaan 55 prosenttia kuluttajien IoT-laitteista pyörittää yli 12 kuukautta vanhaa firmwarea. Korjaus: tarkista laitteen hallintapaneelista automaattinen päivitysasetus ja kytke se päälle, tai aseta kalenteriin kuukausittainen muistutus manuaalista tarkistusta varten.
3. Laitteiden sijoittaminen pääverkkoon. Kun älytelevisio, lämpöpumpun ohjain ja työläppäri ovat samassa verkossa, yksi vaaranntunut laite avaa pääsyn kaikkeen. Korjaus: luo reitittimeen erillinen VLAN tai vierasverkko pelkästään IoT-laitteille. Useimmissa kuluttajireitittimissä, kuten ASUS RT-sarjassa tai Netgear Orbi -järjestelmässä, tämä onnistuu graafisesta käyttöliittymästä.
4. Tarpeettomien palveluiden jättäminen päälle. Monet laitteet pitävät UPnP:n, Telnetin tai SSH:n oletuksena auki. Nmap-skannauksen jälkeen suljetaan kaikki portit, joille ei ole perusteltua tarvetta. Telnet (portti 23) on erityisen vaarallinen, koska liikenne kulkee salaamattomana.
5. Laitteiden unohtaminen elinkaaren päättyessä. Valmistaja lopettaa päivitykset, mutta laite jää verkkoon. Korjaus: pidä kirjaa laitteiden tukiajan päättymispäivistä. ENISA suositteli helmikuussa 2026, että organisaatiot ylläpitävät IoT-laiterekisteriä, jossa tukiajan loppuminen on merkitty ja joka käynnistää automaattisen poistokehotteen.

Näiden viiden kohdan järjestelmällinen läpikäynti vie kotikäyttäjältä noin tunnin ja pienyritykseltä yhden työpäivän. Investoinnin suhde saavutettuun suojaustasoon on korkea: F-Securen vuoden 2025 kyselytutkimuksen mukaan yrityksistä, jotka toteuttivat vastaavan perustarkistuksen, 73 prosenttia havaitsi välittömästi vähintään yhden vakavan konfigurointivirheen.

Aiheeseen liittyvät artikkelit

• IoT-laitteet kotona ja yrityksessä: Opas ja vertailut
• Mitä ovat IoT-laitteet? Opas esineiden internetiin 2026

Usein kysytyt kysymykset: IoT-laitteiden tietoturva

Miksi IoT-laitteet ovat tietoturvariski?

IoT-laitteet ovat tietoturvariski useasta syystä. Laitteet toimitetaan usein tehdasoletussalasanoilla, joita käyttäjät eivät vaihda. Niissä on yksinkertaistettu käyttöjärjestelmä, johon päivityksiä tulee epäsäännöllisesti tai ei lainkaan. Monet laitteet ovat verkossa jatkuvasti ilman valvontaa, ja niissä voi olla avoimia portteja tai salaamaton tietoliikenne. Lisäksi halpatuontilaitteet voivat sisältää valmistajan asentamia haittaohjelmistoja tai vanhentuneita ohjelmistokomponentteja, joissa on tunnettuja haavoittuvuuksia. Yhteistä näille riskeille on, että ne ovat usein helposti korjattavissa yksinkertaisilla toimenpiteillä.

Mitä on EU:n Cyber Resilience Act ja koskeeko se Suomea?

EU:n Cyber Resilience Act (CRA) on EU-asetus, joka asettaa pakolliset kyberturvallisuusvaatimukset kaikille digitaalisille tuotteille, joita myydään EU:n sisämarkkinoilla. Se koskee esineiden internetin laitteita, ohjelmistoja ja yhdistettyjä tuotteita. Asetus vaatii valmistajia huomioimaan tietoturvan koko tuotteen elinkaaren ajan ja raportoimaan haavoittuvuuksista. CRA koskee Suomea täysimääräisesti 11.12.2027 alkaen. Suomi on lisäksi ottanut käyttöön oman kyberkestävyyslain 1.6.2026, joka täydentää EU-sääntelyä kansallisella tasolla ja toi pakollisen haavoittuvuuksien ilmoittamisen Traficomille jo syyskuusta 2026 alkaen.

Kuinka kauan valmistajan pitää tarjota tietoturvapäivityksiä IoT-laitteelle?

EU:n Cyber Resilience Actin mukaan valmistajan vastuun on jatkuttava vähintään viisi vuotta tai tuotteen oletetun käyttöiän ajan, kumpi on pidempi. Tämä on merkittävä muutos, sillä aiemmin monet valmistajat lopettivat päivitysten tarjoamisen paljon nopeammin. Käytännössä tämä tarkoittaa, että kuluttaja voi CRA:n voimaantulon jälkeen vaatia, että ostettu älylukko, valvontakamera tai reititin saa tietoturvapäivityksiä usean vuoden ajan. Ennen lain voimaantuloa kannattaa tarkistaa valmistajan ilmoittama päivitystuki ennen ostopäätöstä.

Miten suojaan kotini IoT-laitteet parhaiten?

Kotisi IoT-laitteiden suojaamisessa tärkeimmät toimenpiteet ovat: vaihda jokaisen laitteen oletussalasana vahvaan ja uniikkiin salasanaan heti käyttöönoton yhteydessä; asenna ohjelmisto- ja laiteohjelmistopäivitykset heti kun ne julkaistaan; luo reitittimeen erillinen vierasverkko IoT-laitteille, jotta ne eivät ole samassa verkossa tietokoneidesi kanssa; ota käyttöön automaattiset päivitykset kaikissa laitteissa; poista käytöstä etähallintaominaisuudet, joita et tarvitse; ja seuraa valmistajan tietoturvatiedotteita. Lisäksi jos sinulla on Android-pohjaisia TV-bokseja tai muita halvempia laitteita, arvioi niiden tarpeellisuus – ne voivat olla merkittävä tietoturvariski.

Mitä tarkoittaa verkkosegmentointi IoT-laitteissa?

Verkkosegmentointi tarkoittaa käytännössä sitä, että luot reitittimessäsi erillisen verkon IoT-laitteille erilleen tietokoneistasi, älypuhelimistasi ja muista tärkeistä laitteistasi. Tällöin vaikka hyökkääjä kompromettoi älylamppusi tai kahvinkeittimelläsi, hänellä ei ole suoraa pääsyä pankkitietoihisi tai työtiedostoihisi. Useimmat modernit kotireitittimet – kuten ASUS RT-AX88U, TP-Link Archer AX90 tai Netgear Nighthawk -sarjan laitteet – tukevat vierasverkko-ominaisuutta, jota voi käyttää tähän tarkoitukseen. VLAN (Virtual Local Area Network) on yritystason vastaava ratkaisu, joka mahdollistaa vielä tarkemman segmentoinnin.

Voiko vanhan IoT-laitteen käyttö olla turvallista, jos se ei saa enää päivityksiä?

Päivitystukensa lopettanut IoT-laite on kasvava tietoturvariski ajan kuluessa. Uusia haavoittuvuuksia löydetään jatkuvasti, eikä ilman päivityksiä niihin voida reagoida. Jos laite on pakko pitää käytössä, vähennä riskiä segmentoimalla se omaan verkkoon, rajoittamalla sen internet-yhteydet minimiin ja seuraamalla laitteen verkkoliikennettä. Kriittisissä sovelluksissa – kuten hälytinjärjestelmissä, älylukoissa tai valvontakameroissa – vanhentunut ja tukensa menettänyt laite tulisi korvata mahdollisimman nopeasti. Suomen kyberkestävyyslaki ja CRA kannustavat juuri tähän suuntaan velvoittamalla valmistajat tarjoamaan pidempää päivitystukea.

Miten yritys voi arvioida IoT-toimittajan tietoturvaa?

Yritys voi arvioida IoT-toimittajan tietoturvaa useilla kriteereillä. Ensinnäkin selvitä, millainen on toimittajan ilmoitettu päivitystuki ja haavoittuvuuksien hallintaprosessi: onko heillä selkeä CVE-ilmoituspolitiikka? Toiseksi tarkista, täyttävätkö laitteet ISO/IEC 27001 -standardin tai muut tunnistetut tietoturvastandardit. Kolmanneksi pyydä dokumentaatio siitä, mitä kolmannen osapuolen komponentteja laitteessa on. Neljänneksi varmista, tukeeko laite etäpäivityksiä ja salattua tietoliikennettä. Viidenneksi arvioi, onko toimittajalla selkeä prosessi tietoturvapoikkeamien raportointiin asiakkaille. CRA:n vaatimusten täyttäminen vuodesta 2027 alkaen on hyvä peruskriteeri.

Mitä tietoja IoT-laitteet voivat kerätä kodistani tai yrityksestäni?

IoT-laitteet voivat kerätä huomattavan paljon tietoa riippuen laitetyypistä. Valvontakamerat tallentavat videoita ja ääntä kodin tai toimiston tiloista. Älytermostaatit, kuten Nest tai Tado, analysoivat läsnäolo- ja liikkumistottumuksia. Älylukot kirjaavat sisäänkäynnit ja poistumiset. Älymittarit keräävät yksityiskohtaista tietoa energiankulutuksesta jopa huonetasolla. Fitness-laitteet ja älyvaaka keräävät terveystietoja. Ääniassistentit, kuten Amazon Alexa tai Google Home, voivat tallentaa äänifragmentteja. Tämän tiedon tallentamisesta, käsittelystä ja mahdollisesta kolmansille osapuolille jakamisesta on luettava valmistajan tietosuojakäytäntö ennen hankintaa. GDPR edellyttää selkeää tietoa datan käsittelystä myös IoT-laitteiden kohdalla.

Lähteet

Traficom Kyberturvallisuuskeskus – Kyberturvallisuuden ensimmäinen vuosipuolisko 2026: tilannekatsaus ja havainnot Suomesta.

Etteplan – Kuinka taataan verkkoon liitettyjen laitteiden turvallisuus: IoT-tietoturvaominaisuuksien tekninen analyysi 2024.

Yle – Kodin älylaitteet yleistyvät vauhdilla, mutta tietoturva ja lainsäädäntö laahaavat perässä: alkuperäinen taustaselvitys IoT-sääntelyn puutteista.

Telia – Kyberuhat kasvavat: näin huomioit IoT-ratkaisuiden tietoturvan yrityksessä.

IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025