Yrityksessä on tehty kyberturvallisuuden itsearviointi. Tuloksista huomataan, että henkilöstön osaamista pitäisi vahvistaa, varautumisessa on kehitettävää ja joihinkin tunnistettuihin riskeihin pitäisi reagoida. Nykytilasta on siis saatu hyvä kuva. Mutta mitä tapahtuu seuraavaksi?
Juuri tähän kysymykseen KULTTI - Kyberturvallisuuden ja tietoturvakulttuurin kehittäminen pk-yrityksissä -hankkeessa etsitään käytännön ratkaisuja yhdessä yritysten kanssa.
Tunnistettu riski on vasta lähtökohta
Kyberturvallisuuden kehittäminen ei saisi pysähtyä nykytilan arviointiin. Arviointi auttaa tunnistamaan puutteita ja riskejä, mutta seuraava kysymys on vähintään yhtä tärkeä: mitä tehdään sen jälkeen?
Ajatellaan esimerkiksi pientä yritystä, jossa huomataan, ettei henkilöstöllä ole yhtenäistä toimintatapaa epäilyttävien sähköpostien käsittelyyn. Kehittämistoimenpide voi olla selkeä ilmoituskanava, yhteinen ohjeistus ja henkilöstön harjoittelu.
Toisessa yrityksessä itsearviointi voi nostaa esiin varmuuskopioinnin. Varmuuskopiot ovat olemassa, mutta kukaan ei ole pitkään aikaan testannut, pystytäänkö niiden avulla todella palauttamaan liiketoiminnan kannalta tärkeät tiedot ja järjestelmät. Tällöin seuraava askel ei ole uusi arviointi, vaan palauttamisen testaaminen ja toimintatavan dokumentointi.
Kolmannessa yrityksessä keskeinen riski voi löytyä oman organisaation ulkopuolelta. Mitä tapahtuu, jos liiketoiminnalle tärkeän toimittajan järjestelmä ei olekaan käytettävissä? Onko riippuvuus tunnistettu ja onko tilanteeseen varauduttu?
Esimerkit ovat erilaisia, mutta niitä yhdistää sama ajatus: riskin tunnistaminen ei vielä pienennä riskiä. Tarvitaan päätös siitä, mitä tehdään, kuka tekee ja mitä tehdyn toimenpiteen jälkeen seurataan.
Ihmiset ovat tärkeä osa kyberturvallisuutta
Kaikki kehittämiskohteet eivät myöskään ratkea teknologialla. Tietoturvakulttuurin merkitys korostuu, kun erilaiset huijausyritykset ovat osa työelämän arkea.
ENISA:n (European Union Agency of Cybersecurity) syyskuussa 2026 julkaisemassa EU-tason kyselyssä 74 prosenttia työntekijöistä kertoi kohdanneensa viimeisen kuuden kuukauden aikana työssään epäilyttäviä sähköposteja, viestejä, puheluita tai linkkejä. Vain 45 prosenttia puolestaan kertoi organisaationsa jakavan säännöllisesti kyberturvallisuuteen liittyvää tietoa tai tietoisuutta lisääviä päivityksiä. Positiivista on, että halua oppimiseen löytyy: 85 prosenttia vastaajista oli kiinnostunut kehittämään kyberturvallisuusosaamistaan.
Tietoturvakulttuurin kehittäminen tarkoittaakin käytännössä esimerkiksi sitä, että työntekijä tunnistaa epäilyttävän tilanteen, tietää miten siinä toimitaan ja kenelle havainnosta ilmoitetaan. Samalla johdon tehtävänä on huolehtia siitä, että turvalliselle toiminnalle on olemassa yhteiset käytännöt ja edellytykset.
Itsearvioinnista käytännön toimintamalliksi
KULTTI-hankkeessa kehitetään pk-yrityksille käytännönläheistä toimintamallia, jonka avulla tunnistetut kyberriskit ja kehittämiskohteet voidaan priorisoida ja viedä konkreettisiksi toimenpiteiksi.
Työn pohjana hyödynnetään aiemmassa Kyberturvaa Satakunnan teollisuuteen (Kytee)-hankkeessa kehitettyä kyberturvallisuuden itsearviointityökalua. KULTTI-hankkeen tavoitteena on viedä tätä työtä askel eteenpäin ja rakentaa itsearvioinnin ympärille toimintamalli, joka tukee yrityksiä myös arvioinnin jälkeen.
Kaikkea ei kuitenkaan tarvitse ratkaista kerralla. Olennaista on tunnistaa liiketoiminnan kannalta merkittävimmät riskit ja kohdentaa kehittämistoimenpiteet sinne, missä niiden vaikutus on suurin. Kyberturvallisuus vaikuttaa liiketoiminnan jatkuvuuteen, toimintavarmuuteen ja kilpailukykyyn, joten sen tulisi näkyä yrityksen johtamisessa, riskienhallinnassa ja päätöksenteossa samalla tavalla kuin muidenkin liiketoimintaan vaikuttavien riskien.
Pilottiyrityksiä etsitään nyt
KULTTI-hanke kutsuu satakuntalaisia pk-yrityksiä eri toimialoilta mukaan kehittämään ja pilotoimaan toimintamallia.
Pilottiyritysten kanssa kartoitetaan kyberturvallisuuden nykytilaa, tunnistetaan keskeisiä kyberriskejä ja kehittämiskohteita sekä etsitään konkreettisia keinoja niiden ratkaisemiseen. Samalla yritysten kokemukset auttavat rakentamaan toimintamallista sellaisen, että se vastaa pk-yritysten todellisiin tarpeisiin ja on hyödynnettävissä käytännön arjessa.
Mukaan lähteminen ei edellytä kyberturvallisuusosaamista. Tärkeintä on kiinnostus oman organisaation kyberturvallisuuden ja tietoturvakulttuurin kehittämiseen.
Kiinnostuitko? Ota yhteyttä ja lähde mukaan KULTTI-hankkeen pilottiyritykseksi.
