Etusivu › Kyberturvallisuusauditoinnit yrityksille
Yrityksen tietoturvavastaava kysyy, onko palvelussa ympärivuorokautinen valvonta, tehdäänkö tunkeutumistestausta, auttaako toimittaja tietomurron jälkeen ja saako ISO 27001 -työn samalta talolta. Nämä ratkaisevat 50 pistettä sadasta.
SP-pisteet kertovat, miten yritys pärjää vertailumme kriteereillä, asteikolla 0–100. Sijoitusta ei voi ostaa.
Perusmittarit · 53,5
+ Traficomin hyväksymä tietoturvallisuuden arviointilaitos (KPMG IT Sertifiointi Oy), ISO 27001 -sertifiointi virallisesti akkreditoitu
Perusmittarit: 53,5, sija 3 · ▲ 2 sijaa
Perusmittarit · 52,9
+ Ainoa CREST-akkreditoitu toimija poolissa: 'We are CREST accredited', kansainvälinen kyberturvallisuusakkreditointi
Perusmittarit: 52,9, sija 5 · ▲ 3 sijaa
– ISO 27001 -palvelu: ISO 27001 -palvelua ei mainita DNV Cyberin palvelusivuilla eikä sertifiointisivulla.
Perusmittarit · 55,2
+ Kotimainen erikoistunut kyberturvallisuusyhtiö: 'yli 3 000 tietoturvaprojektia', laajin käytännön kokemus poolissa
Perusmittarit: 55,2, sija 2 · ▼ 1 sijaa
Perusmittarit · 53,3
+ NIS2-direktiivi mainitaan korostetusti palvelusivuilla omana palvelualueenaan: 'NIS2:n voimaantulo laajensi kyberturvallisuuden velvoitteet…'
Perusmittarit: 53,3, sija 4 · sama sija
– Apu tietomurron jälkeen: Poikkeama- tai tietomurtopalvelua ei löytynyt CGI:n tietoturvasivulta eikä offensiivisten palveluiden sivulta.
Perusmittarit · 40,2
+ ISO/IEC 27001, NIS2 ja DORA mainitaan eksplisiittisesti samassa lauseessa konsultointipalvelusivulla, ajantasainen sääntely-ymmärrys
Perusmittarit: 40,2, sija 6 · ▲ 1 sijaa
– Tunkeutumistestaus: Tunkeutumistestausta ei mainita Elisan kyberturvapalvelusivulla. Sivulla on konsultointi ja SANS-koulutuksia.
Perusmittarit · 58,4
+ Ensimmäinen FINAS-akkreditoitu ISO/IEC 27001:2022 -sertifiointiorganisaatio Suomessa: 'Kiwa Sertifiointi Oy oli ensimmäinen sertifiointiorganisaatio, joka sai suomalaisen FINASin akkreditoinnin tälle standardille'
Perusmittarit: 58,4, sija 1 · ▼ 5 sijaa
– Jatkuva valvonta: Valvontapalvelua ei mainita Kiwan suomenkielisellä etusivulla, osaamisalueen tietoturva-kuvauksessa eikä NIS2-blogissa.
Painot ovat kiinteät. Kaikki yritykset mitataan samalla asteikolla. Lue koko metodologia.
| Ostomotiivi | Mitä mitataan | Asteikko | Paino |
|---|---|---|---|
| Jatkuva valvonta KYSYMYSValvooko toimittaja ympäristöäni ympäri vuorokauden? | Onko valvontapalvelu (SOC, MDR tai vastaava) listattu, ja luvataanko siinä 24/7. | Valvonta 24/7 = 100, valvontapalvelu ilman 24/7-mainintaa = 60, ei valvontapalvelua julkisilla sivuilla = 0. | 18 p |
| Tunkeutumistestaus KYSYMYSTestaako toimittaja järjestelmäni hyökkääjän tavoin? | Onko tunkeutumistestaus (penetraatiotestaus) listattu palveluksi, ja onko palvelulla ulkopuolisen akkreditointi. | Akkreditoitu (CREST) = 100, palvelu listattu = 70, ei palvelua julkisilla sivuilla = 0. | 14 p |
| Apu tietomurron jälkeen KYSYMYSAuttaako toimittaja, kun murto on jo tapahtunut? | Onko poikkeama- tai tietomurtopalvelu listattu, ja onko sivulla suora päivystysnumero. | Suora päivystysnumero sivulla = 100, palvelu listattu = 60, ei palvelua julkisilla sivuilla = 0. | 10 p |
| ISO 27001 -palvelu KYSYMYSSaanko ISO 27001 -sertifioinnin tai sen käyttöönoton samalta toimittajalta? | Onko ISO 27001 -sertifiointi tai -käyttöönotto listattu palveluksi. | Sertifiointi = 100, käyttöönotto ja sisäiset auditoinnit = 60, ei palvelua julkisilla sivuilla = 0. | 8 p |
| Perusmittarit | Digitaalinen laatu, läpinäkyvyys, tavoitettavuus ja AI-laatuarvio | Perusmittarit × 0,5 | 50 p |
Pisteytimme 6 kyberturvallisuusauditointiyritystä 20 läpinäkyvyysmittarilla. NIS2-direktiivi ja ISO 27001 ovat nostaneet kyberauditointien kysynnän ennätystasolle, vertailimme, kuka kertoo selkeimmin hinnoistaan, palveluvalikoimastaan ja akkreditoinneistaan.
Kyberturvallisuusauditointi selvittää, onko yrityksen tietoturvataso riittävä lakisääteisten vaatimusten ja toimialan riskien näkökulmasta. NIS2-direktiivi (voimassa Suomessa huhtikuusta 2025) velvoittaa kriittisen infrastruktuurin toimijat säännöllisiin riskiarviointeihin ja auditointeihin. ISO 27001 -sertifiointi on kansainvälisesti tunnustettu tietoturvastandardi, jonka Traficom on hyväksynyt viidelle suomalaiselle arviointilaitokselle. Penetraatiotestaus eli eettinen hakkerointi testaa järjestelmien haavoittuvuudet käytännössä. Tässä vertailussa mittasimme kuinka läpinäkyvästi suomalaiset kyberturvallisuusauditointitoimijat kertovat palveluistaan, hinnoittelustaan ja akkreditoinneistaan.
Auditoinnin lähtöhinta tai esimerkkihinta euroina on julkaistu sivustolla (25), ISO 27001 -sertifiointi tai -auditointi on selkeästi tarjolla palvelusivulla (20), NIS2-valmiusarviointi tai -vaatimustenmukaisuusauditointi on mainittu palvelusivulla (20), penetraatiotestaus tai haavoittuvuusanalyysi on mainittu palveluvalikoimassa (15), FINAS-, CREST-, UKAS- tai muu kansainvälinen akkreditointi on julkaistu sivustolla (10), auditoinnin kesto tai toimitusaika on arvioitu sivustolla (5), Y-tunnus on julkaistu verkkosivustolla (alatunniste tai tietoa meistä -sivu) (5)
Läpinäkyvyys on 30 % perusmittareista eli 15 % kokonaispisteistä · nämä mittarit muodostavat siitä 100 pistettä · koko kaava ja muut pilarit
Näin luet vertailun oikein: Puolet pisteistä tulee ostajan kysymyksistä eli asioista, jotka ostaja selvittää ennen päätöstä. Toinen puoli mittaa, kuinka avoimesti yritys julkaisee hintansa, ehtonsa ja yhteystietonsa. Selvät pisteerot kertovat aidosta erosta: toinen kertoo hinnan heti, toinen vasta kirjautumisen jälkeen. Lähekkäisiä pisteitä ei kannata lukea paremmuusjärjestyksenä, sillä jokaisessa mittauksessa on vaihteluväliä. Mittaustarkkuus ja koko laskentakaava on avattu metodologiassa.
Asiakaskokemus tuodaan arvioon erikseen. Keräämme yrityksistä myös asiakaspalautetta ja asiakaskokemuksia erillisillä kyselyillä. Kyselyjen tulokset lisätään kokonaisarvioon myöhemmin.
NIS2 kasvattaa kysyntää. EU:n NIS2-direktiivi tuli voimaan Suomessa huhtikuussa 2025. Kriittisen infrastruktuurin toimijat ovat velvollisia osoittamaan kyberturvallisuutensa tason, mikä on lisännyt auditointipalveluiden kysyntää merkittävästi.
Hintoja harvoin julkisesti. Kyberturvallisuusauditointi on asiantuntijapalvelu, jonka hinta vaihtelee laajuuden ja toimialan mukaan. Useimmat toimijat tarjoavat hinnan vasta tarjouspyynnön jälkeen. Avoimella hinnoittelulla erottuu helposti kilpailijoista.
Akkreditointi takaa laadun. Traficom hyväksyy tietoturvallisuuden arviointilaitoksia (TVAL). Akkreditoitu laitos on osoittanut pätevyytensä riippumattomalle arvioijalle, mikä on erityisen tärkeää viranomaisvaatimusten täyttämisessä.
Jokainen yritys mitataan samalla julkisella kaavalla: puolet pisteistä tulee ostajan kysymyksistä ja puolet perusmittareista, joissa on neljä pilaria: tekninen laatu, läpinäkyvyys, tavoitettavuus ja AI-laatuarvio. Sijoitusta ei voi ostaa, ja jokaisen pisteen alkuperän näet yrityksen profiilista. Lue koko metodologia →
ISO 27001 -sertifiointi tarkistaa, onko organisaatiolla dokumentoitu ja toimiva tietoturvallisuuden hallintajärjestelmä. Penetraatiotestaus testaa yksittäisten järjestelmien ja sovellusten teknistä haavoittuvuutta käytännössä. Molempia tarvitaan kattavaan kyberturvallisuuteen.
Jos yrityksesi kuuluu NIS2-direktiivin piiriin (kriittinen infrastruktuuri, digitaaliset palvelut ym.), sinun on toteutettava riskiarvioinnit ja turvallisuustoimenpiteet lain vaatimalla tavalla. Varsinainen ulkoinen auditointi ei ole kaikille pakollinen, mutta on käytännön tapa osoittaa vaatimustenmukaisuus.
FINAS on Suomen kansallinen akkreditointielin, joka arvioi sertifiointilaitosten pätevyyden. FINAS-akkreditoitu ISO 27001 -sertifiointi on kansainvälisesti tunnustettu EA MLA -sopimuksen kautta, mikä on tärkeää mm. julkisissa hankinnoissa ja kansainvälisessä liiketoiminnassa.
Maksuton esianalyysi näyttää jokaisen kohdan, josta yrityksesi menettää pisteitä, ja mille sijalle sen korjaaminen riittää. Maksullinen analyysi kertoo, mitkä kohdat ovat ja miten ne korjataan.
Eikö yrityksesi löydy listalta, vaikka sen pitäisi olla siellä? Ota yhteyttä, niin otamme yrityksesi mukaan seuraavaan mittauskierrokseen.
Katso maksuton esianalyysi Sijoitusta ei voi ostaa. Analyysi kertoo miten se ansaitaan.