Johdanto — miksi älyrakennus on uusi tietoturvariski
Suomalaiset toimistot, teollisuushallit ja julkiset kiinteistöt muuttuvat nopeaa tahtia älyrakennuksiksi. Ilmastointi säätää itsensä automaattisesti, kulunvalvonta kirjaa liikkeet reaaliajassa ja valaistus reagoi auringonlaskuun sensorien kautta. Rakennusautomaatio alentaa energiakuluja, parantaa käyttömukavuutta ja tuo kiinteistönomistajille mitattavia hyötyjä — se on kiistaton tosiasia.
Samalla rakennukseen on kytketty satoja tai jopa tuhansia verkkoon yhteydessä olevia laitteita, joista jokainen on potentiaalinen sisäänpääsypiste hyökkääjälle. Kansainvälisen tietoturvayhtiö Palo Alto Networksin tutkimuksen mukaan 98 % IoT-laitteista lähettää liikennettä salaamattomana, ja samaa havaintoa tukee Euroopan kyberturvallisuusviraston ENISAn raportti vuodelta 2025: rakennusautomaation laitteet ovat nousseet yhdeksi nopeimmin kasvavista kyberrikollisten kohteista.
Tässä oppaassa käymme läpi, mistä älyrakennuksen IoT-riskit syntyvät, mitkä ovat niiden liiketoiminnalliset seuraukset ja miten kiinteistönomistaja tai rakennuttaja voi rakentaa kestävän tietoturva-arkkitehtuurin.
IoT-laitteiden ekosysteemi älyrakennuksessa
Älyrakennuksen IoT-ekosysteemi on laaja ja heterogeeninen. Ymmärtääkseen turvallisuusriskit on ensin hahmotettava, mistä järjestelmistä rakennus koostuu.
HVAC-järjestelmät (lämmitys, ilmanvaihto ja jäähdytys)
HVAC-laitteet ovat tyypillisesti kytketty rakennusautomaatiojärjestelmään (BAS), joka kommunikoi BACnet- tai Modbus-protokollien kautta. Nämä laitteet kontrolloivat sisäilman lämpötilaa, hiilidioksidipitoisuutta ja kosteutusta. Yhdessä keskikokoisessa toimistokiinteistössä voi olla 50–200 erillistä HVAC-anturia ja toimilaitetta.
Kulunvalvontajärjestelmät
Kortinlukijat, biometriset tunnistimet ja älylukolliset ovet kommunikoivat keskusjärjestelmän kanssa verkkoyhteydellä. Nämä laitteet tallentavat henkilötietoja — kulkuhistoriaa, aikatietoja, biometrisiä tunnisteita — ja ovat siksi erityisen herkkiä GDPR-näkökulmasta.
Kameravalvonta (CCTV ja IP-kamerat)
IP-kamerat ovat yksi yleisimmistä IoT-haavoittuvuuksien lähteistä. Shodan-hakukoneen tilastojen mukaan verkossa näkyy jatkuvasti kymmeniä tuhansia suojaamattomia IP-kameroita Euroopassa, huomattava osa Suomessa. Kamerat tallentavat käyttäytymisdataa ja voivat sisältää kasvojentunnistustoimintoja.
Valaistuksen ohjausjärjestelmät
Älyvalaistus hyödyntää useimmiten Zigbee- tai Z-Wave-protokollaa tai IP-pohjaista DALI-2-väylää. Vaikka valaistus saattaa tuntua vähäriskiseltä, se on kytketty samaan verkkosegmenttiin muiden laitteiden kanssa, jolloin kompromissoitu valaistuslaite voi toimia jalansijana kriittisempiin järjestelmiin.
Energianhallinta ja mittausjärjestelmät
Älymittarit ja energianhallintajärjestelmät (EMS) raportoivat kulutustietoja reaaliajassa ja mahdollistavat kuormanohjauksen. Ne kommunikoivat usein suoraan sähköverkkoihin tai energiayhtiöiden järjestelmiin, mikä tekee niistä erityisen kriittisiä kohteita.
Anturit ja IoT-reuna-alustat
Liike-, lämpötila-, kosteus- ja hiilidioksidianturit tuottavat jatkuvaa datavirtaa rakennusautomaation ohjaamiseksi. Yksittäinen anturi on sinällään pieniriskinen, mutta anturiverkosto muodostaa laajan hyökkäyspinnan.
Yleisimmät IoT-haavoittuvuudet 2026
1. Oletussalasanat — edelleen yleisin yksittäinen ongelma
Vaikka ongelma on ollut tiedossa yli vuosikymmenen, 85 % IoT-laitteista toimii edelleen tehdasasetetuilla oletussalasanoilla tai ei vaadi tunnistautumista lainkaan (Forescout Technologies, 2025). Hyökkääjä voi löytää laitteen Shodan-hakukoneen avulla minuuteissa ja kirjautua sisään valmistajan dokumentaatiosta löytyvällä oletussalasanalla.
Rakennusautomaation toimittajat asentavat laitteet usein nopeasti projektinluovutuksen yhteydessä, ja salasananvaihto jää kiireessä tekemättä. Vuosien päästä kukaan ei enää muista, mitkä laitteet on suojattu ja mitkä ei.
2. Päivittämättömät laiteohjelmistot (firmware)
Rakennusautomaation laitteille ei tyypillisesti ole olemassa keskitettyä päivityshallintaa. ENISAn vuoden 2025 raportin mukaan 67 % teollisuuden IoT-laitteista ajaa vähintään kolme vuotta vanhaa firmware-versiota. Vanhentunut firmware sisältää tunnettuja haavoittuvuuksia, joihin on olemassa julkisia hyödynnettäviä (exploit). Rakennusautomaation laitevalmistajat julkaisevat päivityksiä hitaasti, ja kiinteistönomistajat eivät aina edes tiedä, mitä laitteita heillä on tai mitkä versiot niissä pyörivät.
3. Suojaamattomat protokollat — BACnet, Modbus ja Zigbee
BACnet (Building Automation and Control Networks) on rakennusautomaation yleisin protokolla. BACnet/IP ei sisällä natiivisti vahvaa autentikointia eikä salausta — se on suunniteltu suljettuihin sisäverkkoihin aikana, jolloin laitteet eivät olleet yhteydessä internetiin. Nykyään BACnet-laitteet löytyvät yhä useammin suoraan verkosta.
Modbus on vieläkin vanhempi teollisuusprotokolla, jossa ei ole lainkaan autentikointia. Kuka tahansa verkkoon pääsevä voi lähettää Modbus-komentoja ja ohjata esimerkiksi pumppuja, venttiileitä tai hissejä.
Zigbee on langaton mesh-verkkoprotokolla, jota käytetään laajalti anturiverkostoissa ja älyvalaistuksessa. Zigbee-verkon kaappaaminen on mahdollista erityisesti vanhemmissa ZigBee 1.2 -toteutuksissa, joissa avaustenhallinta on puutteellista.
4. Suojaamaton etähallinta ja pilvipalveluliitännät
Monet rakennusautomaation toimittajat tarjoavat pilvipalvelupohjaisen etähallinnan, joka mahdollistaa laitteiden konfiguroinnin mistä tahansa. Tämä on kätevää huollolle, mutta luo myös suoran kanavan ulkopuolelta rakennuksen sisäverkkoon. Jos pilvipalvelun tunnistautuminen on heikko tai API-avaimet on kovakoodattu laitteisiin, koko rakennus on alttiina etähyökkäykselle.
5. Verkkoliikenteen puutteellinen monitorointi
Älyrakennuksissa on usein satoja verkkolaitteita, mutta verkonvalvonta on mitoitettu IT-ympäristöä varten. OT/IoT-laitteet generovat omanlaistaan liikennettä, ja poikkeamien tunnistaminen edellyttää erikoistunutta valvontaa. Ilman jatkuvaa liikennemonitorointia kompromissoitu laite voi toimia kuukausia tai vuosia havaitsematta.
Riskit liiketoiminnalle
Tietovuodot ja henkilötietojen menetys
Kulunvalvontajärjestelmät ja IP-kamerat käsittelevät henkilötietoja, mukaan lukien biometrisiä tietoja. Tietovuoto voi paljastaa satojen tai tuhansien henkilöiden kulkuhistorian, aikatiedot ja mahdollisesti kasvodata. GDPR:n nojalla tietovuodosta on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa, ja maksimisakko on 4 % vuotuisesta globaalista liikevaihdosta tai 20 miljoonaa euroa.
Kiristyshaittaohjelmat rakennusautomaatiossa
Rakennusautomaation laitteet ovat nousseet kiristyshaittaohjelmien kohteiksi. Vuonna 2024 useita eurooppalaisia sairaaloita ja toimistokiinteistöjä kohtasi hyökkäys, jossa HVAC-järjestelmä tai kulunvalvonta otettiin panttivangiksiksi. Toiminnan keskeytys maksaa suomalaiselle yritykselle keskimäärin 87 000–240 000 euroa päivässä (Statista, 2025), ennen kuin lunnaat edes otetaan huomioon.
Fyysinen turvallisuusriski
Digitaalinen hyökkäys voi johtaa konkreettiseen fyysiseen vaaraan: ovet voidaan avata tai lukita etänä, sprinkleri- tai palohälytysjärjestelmät voidaan häiritä, tai rakennuksen lämpötilaa voidaan manipuloida palvelinhuoneen tai laboratorion vaurioittamiseksi. Vuonna 2023 Euroopassa dokumentoitiin tapaus, jossa toimistokiinteistön HVAC-järjestelmän kaappaaminen johti palvelinhuoneen ylikuumenemiseen ja merkittäviin laitevaurioihin.
GDPR-rikkomukset ja vaatimustenmukaisuuden menetys
Älyrakennuksen IoT-laitteet keräävät henkilötietoja usein tavoin, joista kiinteistön käyttäjät eivät ole tietoisia. GDPR edellyttää, että henkilötietoja kerätään vain tarpeellinen määrä, tiedot suojataan asianmukaisesti ja käyttäjille annetaan selkeä informaatio tietojen käytöstä. Puutteellinen IoT-tietoturva on suoraan yhteydessä vaatimustenmukaisuusriskiin.
Ratkaisut ja parhaat käytännöt
1. Verkkojen segmentointi ja VLAN-arkkitehtuuri
Tärkein yksittäinen toimenpide on eristää IoT-laitteet omaan verkkosegmenttiinsä. Jokainen laiteryhmä — HVAC, kulunvalvonta, kamerat, valaistus — tulisi sijoittaa erilliseen VLAN:iin, jolla on tiukat palomuurisäännöt. Laitteiden ei tulisi pystyä kommunikoimaan keskenään tai IT-verkon kanssa ilman eksplisiittistä sallintaa.
Segmentoinnilla rajoitetaan lateraalista liikkumista: vaikka hyökkääjä pääsisi yhteen laitteeseen, hän ei automaattisesti pääse käsiksi muihin järjestelmiin.
2. Zero-trust-arkkitehtuuri IoT-ympäristössä
Zero-trust-malli tarkoittaa, että yksikään laite tai käyttäjä ei ole oletusarvoisesti luotettu — ei edes sisäverkossa. Jokainen yhteys pitää todentaa, auktorisoida ja kirjata. Älyrakennuksessa tämä tarkoittaa:
- Laitteiden tunnistautuminen sertifikaateilla tai vahvoilla API-avaimilla oletussalasanojen sijaan
- Mikrosegmentointi niin, että HVAC-laite ei kommunikoi kulunvalvontajärjestelmän kanssa ilman eksplisiittistä lupaa
- Jatkuva verifikaatio — laite ei ole luotettu vain siksi, että se on ollut verkossa aiemmin
3. Salaus kaikkialle
Kaikki IoT-laitteiden välinen liikenne tulisi salata. Vanhoissa BACnet/IP- tai Modbus/TCP-toteutuksissa tämä edellyttää VPN-tunnelin tai TLS-välityspalvelimen käyttöä laitteiden edessä. Uusissa asennuksissa on syytä valita laitteistot, jotka tukevat natiivisti salattua kommunikaatiota (BACnet Secure Connect, Modbus/TLS).
4. IoT-tietoturvaauditointi
Jokaisen älyrakennuksen tulisi käydä läpi säännöllinen IoT-tietoturvaauditointi. Auditoinnissa kartoitetaan kaikki verkkoon kytketyt laitteet, arvioidaan niiden konfiguraatio, firmware-versiot ja verkkoliikenteen profiilit. Suositellaan vähintään vuosittaista auditointia ja aina rakennusautomaation merkittävien muutosten yhteydessä.
Auditointi paljastaa tyypillisesti laitteiden, joiden olemassaolosta kiinteistönomistaja ei ole edes tietoinen — niin kutsuttua shadow IT:tä OT-ympäristössä.
5. Jatkuva valvonta ja poikkeamien tunnistaminen
Staattinen konfiguraatio ei riitä — tarvitaan jatkuva verkonvalvonta, joka tunnistaa poikkeavat liikennemallit reaaliajassa. Erikoistuneet IoT/OT-valvontaratkaisut (esim. Claroty, Nozomi Networks tai Dragos) osaavat tunnistaa BACnet-, Modbus- ja Zigbee-liikenteen anomaliat ja hälyttää tietoturvatiimille ennen kuin vahinko ehtii laajentua.
Tavoitteena on pitää MTTD (Mean Time to Detect) alle 4 tunnissa — teollisuuden keskiarvo on tällä hetkellä vielä yli 200 tuntia.
6. Laitehallinta ja firmware-päivitysprosessi
Kaikki IoT-laitteet on inventoitava ja liitettävä hallittuun päivitysprosessiin. Firmware-päivitykset tulee testata ensin erillisessä ympäristössä ja ottaa käyttöön hallitusti. Jos laitevalmistaja ei enää julkaise päivityksiä (End of Life), laite on suunnitelmallisesti korvattava.
Miten rakennuttaja tai kiinteistönomistaja voi suojautua — käytännön askeleet
IoT-tietoturva ei ole yksittäinen projekti vaan jatkuva prosessi. Seuraavat askeleet antavat konkreettisen lähtökohdan.
Vaihe 1: Inventointi — tiedä mitä omistat Kartoita kaikki verkkoon kytketyt laitteet, mukaan lukien rakennusautomaation laitteet, joita IT-osasto ei yleensä hallinnoi. Käytä verkkoskannausta tai erikoistunutta IoT-löydöstä (asset discovery). Ilman inventointia tietoturvaa ei voi hallita.
Vaihe 2: Vaihda oletussalasanat välittömästi Jokainen laite, jolla on verkkoyhteys, tulee varustaa vahvalla, yksilöllisellä salasanalla. Tämä koskee myös laitteita, jotka sijaitsevat “suojatussa” sisäverkossa — sisäverkko ei ole enää turvallinen perimeter.
Vaihe 3: Segmentoi verkko Toteuta VLAN-pohjainen segmentointi niin, että IoT-laitteet eivät ole suorassa yhteydessä toimisto-IT:hen tai internetiin ilman palomuurisuodatusta.
Vaihe 4: Päivitä firmware ja poista tarpeettomat ominaisuudet Tarkista kaikkien laitteiden firmware-versiot ja päivitä ne viimeisimpään tuettuun versioon. Poista käytöstä protokollat ja portit, joita ei tarvita (esim. Telnet, FTP, avoimet hallintaportit).
Vaihe 5: Ota käyttöön jatkuva valvonta Hanki tai tilaa verkonvalvontaratkaisu, joka kattaa myös OT/IoT-laitteet. Varmista, että hälytyksiin reagoidaan sovituissa vasteajoissa.
Vaihe 6: Kouluta henkilöstö ja toimittajat Rakennusautomaation toimittajat ja huoltohenkilöstö ovat usein heikoin lenkki: he tarvitsevat pääsyn laitteisiin, mutta heidän omia laitteitaan tai työskentelytapojaan ei aina valvota. Määrittele selkeät tietoturvavaatimukset kaikille toimittajille ja kirjaa ne sopimuksiin.
Vaihe 7: Teetä säännöllinen auditointi Vuosittainen IoT-tietoturvaauditointi ulkopuolisen asiantuntijan toimesta paljastaa puutteet, joita sisäinen organisaatio ei tunnista. Auditoinnin tulokset toimivat myös vakuutusyhtiöille ja mahdollisille asiakkaille osoituksena due diligencestä.
Usein kysytyt kysymykset
Mitä IoT tarkoittaa älyrakennuksessa?
IoT (Internet of Things, esineiden internet) tarkoittaa älyrakennuksessa kaikkia verkkoon kytkettyjä laitteita, jotka keräävät dataa tai ohjaavat rakennuksen toimintoja automaattisesti. Näitä ovat muun muassa HVAC-anturit, IP-kamerat, kulunvalvontalaitteet, älylukolliset ovet, valaistuksen ohjainlaitteet, energiamittarit ja ympäristöanturit. Älyrakennuksessa IoT-laitteiden määrä voi vaihdella kymmenistä jopa tuhansiin kiinteistön koon mukaan.
Mitkä ovat yleisimmät IoT-haavoittuvuudet kiinteistöissä?
Yleisimmät haavoittuvuudet ovat oletussalasanat (85 % laitteista), päivittämättömät laiteohjelmistot (firmware), suojaamattomat protokollat kuten BACnet ja Modbus, puutteellinen verkkojen segmentointi, avoimet etähallintaportit ja salaamattomat pilvipalveluliitännät. Usein ongelma ei ole yhden laitteen haavoittuvuus vaan se, että kompromissoitu laite pääsee liikkumaan vapaasti muuhun verkkoon.
Miten IoT-laitteet segmentoidaan turvallisesti?
Turvallisin tapa on VLAN-pohjainen segmentointi, jossa jokainen laiteryhmä (HVAC, kamerat, kulunvalvonta, valaistus) sijoitetaan omaan verkkosegmenttiinsä. Segmenttien välinen liikenne kulkee palomuurin läpi, joka sallii vain eksplisiittisesti määritellyt yhteydet. IoT-laitteilta tulee estää suora pääsy toimisto-IT-verkkoon ja internetiin, ellei sille ole perusteltua syytä. Segmentointi rajaa vahingon, jos laite kompromissoituu.
Tarvitaanko erillinen IoT-tietoturva-auditointi?
Kyllä. Perinteinen IT-tietoturva-auditointi ei kata rakennusautomaation OT-protokollia (BACnet, Modbus, Zigbee) eikä tunnista laitteiden erityispiirteitä. IoT-tietoturva-auditointi kartoittaa kaikki verkkoon kytketyt laitteet, arvioi niiden konfiguraatiot ja tunnistaa haavoittuvuudet, jotka jäisivät tavallisessa tietoturva-auditoinnissa piiloon. Suositellaan vuosittaista auditointia ja aina merkittävien järjestelmämuutosten yhteydessä.
Mitä BACnet- ja Modbus-protokollien tietoturvariskit ovat?
BACnet/IP ja Modbus/TCP ovat suunniteltu suljettuihin teollisuusverkkoihin, eikä niissä ole alun perin vahvaa autentikointia tai salausta. Internetiin tai huonosti suojattuun sisäverkkoon joutunut BACnet-laite voi paljastaa rakennuksen automaatiokomennot kaikille verkon käyttäjille. Modbus on vielä avoimempi: sen kautta voidaan ilman tunnistautumista ohjata fyysisiä toimilaitteita. Ratkaisu on sijoittaa nämä laitteet suojattuun verkkosegmenttiin ja käyttää protokollagatewayja tai VPN-tunnelia, joka lisää salauksen ja autentikoinnin.
Miten GDPR vaikuttaa älyrakennuksen IoT:iin?
GDPR koskee kaikkea henkilötietojen käsittelyä. Älyrakennuksessa tämä tarkoittaa kulunvalvonnan lokitietoja, IP-kameroiden kuvamateriaalia, biometrisiä tunnisteita ja käyttäytymisdataa. Kiinteistönomistajan on dokumentoitava, mitä henkilötietoja kerätään, mihin niitä käytetään ja miten ne suojataan. Tietovuodon sattuessa on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa. Puutteellinen IoT-tietoturva on GDPR-rikkomus, josta voi seurata merkittäviä sanktioita.
Kuinka usein IoT-laitteiden firmware pitää päivittää?
Firmware tulisi päivittää aina, kun laitevalmistaja julkaisee tietoturvapäivityksen — teollisuuden suositus on tarkistaa saatavilla olevat päivitykset vähintään neljännesvuosittain. Kriittisten haavoittuvuuksien (CVSS-pistemäärä 7,0 tai yli) kohdalla päivitys tulisi tehdä 30 päivän kuluessa julkaisusta. Jos laitevalmistaja ei enää julkaise päivityksiä (End of Life -laite), se tulisi korvata tuetulla laitteella viimeistään 12 kuukauden kuluessa EOL-ilmoituksesta.
Mitä tarkoittaa zero-trust älyrakennuksessa?
Zero-trust on tietoturva-arkkitehtuuri, jossa mikään laite, käyttäjä tai yhteys ei ole oletusarvoisesti luotettu — ei edes sisäverkossa. Älyrakennuksessa tämä tarkoittaa, että HVAC-laite ei automaattisesti luota kulunvalvontalaitteeseen vain siksi, että ne ovat samassa rakennuksessa tai verkossa. Jokainen yhteys todentaan, auktorisoidaan ja kirjataan. Zero-trust vähentää merkittävästi lateraalisen liikkumisen riskiä: vaikka hyökkääjä pääsisi yhteen laitteeseen, hän ei automaattisesti pääse käsiksi muuhun infrastruktuuriin.
Aloita älyrakennuksesi IoT-tietoturvan kartoitus tänään
IoT-turvallisuuden rakentaminen älyrakennukseen ei edellytä kaikkien järjestelmien uusimista — se alkaa kartoituksesta, segmentoinnista ja jatkuvasta valvonnasta. Security.fi auttaa kiinteistönomistajia ja rakennuttajia tunnistamaan IoT-riskit, suunnittelemaan turvallisen arkkitehtuurin ja toteuttamaan auditoinnin, joka kattaa sekä IT- että OT-ympäristön.
Ota yhteyttä ja pyydä maksuton IoT-tietoturvan lähtötilakartoitus.
