Johdanto — konvergentti turvallisuus: fyysinen + kyber
Suomalainen yritys investoi ovien lukkoihin, kameravalvontaan ja kulunvalvontaan suojautuakseen murroilta, ilkivallalta ja luvattomalta pääsyltä. Tänä päivänä nämä järjestelmät ovat kuitenkin verkottuneita — ja juuri siksi ne ovat myös kyberuhkien kohteita.
Fyysisen turvallisuuden ja kyberturvallisuuden raja on hälventynyt peruuttamattomasti. IP-kamerat, pilvipohjaiset kulunvalvontajärjestelmät ja verkkoon kytketyt hälytyskeskukset ovat samassa uhkaympäristössä kuin yrityksen toiminnanohjausjärjestelmä tai sähköposti. Verizon Data Breach Investigations Report 2025 osoitti, että yli 34 prosenttia tietoturvaloukkauksia koskevista tapauksista sisälsi fyysisen turvallisuuskomponentin — joko hyökkäyksen kohteena tai hyökkäyksen välineenä.
Tätä lähestymistapaa, jossa fyysinen ja kyberturvallisuus suunnitellaan ja hallitaan yhtenä kokonaisuutena, kutsutaan konvergenssiksi (converged security). Se ei ole enää valinnainen lähestymistapa — se on välttämätön tosiasia vuoden 2026 uhkaympäristössä.
Tässä artikkelissa käymme läpi, mitkä ovat tyypillisimmät haavoittuvuudet kameravalvonnassa, kulunvalvonnassa ja hälytysjärjestelmissä, millä menetelmillä hyökkääjät niitä hyödyntävät ja mitä konkreettisia toimenpiteitä suomalainen yritys voi tehdä suojautuakseen.
Miksi fyysinen turvallisuus on kyberuhka
Verkkoon kytketty turvallisuusinfrastruktuuri kasvaa vauhdilla
Vielä 2010-luvun alussa kameravalvontajärjestelmä saattoi olla täysin suljettu analoginen kokonaisuus, johon ei ollut minkäänlaista verkkoyhteyttä. Tilanne on muuttunut dramaattisesti: vuonna 2026 arviolta 78 prosenttia kaikista asennettavista valvontakameroista on IP-pohjaisia, ja kulunvalvontajärjestelmistä yli 60 prosenttia kytkeytyy joko paikallisverkkoon tai pilvipalveluun etähallintaa varten.
Kolme keskeistä fyysisen turvallisuuden järjestelmäluokkaa muodostavat erityisen riskin:
IP-kamerat ja videovalvontajärjestelmät (CCTV/VMS) tallentavat ja välittävät videodataa verkon yli. Ne sisältävät sulautetun käyttöjärjestelmän, web-käyttöliittymän ja usein etäkäyttöominaisuuksia.
Kulunvalvontajärjestelmät hallitsevat ovien aukaisuja, kulkuoikeuksia ja henkilöidentifikaatiota. Modernit järjestelmät ovat yhteydessä henkilöstöhallintajärjestelmiin ja tallentavat liikkumisdataa pilvipalveluihin.
Hälytysjärjestelmät lähettävät hälytyksiä verkko- tai GSM-yhteydellä vartiointiliikkeille tai suoraan kiinteistönomistajalle. Niiden etähallintarajapinnat ovat usein heikoiten suojattuja osia koko järjestelmässä.
Yleisimmät hyökkäykset fyysisiin turvallisuusjärjestelmiin
Kamerakaappaus
Kamerakaappaus tarkoittaa luvattoman pääsyn saamista kameran kuvavirtaan tai hallintapaneeliin. Hyökkääjä voi tarkkailla toimitilojen toimintaa reaaliajassa, poistaa tallenteita tai muokata kameran suuntaa. Vuonna 2023 Verkada-tietoturvaloukkaus paljasti, että hyökkääjät olivat päässeet käsiksi yli 150 000 valvontakameran kuvavirtaan globaalisti — mukaan lukien sairaaloiden, vankiloiden ja yritysten toimitilojen kamerat.
Man-in-the-middle (MITM) -hyökkäys
MITM-hyökkäyksessä hyökkääjä asettuu kameran tai kulunvalvontajärjestelmän ja sen hallintapalvelimen väliin. Salaamattomissa yhteyksissä tämä mahdollistaa datan sieppaamisen, muokkaamisen tai väärentämisen.
Firmware-injektio
Haitallinen firmware-päivitys voi tehdä laitteesta hyökkääjän hallitseman — se voi toimia vakoiluvälineenä, verkon sisäisenä hyökkäyspisteenä tai osana botnet-arkkitehtuuria.
DDoS hälytysjärjestelmää vastaan
Palvelunestohyökkäys (Distributed Denial of Service) voidaan kohdistaa hälytysjärjestelmän hallintapalvelimeen tai tietoliikenneinfrastruktuuriin. Käytännön vaikutus: hälytysjärjestelmä ei enää onnistu lähettämään hälytystä vartiointiliikkeelle murron sattuessa.
Kameravalvonnan kyberriskit
IP-kameroiden haavoittuvuudet — Mirai-botnet esimerkkinä
Vuonna 2016 Mirai-haittaohjelma valjasti satoja tuhansia suojaamattomia IoT-laitteita — pääasiassa IP-kameroita ja verkkoreitittimia — massiivisen DDoS-botnetin rakentamiseen. Hyökkäys kaatoi useita suuria verkkopalveluita tunneiksi. Mirai hyödynsi yhtä yksinkertaista haavoittuvuutta: laitteiden oletussalasanoja.
Mirai ei ollut ainutlaatuinen tapaus. Bleeping Computerin raportin mukaan vuonna 2024 havaittiin yli 1,2 miljoonaa uutta IoT-laitteiden infektioyritystä kuukausittain, joista suuri osa kohdistui juuri IP-kameroihin.
Shodan — hakukone hyökkääjille
Shodan on hakukone, joka indeksoi verkkoon kytketyt laitteet niiden avointen porttien, käyttöjärjestelmäversioiden ja bannertietojen perusteella. Hyökkääjä voi etsiä Shodanilla hakusanoilla kuten "netcam", "Hikvision" tai "AXIS" avoimia kamerajärjestelmiä.
Kyberturvallisuusyhtiö Cybernews selvitti vuonna 2023, että yli 80 000 IP-kameraa Euroopassa oli saavutettavissa ilman tunnistautumista. Suomi ei ole poikkeus: Traficomin raporteissa on toistuvasti havaittu suomalaisia yrityskameroita ilman asianmukaisia pääsynhallintakontrolleja.
Oletussalasanat ja UPnP-aukot
Tutkimusten mukaan noin 15 prosenttia IP-kameroista on edelleen käytössä tehtaan oletussalasanoilla — merkkejä kuten “admin/admin”, “root/12345” tai valmistajan mallikohtaisilla vakiotunnuksilla.
UPnP (Universal Plug and Play) on protokolla, jonka avulla laitteet voivat automaattisesti avata portteja reitittimeen ilman käyttäjän toimia — mahdollistaa sen, että sisäverkon kamera voi itse avata itselleen julkisen pääsyn ilman järjestelmänvalvojan tietoa.
Kulunvalvonnan kyberriskit
RFID-kloonaus
RFID-teknologiaa käytetään lähes kaikissa kulkukorteissa ja -avaimissa. Yleisimmät käytössä olevat standardit — erityisesti vanhempi EM4100 ja yleinen Mifare Classic — sisältävät tunnettuja haavoittuvuuksia, joita voidaan hyödyntää edullisilla, alle 50 euron laitteilla.
RFID-kloonauksessa hyökkääjä lukee uhrin kulkukortin tiedot langattomasti lyhyen kantaman RFID-lukijalla — esimerkiksi metrotunnelissa tai hississä — ja kopioi ne tyhjälle kortille. Valmis klooni avaa saman oven kuin alkuperäinen kortti.
Uudemmat standardit kuten Mifare DESFire EV2/EV3 tai SEOS tarjoavat merkittävästi paremman suojan kryptografisella autentikoinnilla.
Wiegand-protokollan heikkoudet
Wiegand on 1970-luvulla kehitetty tiedonsiirtoprotokolla, jota käytetään edelleen laajasti kulkukorttilukijoiden ja ohjauspaneelien välisessä tiedonsiirrossa. Sen ongelma on yksinkertainen: se ei sisällä minkäänlaista salausta tai autentikointia.
Fyysisellä pääsyllä kaapeloinnin läheisyyteen varustettu hyökkääjä voi kytkeä kaapeliin laitteen, joka sieppaa ja toistaa Wiegand-signaalin. Tätä haavoittuvuutta ei voida korjata ohjelmistopäivityksellä — se on sisäänrakennettu protokollan arkkitehtuuriin.
Pilvipohjaiset kulunvalvontajärjestelmät
Pilvipohjaiset järjestelmät tarjoavat selkeitä etuja: etähallinta, automaattiset päivitykset ja integroitavuus muihin järjestelmiin. Keskeisiä riskejä ovat API-haavoittuvuudet pilvipalvelun ja laitteiston välisessä rajapinnassa, API-avainten vuotaminen tai varkaus, toimittajan oman tietoturvatason riittämättömyys.
Hälytysjärjestelmien kyberriskit
Protokollahaavoittuvuudet
Hälytysjärjestelmät käyttävät useita standardoituja viestintäprotokollia — Contact ID, SIA DC-09, Ademco — joista osa on kehitetty aikana, jolloin kyberuhkia ei otettu suunnittelukriteerinä huomioon. Salattu tiedonsiirto hälytysantureiden, hälytyskeskuksen ja vartiointiliikkeen välillä on yhä poikkeus, ei sääntö kaikissa asennuksissa.
GSM-häirintä
Hälytysjärjestelmät, jotka tukeutuvat GSM-yhteyteen hälytyksen lähettämisessä, ovat alttiita GSM-häirinnälle. Vaikka GSM-häirintälaitteiden hallussapito on Suomessa laitonta, laitteet ovat saatavilla verkosta muutamalla sadalla eurolla. Ammattimainen murtovaras voi käyttää häirintälaitetta estääkseen hälytysviestin kulkeutumisen vartiointiliikkeelle.
Tämä on yksi syy, miksi ammattimaiset hälytysjärjestelmät käyttävät nykyisin rinnakkaisia tiedonsiirtoreittejä: GSM, IP-verkko ja tarvittaessa PSTN varmuusyhteytena.
Etähallintaporttien ongelmat
Hälytyskeskusten etähallintarajapinnat ovat tietoturvanäkökulmasta erityisen herkkä alue. Teknikkopääsyä varten avatut portit — Telnet, SSH, HTTPS — jäävät usein auki asennuksen jälkeen, vaikka tarve etähallintaan olisi ohi.
Konvergentti tietoturva-arkkitehtuuri
Konvergentti tietoturva-arkkitehtuuri tarkoittaa lähestymistapaa, jossa fyysinen turvallisuus ja tietoturva suunnitellaan, toteutetaan ja hallitaan yhtenä kokonaisuutena yhteisen hallintamallin alla.
Käytännön tasolla tämä tarkoittaa:
Yhteinen riskienhallintakehikko. Fyysisen turvallisuuden järjestelmät sisällytetään organisaation tietoturvariskien arviointiprosessiin.
Verkkoarkkitehtuurin segmentointi. Fyysisen turvallisuuden laitteet eristetään erilliseen verkko-segmenttiin (security VLAN), josta on tiukat pääsynhallintasäännöt muuhun yritysverkkoon.
Yhteinen lokienhallinta ja SIEM. Kameravalvonnan tapahtumaloki, kulunvalvonnan kulkutapahtumat ja IT-järjestelmien tietoturvaloki kerätään yhteen SIEM-järjestelmään. Tämä mahdollistaa korrelaatioanalyysit: esimerkiksi epänormaalin kulkutapahtuman yhdistäminen samanaikaiseen epäilyttävään verkkoliikenteeseen.
Yhteinen toimittaja-arviointiprosessi. Fyysisen turvallisuuden toimittajat arvioidaan samoilla tietoturvavaatimuksilla kuin IT-toimittajat: toimitusketjun turvallisuus, haavoittuvuuksien hallinta, päivitysten elinkaari.
Käytännön suojatoimet
Seuraavat toimenpiteet on priorisoitu toteutuksen helppouden ja vaikuttavuuden mukaan.
1. Vaihda oletussalasanat heti asennuksessa
Jokainen IP-kamera, kulkukorttilukija, hälytyskeskus ja NVR/DVR-tallennin tulee ottaa käyttöön vahvalla, yksilöllisellä salasanalla. Salasanan tulee olla vähintään 16 merkkiä pitkä, sisältää pieniä ja suuria kirjaimia, numeroita ja erikoismerkkejä.
2. Segmentoi fyysisen turvallisuuden verkko erilleen
Luo erillinen VLAN fyysisen turvallisuuden laitteille. Estä pääsy tähän verkkoon toimistoverkosta ja rajoita liikenne turvallisuuden hallintapalvelimeen. Salli ainoastaan tarvittavat protokollat ja portit palomuurisäännöillä.
3. Poista käytöstä tarpeettomat palvelut
Sammuta laitteesta kaikki käyttämättömät protokollat: UPnP, Telnet, FTP, HTTP (pakota HTTPS), SNMP v1/v2. Sulje kaikki portit, joita ei aktiivisesti käytetä.
4. Pidä firmware ajantasaisena
Luo prosessi, jossa fyysisen turvallisuuden laitteiden firmware-versiot tarkistetaan säännöllisesti valmistajien tietoturvatiedotteita vastaan. Testaa päivitykset ensin yhdellä laitteella ennen laajaa käyttöönottoa.
5. Käytä salattua etähallintaa
Varmista, että kaikkeen etähallintaan käytetään salattuja yhteyksiä: HTTPS hallintakäyttöliittymille, SSH komentorivityökaluille, VPN etäkäytölle. Älä koskaan avaa hallintarajapintoja suoraan julkiseen verkkoon ilman vahvaa autentikointia.
6. Ota käyttöön monivaiheinen tunnistautuminen
Kaikkiin fyysisen turvallisuuden hallintajärjestelmiin tulee vaatia monivaiheinen tunnistautuminen (MFA). Tämä estää kompromissoidun salasanan väärinkäytön.
7. Tarkasta kulkuoikeudet säännöllisesti
Kulunvalvontajärjestelmän käyttöoikeuksia tulee tarkastella vähintään neljännesvuosittain. Poistu nneille tai työsuhteen päättäneille henkilöille tulee poistaa kulkuoikeudet välittömästi.
8. Lokita ja monitoroi aktiivisesti
Kerää ja tallenna lokit kaikista fyysisen turvallisuuden järjestelmistä. Aseta hälytykset poikkeamille: toistuvat epäonnistuneet kirjautumisyritykset, kulkuyritykset lukittuihin tiloihin, hallintajärjestelmän käyttö epätavalliseen aikaan. Lokit tulisi säilyttää vähintään 12 kuukautta.
9. Tee penetraatiotestaus
Suorita fyysisen turvallisuuden järjestelmiin kohdistuva penetraatiotestaus vähintään kerran vuodessa. Sisällytä testiin sekä verkkopohjainen testaus (port scanning, haavoittuvuusarviointi) että fyysinen testaus (RFID-kloonaus, Wiegand-sieppaus).
10. Laadi häiriönhallintasuunnitelma
Dokumentoi selkeä toimintasuunnitelma tilanteelle, jossa fyysinen turvallisuusjärjestelmä vaarantuu. Kenen vastuulla on havaita, reagoida ja raportoida? Miten järjestelmä eristetään ilman, että fyysinen turvallisuus vaarantuu?
Lainsäädäntö ja vaatimustenmukaisuus
NIS2-direktiivi
EU:n NIS2-direktiivi (Network and Information Security Directive 2), joka pantiin täytäntöön Suomessa Kyberturvallisuuslailla (1.4.2024), laajentaa tietoturvavelvoitteiden soveltamisalaa merkittävästi. Direktiivi koskee nyt myös fyysisiä turvallisuusjärjestelmiä, kun ne ovat osa organisaation kriittistä infrastruktuuria.
Laiminlyönnistä voidaan määrätä hallinnollinen sakko, joka voi nousta jopa 10 miljoonaan euroon tai 2 prosenttiin organisaation globaalista vuotuisesta liikevaihdosta — suurempi näistä kahdesta.
GDPR
Yleinen tietosuoja-asetus koskee kameravalvontaa, kun kameroiden keräämä videokuva voi olla henkilötietoa. GDPR:n artiklat 25 (tietosuoja suunnitteluvaiheessa) ja 32 (turvallisuustoimenpiteet) velvoittavat rekisterinpitäjää toteuttamaan asianmukaiset tekniset toimenpiteet henkilötietojen suojaamiseksi.
Tietomurrosta, joka sisältää kameravalvonnan tallenteiden paljastumisen, tulee ilmoittaa tietosuojavaltuutetulle 72 tunnin kuluessa.
Kyberturvallisuuslaki 2024
Suomen Kyberturvallisuuslaki (KTL 2024) tarkentaa NIS2:n velvoitteita kansallisella tasolla. Laissa korostuu myös toimitusketjun turvallisuus: organisaatioiden on arvioitava toimittajiensa tietoturvataso ja sisällytettävä tietoturvavaatimukset sopimuksiin.
Usein kysytyt kysymykset
Voiko kameravalvontaa hakkeroida?
Kyllä, ja se on yleisempää kuin usein ajatellaan. IP-kamerat ovat yksi yleisimmin hakkeroiduista IoT-laiteryhmistä. Hyökkäys voi tapahtua oletussalasanojen, salaamattomien yhteyksien, vanhentuneeen firmware-version tai avointen porttien kautta. Mirai-botnet valjasti vuonna 2016 yli 600 000 IP-kameraa — suurin osa niistä ilman omistajien tietoa.
Miten IP-kamerat suojataan kyberuhkilta?
Tärkeimmät toimenpiteet ovat: vaihda oletussalasana vahvaan yksilölliseen salasanaan heti asennuksessa, päivitä firmware säännöllisesti, poista käytöstä UPnP ja tarpeettomat protokollat, laita kamerat erilliseen VLAN-verkkoon ja käytä HTTPS-yhteyttä kaikkeen hallintaan.
Onko kulunvalvontajärjestelmä kyberriskialtis?
Kyllä, useilla eri tavoilla. Vanhemmat RFID-kortit voidaan kloonata muutamassa sekunnissa edullisilla laitteilla. Wiegand-protokolla, jota käytetään laajalti lukijoiden ja ohjausjärjestelmien välillä, ei sisällä salausta. Pilvipohjaisissa järjestelmissä API-haavoittuvuudet voivat antaa hyökkääjälle pääsyn koko organisaation kulkuoikeuksiin.
Mitä on RFID-kloonaus?
RFID-kloonaus tarkoittaa kulkukortin radiosignaalin kopioimista toiselle kortille niin, että kopio toimii alkuperäisen kortin tavoin. Hyökkääjä tarvitsee vain lyhyen fyysisen läheisyyden uhrin kulkukorttiin — esimerkiksi hissimatkalla. Vanhemmat standardit kuten EM4100 ja Mifare Classic 1K ovat erityisen alttiita tähän. Suojaus: siirry uudempiin kortistandardeihin kuten Mifare DESFire EV3 tai SEOS.
Miten NIS2-direktiivi vaikuttaa fyysiseen turvallisuuteen?
NIS2 velvoittaa keskeisiä ja tärkeitä toimijoita hallitsemaan kyberriskejä kokonaisvaltaisesti, mukaan lukien fyysisiin turvallisuusjärjestelmiin kohdistuvat kyberuhat. Organisaation on dokumentoitava riskienhallintansa, varmistettava toimitusketjun tietoturva ja raportoitava merkittävistä poikkeamista. Fyysistä turvallisuutta ei voi enää käsitellä erillään tietoturvavelvoitteista.
Miten erottelen fyysisen turvallisuusverkon muusta verkosta?
Käytä VLAN-segmentointia. Fyysisen turvallisuuden laitteet — kamerat, NVR-tallentimet, kulunvalvontaohjauspaneelit, hälytyskeskukset — kytketään omaan VLAN-segmenttiinsä. Palomuurisäännöillä rajoitetaan liikenne tähän segmenttiin tiukasti. Toimistoverkosta ei ole suoraa yhteyttä turvallisuusverkkoon.
Mitä Shodan on ja miksi se on ongelma kameroille?
Shodan on hakukone, joka jatkuvasti skannaa koko internetiä ja indeksoi verkkoon kytketyt laitteet. Se sisältää IP-kamerat, teollisuuden ohjausjärjestelmät, reitittimet ja muut IoT-laitteet. Hyökkääjä voi hakea Shodanilla suojaamattomia kameroita maantieteellisesti, valmistajan mukaan tai avointen haavoittuvuuksien perusteella. Shodan on laillinen työkalu, mutta se madaltaa huomattavasti hyökkäyksen kynnystä.
Tarvitaanko erillinen tietoturvasuunnitelma fyysisille turvallisuuslaitteille?
Kyllä, tai vähintään fyysinen turvallisuus tulee integroida osaksi organisaation laajempaa tietoturvasuunnitelmaa. Suunnitelma tulisi sisältää laitteiden inventaario, vastuunjakotaulukko, päivityskäytännöt, pääsynhallintaperiaatteet, häiriönhallintasuunnitelma ja auditointiaikataulu.
Ota yhteyttä — arvioidaan fyysisten turvallisuusjärjestelmienne kyberriskitaso
Security.fi:n asiantuntijat auttavat suomalaisia yrityksiä arvioimaan kameravalvonnan, kulunvalvonnan ja hälytysjärjestelmien kyberturvallisuustason sekä suunnittelemaan tarvittavat suojatoimenpiteet — NIS2-vaatimusten mukaisesti.
Tilaa maksuton lähtötason kartoitus tai kysy lisätietoja palveluistamme.
