IoT-kameroiden kyberturvallisuus Suomessa 2026: NIS2, haavoittuvuudet ja parhaat käytännöt
Valvontakamerat ovat paradoksi: ne parantavat fyysistä turvallisuutta, mutta huonosti suojattuina ne voivat muodostaa merkittävän kyberturvallisuusriskin. Security Eye Finland Oy:n asiantuntijoiden mukaan IoT-kamerat ovat Suomessa kasvava kyberturvallisuushuoli — erityisesti NIS2-direktiivin voimaantulon myötä.
Suomen Kyberturvallisuuskeskus (NCSC-FI) on raportoinut, että IoT-laitteet olivat mukana 38 % kaikista vuonna 2025 raportoiduista tietoturvaloukkauksista suomalaisissa yrityksissä. Valvontakamerat ovat erityinen riskikohde niiden yleisyyden ja tyypillisesti heikon tietoturvan vuoksi.
Yleisimmät IoT-kamerahaavoittuvuudet 2026
CVE-haavoittuvuudet ja niiden vakavuus
CVE (Common Vulnerabilities and Exposures) -tietokanta sisältää julkisia tietoturvahaavoittuvuuksia. Valvontakameroissa on löydetty runsaasti kriittisiä haavoittuvuuksia:
| Haavoittuvuustyyppi | Esiintymistiheys | CVSS-vakavuus (max 10) | Riskin kuvaus |
|---|---|---|---|
| Oletussalasana | Erittäin yleinen (45 %) | 9,8 (Kriittinen) | Avoin pääsy hallintajärjestelmään |
| Vanhentunut laiteohjelmisto | Yleinen (38 %) | 7,5–9,8 (Korkea–Kriittinen) | Tunnettujen haavoittuvuuksien hyväksikäyttö |
| Salattu protokolla puuttuu (HTTP vs HTTPS) | Yleinen (32 %) | 7,5 (Korkea) | Verkkoliikenteen salakuuntelu |
| Heikko autentikointi | Kohtalainen (28 %) | 8,1 (Korkea) | Brute force -hyökkäys |
| Haavoittuva etäyhteys (UPnP, Telnet) | Kohtalainen (22 %) | 9,0 (Kriittinen) | Suora etäpääsy ilman autentikointia |
| RTSP-virta suojaamaton | Kohtalainen (18 %) | 6,5 (Korkea) | Videokuvan sieppaus |
Kiinalaisvalmistajien tietoturvahuolet
Hikvision ja Dahua — kaksi suurinta valvontakameravalmistajaa maailmassa — ovat olleet tietoturvatutkijoiden tarkastelun alla. Yhdysvaltain hallitus on rajoittanut niiden käyttöä turvallisuuskohteissa.
Suositukset Suomessa 2026:
- Julkishallinto ja kriittinen infrastruktuuri: Käytä eurooppalaisia tai japanilaisia/korealaisia valmistajia (Axis, Bosch, Hanwha)
- Pk-yritykset: Hikvision/Dahua hyväksyttävissä, mutta vaatii tiukan verkkoeristyksen
- Ota selvää kulloisenkin valmistajan viimeisimmistä tietoturvatiedotteista ennen hankintaa
NIS2-direktiivin vaatimukset IoT-kameroille
NIS2 lyhyesti
NIS2-direktiivi (EU 2022/2555) tuli voimaan Suomessa 17.10.2024. Se velvoittaa laajemman joukon yrityksiä ja organisaatioita huolehtimaan kyberturvallisuudestaan järjestelmällisesti.
NIS2:n piiriin kuuluvat toimialat (valinta):
- Energia, liikenne, terveydenhuolto, vesi
- Digitaalinen infrastruktuuri, pilvitoimittajat
- Elintarviketeollisuus, kemianteollisuus
- Julkishallinto
IoT-kameroita koskevat NIS2-vaatimukset
| Vaatimus | Toimenpide | Deadline |
|---|---|---|
| Laitekartoitus | Dokumentoi kaikki IoT-laitteet (IP, versio, sijainti) | Välitön |
| Haavoittuvuuksien hallinta | Prosessi laiteohjelmistopäivityksille | 90 päivää |
| Verkkosegmentointi | VLAN-eristys IoT-laitteille | 6 kuukautta |
| Pääsynhallinta | 2FA hallintajärjestelmiin, salasanapolitiikka | 90 päivää |
| Lokienhallinta | Kirjautumisyritykset ja poikkeamat tallennetaan | 6 kuukautta |
| Poikkeamien raportointi | Prosessi 24 h / 72 h raportointivelvoitteille | Välitön |
Security Eye Finland Oy tarjoaa NIS2-vaatimustenmukaisuusauditoinnin, joka kattaa valvontakameroiden kyberturvallisuuden.
Verkkosegmentointi: Käytännön toteutus
VLAN-arkkitehtuuri valvontakameroille
Oikein toteutettu verkkosegmentointi on tehokkain yksittäinen toimenpide IoT-kamerariskien hallintaan. Security.fi suosittelee seuraavaa arkkitehtuuria:
Yritysverkko (VLAN 1)
├── Toimistokoneet, palvelimet
└── Palomuurisäännöt → Estä kaikki liikenne IoT-VLAN:ista
IoT-VLAN (VLAN 100) — Kamerat
├── Kaikki IP-kamerat
├── NVR-tallennin (vain tallennustoiminto)
└── Sallittu liikenne:
├── Kameravalvontapalvelimelle (NVR/VMS) portti 554 (RTSP)
└── Internet → Pilvipalveluun (salattu HTTPS/443)
Hallinta-VLAN (VLAN 200) — Rajoitettu
├── Vain valvontaan oikeutetut työasemat
└── Pääsy NVR:n hallintaliittymäänKäytännön verkkosegmentoinnin toteutusaskeleet
- Kartoita kaikki kameran IP-osoitteet ja laitetyypit
- Luo VLAN kytkimelle ja langattomalle tukiasemalle
- Konfiguroi palomuuri estämään liikenne IoT-VLAN:sta yritysverkkoon
- Siirrä kamerat IoT-VLAN:iin (IP-osoitteiden muutos)
- Testaa eristys — varmista, että kamera ei pingaa yritysverkon koneita
- Dokumentoi konfiguraatio ja tallenna turvallisesti
Kyberturvallisuustarkistuslista IoT-kameroille
Perustason suojaus (kaikki yritykset)
- Oletussalasana vaihdettu jokaisessa kamerassa ja NVR:ssä
- Laiteohjelmisto päivitetty viimeisimpään versioon
- Tarpeettomat palvelut poistettu käytöstä (Telnet, UPnP, ONVIF jos ei tarvita)
- HTTPS/TLS käytössä hallintaliittymässä
- Kameran aikavyöhyke ja NTP-synkronointi asetettu (lokien luotettavuus)
- Porttiohjaus (port forwarding) poistettu reitittimeltä
Korotetun turvallisuuden toimenpiteet
- VLAN-eristys toteutettu
- VPN tai toimittajan suojattu pilviratkaisu etäyhteyksille
- Kirjautumisloki käytössä ja säilytetään 90 päivää
- Kaksivaiheinen tunnistautuminen (2FA) hallintajärjestelmässä
- Automaattinen haavoittuvuusseuranta (CVE-tiedotteet)
- Verkkoliikennemonitorointi poikkeamien havaitsemiseksi
- Vuosittainen tietoturva-auditointi
NIS2-tason vaatimukset
- Laiterekisteri dokumentoitu ja ylläpidetty
- Kirjallinen tietoturvaohjeistus (policy) laadittu
- Henkilöstö koulutettu
- Poikkeamien raportointiprosessi dokumentoitu
- Toimittajan tietojenkäsittelysopimus (DPA) voimassa
- Vuosittainen riskiarviointi tehty
Hinta: Kyberturvallisuusparannusten kustannukset
| Toimenpide | Kustannus (kertaluonteinen) | Kustannus (vuosittainen) | Toteutusaika |
|---|---|---|---|
| Laiteohjelmistopäivitys (10 kameraa) | 250–450 € (asiantuntijatyö) | 150–300 € (ylläpito) | 1–2 pv |
| VLAN-segmentointi (kytkinkonfiguraatio) | 450–1 200 € | — | 0,5–1 pv |
| VPN-yhteyden käyttöönotto | 350–800 € | 120–360 €/v | 0,5 pv |
| NIS2-vaatimustenmukaisuusauditointi | 1 200–3 500 € | 800–1 800 €/v | 2–5 pv |
| Kokonaiskyberturvallisuuspaketti (Security.fi) | 2 500–6 500 € | 800–2 400 €/v | 3–7 pv |
Usein kysytyt kysymykset
Kuinka yleisiä IoT-kamerahaavoittuvuudet ovat Suomessa?
NCSC-FI:n (Kyberturvallisuuskeskus) mukaan IoT-laitteet, mukaan lukien valvontakamerat, ovat toiseksi yleisin kyberhyökkäysten kohde Suomessa vuonna 2025. Arviolta 35–45 % Suomessa käytössä olevista valvontakameroista käyttää oletussalasanoja tai vanhentuneita laiteohjelmistoja, jotka ovat haavoittuvia.
Mitä NIS2-direktiivi vaatii IoT-kameroilta?
NIS2-direktiivin (EU 2022/2555, voimassa Suomessa 17.10.2024) mukaan kyberturvallisuuden hallintamenettelyihin kuuluu IoT-laitteiden tietoturva. Keskeisten ja tärkeiden toimijoiden on dokumentoitava IoT-laitteet, päivitettävä laiteohjelmistot säännöllisesti, segmentoitava verkot ja raportoitava tietoturvaloukkauksista 24 tunnin kuluessa.
Miten suojaan IP-kamerat oletussalasanalta?
Vaihda oletussalasana välittömästi asennuksen yhteydessä. Käytä vähintään 16 merkin satunnaista salasanaa (isot/pienet kirjaimet, numerot, erikoismerkit). Käytä salasananhallintatyökalua. Ota käyttöön kaksivaiheinen tunnistautuminen (2FA) hallintajärjestelmässä. Security.fi:n asentajat vaihtavat oletussalasanat ja dokumentoivat ne turvallisesti jokaisen asennuksen yhteydessä.
Mikä on VLAN-verkkosegmentointi ja miksi se on tärkeää kameroille?
VLAN (Virtual Local Area Network) eristää IoT-kamerat erilliseen verkkosegmenttiin, josta pääsy muihin verkon osiin (toimistokoneisiin, tietokantoihin) on estetty palomuurilla. Jos kamera kompromitoidaan, hyökkääjä ei pääse yritysverkkoon. Security.fi konfiguroi VLAN-eristyksen kaikkiin toimittamiinsa kameravalvontaratkaisuihin.
Pitääkö kameran laiteohjelmisto päivittää ja kuinka usein?
Kyllä, laiteohjelmiston päivittäminen on kriittinen turvallisuustoimenpide. Uudet CVE-haavoittuvuudet julkaistaan jatkuvasti, ja valmistajat julkaisevat korjauksia. Security.fi:n huoltosopimus sisältää automaattisen laiteohjelmiston päivitysseurannan ja päivitysten asennuksen 30 päivän kuluessa kriittisten haavoittuvuuksien korjauksista.
Voiko IP-kamera olla osa botnettiä minun tietämättäni?
Kyllä, tämä on erittäin yleinen riski. Mirai-bottiverkko ja sen variantit ovat hyödyntäneet miljoonia IoT-laitteita maailmanlaajuisesti, mukaan lukien valvontakameroita. Tartunnan merkkejä ovat epätavallinen verkkoliikenne, hidas toiminta ja kameraan kohdistuvat epäonnistuneet kirjautumisyritykset. Security.fi:n verkkomonitorointi tunnistaa tällaiset poikkeamat.
Kannattaako käyttää VPN:ää valvontakameroihin etäyhteyden suojaamiseksi?
Kyllä, VPN on suositeltu tapa suojata etäyhteydet valvontajärjestelmään. Vaihtoehto on käyttää toimittajan pilvipohjaista suojattua etäyhteysratkaisua. Älä koskaan avaa suoria portteja (port forwarding) kameran hallintaliittymään julkisesta internetistä — tämä on yksi yleisimmistä virheistä suomalaisissa yrityksissä.
Yhteenveto
IoT-kameroiden kyberturvallisuus ei ole valinnainen lisä — se on välttämätön osa toimivaa valvontajärjestelmää. NIS2-direktiivi on tuonut uudet juridiset velvoitteet suomalaisille yrityksille, mutta kyberturvallisuuden laiminlyönti oli virhe jo ennen direktiiviä.
Security Eye Finland Oy toimittaa kaikki järjestelmät kyberturvallisina oletuksena: VLAN-eristys, salatut yhteydet, oletussalasanojen vaihto ja laiteohjelmistopäivitykset kuuluvat perustarjontaan. Pyydä kyberturvallisuusauditointi valvontajärjestelmällesi.
