Pankkien ja rahoituslaitosten turvallisuusjärjestelmät Suomessa 2026
Rahoituslaitokset ovat erityiskohteita turvallisuussuunnittelun näkökulmasta. Niissä yhdistyvät käteisvarojen fyysinen suojaus, henkilöturvallisuus, kyberturvallisuus ja tiukka viranomaisvalvonta. Pankkiturvallisuus ei ole pelkkä teknologiakysymys — se on lakisääteinen velvollisuus, vakuutusehtojen edellytys ja asiakasluottamuksen perusta.
Tässä oppaassa käymme läpi Suomessa toimivien rahoituslaitosten turvallisuusjärjestelmien viitekehyksen: mitä lainsäädäntö ja viranomaiset vaativat, mitä teknologioita käytetään ja miten järjestelmä suunnitellaan.
Lainsäädäntö ja viranomaisvaatimukset
Finanssivalvonnan (Fiva) määräykset
Finanssivalvonta valvoo Suomessa luottolaitoksia, sijoituspalveluyrityksiä ja vakuutusyhtiöitä. Turvallisuuden osalta keskeisiä ovat:
- Luottolaitoslaki (610/2014) — edellyttää riittäviä sisäisiä valvontajärjestelmiä
- EBA:n ohjeet (EBA/GL/2021/04) — ICT- ja turvallisuusriskien hallinta, sisältää fyysisen turvallisuuden näkökulman
- PSD2-direktiivi (2015/2366/EU) — maksupalveluiden turvallisuusvaatimukset
Käytännössä tämä tarkoittaa, että pankeilla on oltava dokumentoitu turvallisuussuunnitelma, säännölliset turvallisuusauditoinnit ja poikkeamien raportointi Fivalle viipymättä.
PCI DSS — maksukorttidatan suojaus
Payment Card Industry Data Security Standard on alan itsesääntelystandardi, jota Visa ja Mastercard edellyttävät kaikilta toimijoilta, jotka käsittelevät maksukorttidata. Fyysisen turvallisuuden osalta PCI DSS vaatii:
- CCTV-valvontaa kaikkiin kortinlukijatiloihin
- Kulunvalvontaa datakeskuksiin ja palvelinhuoneisiin
- Vierailijoiden rekisteröintiä ja valvontaa
- Fyysisten tallennusmedioiden (kassettien, paperitulostusten) turvallista käsittelyä
Kameravalvonta pankeissa: Tekniset vaatimukset
Resoluutio ja kattavuus
Pankkien kameravalvonnassa ei riitä pelkkä läsnäolon havaitseminen — kuvasta pitää pystyä tunnistamaan henkilö, lukemaan kasvot ja todentamaan tapahtumat rikostutkinnan tarpeisiin.
Kassakone ja palvelupiste:
- Vähintään 1080p (Full HD), suositus 4K
- Kasvokuva koko kuvassa: vähintään 50 px/m vaatimus, käytännössä 100–200 px/m
- Riittävä valaistus (automaattinen tason säätö)
- Kaksi kamerakulmaa: kasvoista ja asiakkaan käsistä
Sisäänkäynti:
- Kokovartalokuva
- Tunnistettavuus myös myssyt/aurinkolasit päässä (lämpökameravaihtoehtona)
- Liikekamera yhdistettynä ovikontaktiin (laukaisee korkearesoluutiotallennuksen)
Holvi ja kassakaappi:
- Erillinen kamera holvin suuntaan
- Liikkeentunnistus ja tallennuslaukaisin
ATM-alue:
- Sisäinen kamera (ATM-laitteeseen integroitu) kasvotunnistukseen
- Ulkinen valvontakamera ATM:n toiminta-alueelle
- Valaistusvaatimus: vähintään 50 lux laitteen edessä
Tallennus ja säilytys
Rahoituslaitosten tallennusaika:
| Tila | Suositeltu aika | Lain vaatimus |
|---|---|---|
| Palvelupisteet | 90 päivää | 30 päivää (GDPR minimi) |
| ATM-alueet | 90 päivää | 30 päivää |
| Holvi/kassatilat | 180 päivää | ei erityisvaatimusta |
| Ulkoalueet | 30 päivää | GDPR: minimi |
Rahoituslaitoksilla tallennus on usein pidempi, koska rikostutkinnat voivat käynnistyä vasta kuukausia tapauksen jälkeen. Pitkä säilytysaika on perusteltu myös vakuutusyhtiöiden näkökulmasta.
GDPR ja kameravalvonta pankeissa
Pankeissa GDPR-vaatimukset ovat samat kuin muissakin yrityksissä, mutta lisähaasteita tuovat:
- Asiakkaiden oikeudet: asiakas voi pyytää itseään koskevia tallenteita — prosessi on oltava dokumentoitu
- Tarpeellisuusperiaate: kameravalvonta pitää perustella; ei kameraa esim. wc-tiloihin
- Tiedottaminen: näkyvät kyltit, rekisteriseloste nähtäville
Kulunvalvonta: Pankin eri vyöhykkeet
Pankki jaetaan turvallisuussuunnittelussa selkeisiin vyöhykkeisiin:
Vyöhyke 1: Julkinen alue
- Asiakaspalvelutila, automaattipankki (ATM)
- Avoin yleisölle ilman tunnistautumista
- Kameravalvonta kattavasti
Vyöhyke 2: Henkilöstöalue
- Toimistohuoneet, taukohuone, arkistot
- Kulunvalvontakortti (proximity tai smartcard)
- Työajanseuranta integroitu
Vyöhyke 3: Rajoitettu alue
- Holvitila, kassakaappihuone, IT-palvelinhuone
- Biometrinen tunnistus suositus (sormen- tai kämmenjälki)
- Kaksoistunnistus (kortti + PIN)
- Kameravalvonta kaikkiin sisääntuloihin
Vyöhyke 4: Korkein turvaluokka
- Rahan laskentahuone, primääriholvi
- Kahden henkilön sääntö (two-man rule): ei saa mennä yksin
- Erillinen valvontakamera, joka tallentaa koko ajan
- Pääsy kirjataan, tunnistus biometrinen
ATM-turvallisuusjärjestelmät
Fyysinen suojaus
Moderneissa ATM:ssä käytetään seuraavia fyysisiä turvaominaisuuksia:
Runkosuojaus:
- Hitsattu teräsrunko (>4 mm paksuus)
- Ankkurointi lattiaan tai seinään (kemiallinen ankkuri)
- Murronkestoluokitus EN 1143-2 tai vastaava
Värimerkintäjärjestelmä (Dye Pack / Smart Ink):
- Kasseteissa on paineistettuja värikapseleja
- Luvaton irrotus tai vääränlainen käsittely laukaisee värimerkinnän
- Rahoja ei voi käyttää — ne ovat selvästi merkittyjä
- Myös kaasuun perustuva IBNS (Intelligent Banknote Neutralisation System) -tekniikka
Tärinäilmaisimet:
- Havaitsevat kulmahiomakoneen tai porauslaitteen tärinän
- Laukaisevat välittömästi hälytyksen
Lämminilmaiskaisin (kaarileikkuri):
- Havaitsee kaasukaarileikkurin tai plasmaleikkurin käytön
- Perustuu lämpösäteilyn tunnistamiseen
ATM-turvallisuus käytännössä: ns. ATM ramming
ATM ramming (auton käyttäminen ATM:n murtamiseen) on yleistynyt menetelmä Euroopassa. Suojaustoimenpiteet:
- Betoniporsaat (bollard) ATM:n eteen — estää ajoneuvojen pääsyn
- Maahan ankkuroitu runko — ATM:ä ei pysty vetämään ajoneuvoilla
- Hälytyskeskusintegraatio: tärinä laukaisee 60 sekunnin sisällä poliisikutsun
- GPS-seuraus: jos ATM irtoaa, seurantalaite aktivoituu
Holviturvallisuus
EN 1143-1 Luokitusjärjestelmä
Eurooppalainen standardi EN 1143-1 luokittelee holvit murronkestävyyden perusteella:
| Luokka | Testin kesto | Tyypillinen käyttö | Vakuutuskorvauksen raja |
|---|---|---|---|
| RU0 | — | Yksityinen rahakaappi | ~10 000 € |
| RU1 | 30 min | Pienet liiketilat | ~30 000 € |
| RU2 | 30 min + | Pienet pankit, konttorit | ~100 000 € |
| RU3 | 60 min | Aluepankit | ~250 000 € |
| RU4 | 120 min | Suuret pankit | ~1 000 000 € |
| RU6 | 270 min | Kansallispankki, suuret holvit | yli 5 000 000 € |
Holvin lisäsuojaukset
- Lämpötila-anturit: holvissa olevat anturit havaitsevat lämpölaitteiden (plasmaleikkuri) käytön
- Ilmaisinjärjestelmä: tärinä-, ääni- ja iskuanturit
- Aikaviive (time lock): holvi ei aukea hälytysaikana edes oikealla koodilla
- Likaavat aineet (inkblocking): sisällä oleva omaisuus merkitään automaattisesti
Vartiointipalvelut rahoituslaitoksissa
Päivävartiointi
Pankit käyttävät usein näkyvää vartiointia:
- Asiakaspalveluvartija: ohjaa asiakkaita, estää häiriötilanteita
- Käteiskuljetusvartija: rahanosirakennusten siirrot
- Vartioinnin näkyvyys on myös ennaltaehkäisevä — rikollinen harkitsee uudelleen
Käteiskuljetukset (CIT)
Suomessa käteiskuljetukset hoitavat luvanvaraiset turvakuljetusyritykset (Laki vartioimisliiketoiminnasta 1085/2015):
- Vähintään kaksi henkilöä kuljetuksessa
- Suuremmat erät: pansssariauto + vähintään kaksi vartijaa
- GPS-seuranta kaikissa kuljetusajoneuvoissa
- Kuljetukset ennakkoon ilmoitettuja pankin menettelyohjeen mukaisesti
24/7 hälytyskeskuspalvelu
Rahoituslaitokset ovat tyypillisesti liitettyinä hälytyskeskukseen, joka:
- Vastaanottaa hälytykset ATM:stä, holvista, kulunvalvonnasta ja kamerajärjestelmästä
- Ohjaa lähin partiovartioyksikön kohteeseen
- Soittaa ennalta määritetylle yhteyshenkilölle
- Tekee dokumentoidun hälytyspöytäkirjan jokaisesta tapahtumasta
NIS2-direktiivi ja pankkien turvallisuus
NIS2-direktiivi (2022/2555/EU), joka tuli voimaan Suomessa vuonna 2024, asettaa pankeille tiukempia kyberturvallisuusvaatimuksia. Fyysisen turvallisuuden näkökulmasta NIS2 edellyttää:
- Fyysinen käyttöturvallisuus: palvelinhuoneiden ja datakeskusten pääsynhallinta
- Toimitusketjun turvallisuus: myös turvallisuuslaitteistotoimittajien auditointi
- Poikkeamailmoitukset: merkittävistä tietoturvapoikkeamista 72 tunnin sisällä Traficomille
- Jatkuvuussuunnitelmat: liiketoiminnan jatkuvuus myös fyysisten häiriöiden aikana
Turvallisuussuunnitelman rakenne rahoituslaitoksessa
Hyvä turvallisuussuunnitelma kattaa seuraavat osa-alueet:
- Riskianalyysi — Mitä uhkia kohde kohtaa (sijainti, käteismäärät, henkilöstöturvallisuus)
- Fyysinen turvallisuus — Rakenteet, holvit, ATM, lukitukset
- Kameravalvontasuunnitelma — Kamerat, resoluutio, säilytysajat
- Kulunvalvontakartta — Vyöhykkeet ja pääsyoikeudet
- Hälytysjärjestelmä — Anturit, hälytyskeskus, vasteajat
- Menettelyohjeet — Ryöstötilanteet, evakuointi, poikkeamatilanteet
- Testaus ja harjoittelu — Säännölliset testit, henkilöstökoulutus
- Dokumentaatio ja auditointi — Kirjalliset pöytäkirjat, ulkopuolinen auditointi
Kustannusarvio: Pankin turvallisuusjärjestelmä
Tyypillisen suomalaisen pankkikonttorin (noin 300 m², 5–10 henkilöstöä) turvallisuusjärjestelmän kustannukset:
| Komponentti | Hinta (€) |
|---|---|
| Kameravalvontajärjestelmä (12 kameraa, 4K NVR, 90 pv tallennus) | 12 000–25 000 |
| Kulunvalvonta (4 ovi, biometrinen, kaksoistunnistus) | 8 000–18 000 |
| Hälytysjärjestelmä (murto+palo, hälytyskeskusliittymä) | 4 000–9 000 |
| ATM-suojaukset (bollard, ink-pack, tärinäilmaisimet) | 5 000–15 000 |
| Holvisuojaus (anturit, aikaviive, värimerkintä) | 10 000–30 000 |
| Asennus ja käyttöönotto | 5 000–12 000 |
| Yhteensä | 44 000–109 000 |
Vuosittaiset ylläpitokulut: 4 000–12 000 €/vuosi (sopimukset, päivitykset, testaus).
Security.fi on toimittanut turvallisuusjärjestelmiä rahoituslaitoksille, pankkikonttoreille ja vakuutusyhtiöille eri puolilla Suomea. Ota yhteyttä asiantuntijoihimme kohdekohtaista suunnittelua varten.
