Pankkien ja rahoituslaitosten turvallisuusjärjestelmät Suomessa 2026

Rahoituslaitokset ovat erityiskohteita turvallisuussuunnittelun näkökulmasta. Niissä yhdistyvät käteisvarojen fyysinen suojaus, henkilöturvallisuus, kyberturvallisuus ja tiukka viranomaisvalvonta. Pankkiturvallisuus ei ole pelkkä teknologiakysymys — se on lakisääteinen velvollisuus, vakuutusehtojen edellytys ja asiakasluottamuksen perusta.

Tässä oppaassa käymme läpi Suomessa toimivien rahoituslaitosten turvallisuusjärjestelmien viitekehyksen: mitä lainsäädäntö ja viranomaiset vaativat, mitä teknologioita käytetään ja miten järjestelmä suunnitellaan.

Lainsäädäntö ja viranomaisvaatimukset

Finanssivalvonnan (Fiva) määräykset

Finanssivalvonta valvoo Suomessa luottolaitoksia, sijoituspalveluyrityksiä ja vakuutusyhtiöitä. Turvallisuuden osalta keskeisiä ovat:

• Luottolaitoslaki (610/2014) — edellyttää riittäviä sisäisiä valvontajärjestelmiä
• EBA:n ohjeet (EBA/GL/2021/04) — ICT- ja turvallisuusriskien hallinta, sisältää fyysisen turvallisuuden näkökulman
• PSD2-direktiivi (2015/2366/EU) — maksupalveluiden turvallisuusvaatimukset

Käytännössä tämä tarkoittaa, että pankeilla on oltava dokumentoitu turvallisuussuunnitelma, säännölliset turvallisuusauditoinnit ja poikkeamien raportointi Fivalle viipymättä.

PCI DSS — maksukorttidatan suojaus

Payment Card Industry Data Security Standard on alan itsesääntelystandardi, jota Visa ja Mastercard edellyttävät kaikilta toimijoilta, jotka käsittelevät maksukorttidata. Fyysisen turvallisuuden osalta PCI DSS vaatii:

• CCTV-valvontaa kaikkiin kortinlukijatiloihin
• Kulunvalvontaa datakeskuksiin ja palvelinhuoneisiin
• Vierailijoiden rekisteröintiä ja valvontaa
• Fyysisten tallennusmedioiden (kassettien, paperitulostusten) turvallista käsittelyä

Kameravalvonta pankeissa: Tekniset vaatimukset

Resoluutio ja kattavuus

Pankkien kameravalvonnassa ei riitä pelkkä läsnäolon havaitseminen — kuvasta pitää pystyä tunnistamaan henkilö, lukemaan kasvot ja todentamaan tapahtumat rikostutkinnan tarpeisiin.

Kassakone ja palvelupiste:

• Vähintään 1080p (Full HD), suositus 4K
• Kasvokuva koko kuvassa: vähintään 50 px/m vaatimus, käytännössä 100–200 px/m
• Riittävä valaistus (automaattinen tason säätö)
• Kaksi kamerakulmaa: kasvoista ja asiakkaan käsistä

Sisäänkäynti:

• Kokovartalokuva
• Tunnistettavuus myös myssyt/aurinkolasit päässä (lämpökameravaihtoehtona)
• Liikekamera yhdistettynä ovikontaktiin (laukaisee korkearesoluutiotallennuksen)

Holvi ja kassakaappi:

• Erillinen kamera holvin suuntaan
• Liikkeentunnistus ja tallennuslaukaisin

ATM-alue:

• Sisäinen kamera (ATM-laitteeseen integroitu) kasvotunnistukseen
• Ulkinen valvontakamera ATM:n toiminta-alueelle
• Valaistusvaatimus: vähintään 50 lux laitteen edessä

Tallennus ja säilytys

Rahoituslaitosten tallennusaika:

Rahoituslaitoksilla tallennus on usein pidempi, koska rikostutkinnat voivat käynnistyä vasta kuukausia tapauksen jälkeen. Pitkä säilytysaika on perusteltu myös vakuutusyhtiöiden näkökulmasta.

GDPR ja kameravalvonta pankeissa

Pankeissa GDPR-vaatimukset ovat samat kuin muissakin yrityksissä, mutta lisähaasteita tuovat:

• Asiakkaiden oikeudet: asiakas voi pyytää itseään koskevia tallenteita — prosessi on oltava dokumentoitu
• Tarpeellisuusperiaate: kameravalvonta pitää perustella; ei kameraa esim. wc-tiloihin
• Tiedottaminen: näkyvät kyltit, rekisteriseloste nähtäville

Kulunvalvonta: Pankin eri vyöhykkeet

Pankki jaetaan turvallisuussuunnittelussa selkeisiin vyöhykkeisiin:

Vyöhyke 1: Julkinen alue

• Asiakaspalvelutila, automaattipankki (ATM)
• Avoin yleisölle ilman tunnistautumista
• Kameravalvonta kattavasti

Vyöhyke 2: Henkilöstöalue

• Toimistohuoneet, taukohuone, arkistot
• Kulunvalvontakortti (proximity tai smartcard)
• Työajanseuranta integroitu

Vyöhyke 3: Rajoitettu alue

• Holvitila, kassakaappihuone, IT-palvelinhuone
• Biometrinen tunnistus suositus (sormen- tai kämmenjälki)
• Kaksoistunnistus (kortti + PIN)
• Kameravalvonta kaikkiin sisääntuloihin

Vyöhyke 4: Korkein turvaluokka

• Rahan laskentahuone, primääriholvi
• Kahden henkilön sääntö (two-man rule): ei saa mennä yksin
• Erillinen valvontakamera, joka tallentaa koko ajan
• Pääsy kirjataan, tunnistus biometrinen

ATM-turvallisuusjärjestelmät

Fyysinen suojaus

Moderneissa ATM:ssä käytetään seuraavia fyysisiä turvaominaisuuksia:

Runkosuojaus:

• Hitsattu teräsrunko (>4 mm paksuus)
• Ankkurointi lattiaan tai seinään (kemiallinen ankkuri)
• Murronkestoluokitus EN 1143-2 tai vastaava

Värimerkintäjärjestelmä (Dye Pack / Smart Ink):

• Kasseteissa on paineistettuja värikapseleja
• Luvaton irrotus tai vääränlainen käsittely laukaisee värimerkinnän
• Rahoja ei voi käyttää — ne ovat selvästi merkittyjä
• Myös kaasuun perustuva IBNS (Intelligent Banknote Neutralisation System) -tekniikka

Tärinäilmaisimet:

• Havaitsevat kulmahiomakoneen tai porauslaitteen tärinän
• Laukaisevat välittömästi hälytyksen

Lämminilmaiskaisin (kaarileikkuri):

• Havaitsee kaasukaarileikkurin tai plasmaleikkurin käytön
• Perustuu lämpösäteilyn tunnistamiseen

ATM-turvallisuus käytännössä: ns. ATM ramming

ATM ramming (auton käyttäminen ATM:n murtamiseen) on yleistynyt menetelmä Euroopassa. Suojaustoimenpiteet:

• Betoniporsaat (bollard) ATM:n eteen — estää ajoneuvojen pääsyn
• Maahan ankkuroitu runko — ATM:ä ei pysty vetämään ajoneuvoilla
• Hälytyskeskusintegraatio: tärinä laukaisee 60 sekunnin sisällä poliisikutsun
• GPS-seuraus: jos ATM irtoaa, seurantalaite aktivoituu

Holviturvallisuus

EN 1143-1 Luokitusjärjestelmä

Eurooppalainen standardi EN 1143-1 luokittelee holvit murronkestävyyden perusteella:

Holvin lisäsuojaukset

• Lämpötila-anturit: holvissa olevat anturit havaitsevat lämpölaitteiden (plasmaleikkuri) käytön
• Ilmaisinjärjestelmä: tärinä-, ääni- ja iskuanturit
• Aikaviive (time lock): holvi ei aukea hälytysaikana edes oikealla koodilla
• Likaavat aineet (inkblocking): sisällä oleva omaisuus merkitään automaattisesti

Vartiointipalvelut rahoituslaitoksissa

Päivävartiointi

Pankit käyttävät usein näkyvää vartiointia:

• Asiakaspalveluvartija: ohjaa asiakkaita, estää häiriötilanteita
• Käteiskuljetusvartija: rahanosirakennusten siirrot
• Vartioinnin näkyvyys on myös ennaltaehkäisevä — rikollinen harkitsee uudelleen

Käteiskuljetukset (CIT)

Suomessa käteiskuljetukset hoitavat luvanvaraiset turvakuljetusyritykset (Laki vartioimisliiketoiminnasta 1085/2015):

• Vähintään kaksi henkilöä kuljetuksessa
• Suuremmat erät: pansssariauto + vähintään kaksi vartijaa
• GPS-seuranta kaikissa kuljetusajoneuvoissa
• Kuljetukset ennakkoon ilmoitettuja pankin menettelyohjeen mukaisesti

24/7 hälytyskeskuspalvelu

Rahoituslaitokset ovat tyypillisesti liitettyinä hälytyskeskukseen, joka:

• Vastaanottaa hälytykset ATM:stä, holvista, kulunvalvonnasta ja kamerajärjestelmästä
• Ohjaa lähin partiovartioyksikön kohteeseen
• Soittaa ennalta määritetylle yhteyshenkilölle
• Tekee dokumentoidun hälytyspöytäkirjan jokaisesta tapahtumasta

NIS2-direktiivi ja pankkien turvallisuus

NIS2-direktiivi (2022/2555/EU), joka tuli voimaan Suomessa vuonna 2024, asettaa pankeille tiukempia kyberturvallisuusvaatimuksia. Fyysisen turvallisuuden näkökulmasta NIS2 edellyttää:

• Fyysinen käyttöturvallisuus: palvelinhuoneiden ja datakeskusten pääsynhallinta
• Toimitusketjun turvallisuus: myös turvallisuuslaitteistotoimittajien auditointi
• Poikkeamailmoitukset: merkittävistä tietoturvapoikkeamista 72 tunnin sisällä Traficomille
• Jatkuvuussuunnitelmat: liiketoiminnan jatkuvuus myös fyysisten häiriöiden aikana

Turvallisuussuunnitelman rakenne rahoituslaitoksessa

Hyvä turvallisuussuunnitelma kattaa seuraavat osa-alueet:

1. Riskianalyysi — Mitä uhkia kohde kohtaa (sijainti, käteismäärät, henkilöstöturvallisuus)
2. Fyysinen turvallisuus — Rakenteet, holvit, ATM, lukitukset
3. Kameravalvontasuunnitelma — Kamerat, resoluutio, säilytysajat
4. Kulunvalvontakartta — Vyöhykkeet ja pääsyoikeudet
5. Hälytysjärjestelmä — Anturit, hälytyskeskus, vasteajat
6. Menettelyohjeet — Ryöstötilanteet, evakuointi, poikkeamatilanteet
7. Testaus ja harjoittelu — Säännölliset testit, henkilöstökoulutus
8. Dokumentaatio ja auditointi — Kirjalliset pöytäkirjat, ulkopuolinen auditointi

Kustannusarvio: Pankin turvallisuusjärjestelmä

Tyypillisen suomalaisen pankkikonttorin (noin 300 m², 5–10 henkilöstöä) turvallisuusjärjestelmän kustannukset:

Vuosittaiset ylläpitokulut: 4 000–12 000 €/vuosi (sopimukset, päivitykset, testaus).

Security.fi on toimittanut turvallisuusjärjestelmiä rahoituslaitoksille, pankkikonttoreille ja vakuutusyhtiöille eri puolilla Suomea. Ota yhteyttä asiantuntijoihimme kohdekohtaista suunnittelua varten.