Turvallisuusjärjestelmien kyberkovettaminen 2026: IoT-haavoittuvuudet, segmentointi ja patchaus
Fyysinen turvallisuus on muuttunut peruuttamattomasti. IP-kamerat, verkkopohjaiset kulunvalvontajärjestelmät ja älykkäät hälytysjärjestelmät ovat kytkettyjä laitteita siinä missä mitkä tahansa muutkin IoT-laitteet — ja niissä on samat haavoittuvuudet. Security Eye Finland Oy:n asiantuntijoiden kokemusten mukaan merkittävä osa suomalaisista turvallisuusjärjestelmistä on kyberkovettamisen kannalta puutteellisessa kunnossa. Tämä opas kattaa kaikki keskeisimmät toimenpiteet laitekohtaisista asetuksista verkkoarkkitehtuuriin ja säännölliseen testaukseen.
Aiheesta lisää myös oppaamme IP-kameroiden kyberturvallisuus 2026.
Fyysisten turvallisuusjärjestelmien kyberriskit
Miksi turvallisuuslaitteet ovat erityinen kohde
Fyysisen turvallisuuden laitteet ovat houkutteleva maalitaulu useista syistä. Ensinnäkin niitä on paljon: yksittäisessä toimistorakennuksessa voi olla kymmeniä IP-kameroita, NVR-tallentimia, kulunvalvontapäätteitä ja hälytyskeskuksia — kaikki verkkoon kytkettyjä. Toiseksi ne jäävät usein tietoturvapäivitysten katveeseen: IT-osasto vastaa toimistokoneista, mutta turvallisuusjärjestelmät on hankkinut kiinteistö- tai turvallisuusosasto, eikä kukaan seuraa laitevalmistajien tietoturvabullettineita.
Kolmanneksi näiden laitteiden sijainti verkossa tekee niistä vaarallisia sillanpääasemia. Kamera-VLAN voi näkyä suoraan toimistoverkkoon, jolloin hyökkääjä, joka saa hallintaansa yhden NVR-tallentimen, pääsee potentiaalisesti käsiksi koko organisaation sisäiseen verkkoon.
Järjestelmäkohtaiset riskit
IP-kamerat ja NVR-tallentimet ovat määrällisesti suurin riskiryhmä. Yleiset ongelmat ovat oletussalasanat, vanhat firmware-versiot, avoimet hallintaportit (HTTP 80, RTSP 554, Telnet 23) ja puuttuva HTTPS-salaus videovirtauksessa. NVR-tallentimet pyörivät usein Linux-pohjaisella käyttöjärjestelmällä, jonka järjestelmätason haavoittuvuudet voivat mahdollistaa koko laitteen haltuunoton.
Kulunvalvontapalvelimet sisältävät arkaluonteista dataa: henkilötietoja, kulkuoikeuksia ja yksityiskohtaista liikkumishistoriaa. Ne pyörivät usein Windows Server -alustalla, ja uhkina ovat päivittämättömät käyttöjärjestelmät, heikot etäyhteyskäytännöt (RDP ilman MFA:ta) sekä ylisuuret käyttöoikeudet palvelutileillä.
Hälytysjärjestelmien IP-kommunikaattorit muodostavat yhteyden hälytyskeskukseen ja ovat usein vähiten auditoidut laitteet turvallisuusinfrastruktuurissa. Tarkistettavia asioita ovat protokollan salaus, laitteiden molemminpuolinen autentikointi ja kommunikaattorin omien hallintarajapintojen suojaus.
Yleisimmät IoT-haavoittuvuudet
Oletussalasanat — yleisin ja helpoin löytö
Shodan.io indeksoi jatkuvasti avoimia laitteita internetissä. Hakemalla suomalaisia IP-osoiteavaruuksia kameramerkkikohtaisilla hakusanoilla löytyy säännöllisesti laitteita, joihin pääsee kirjautumaan tehtaalta tulleilla oletustunnuksilla. Nämä tunnukset — admin/admin, admin/12345, root/root — ovat julkisesti dokumentoituja jokaisen valmistajan asennusoppaassa ja bottiverkkojen käyttämissä sanakirjoissa.
Mirai-bottiverkon vuoden 2016 hyökkäys kompromettoi yli 600 000 IoT-laitetta juuri oletussalasanojen avulla ja käytti niitä historian suurimpaan DDoS-hyökkäykseen. Hyökkäysmalli on edelleen aktiivisessa käytössä.
Toimenpide: Vaihda kaikki oletussalasanat ennen laitteen verkkoon kytkemistä. Käytä vähintään 16 merkin salasanaa, joka sisältää isoja ja pieniä kirjaimia, numeroita ja erikoismerkkejä. Käytä salasananhallintaohjelmistoa organisaatiotason salasanojen hallintaan.
Vanhat firmware-versiot ja CVE-haavoittuvuudet
Kameravalmistajat julkaisevat säännöllisesti tietoturvapäivityksiä. CVE-tietokanta (Common Vulnerabilities and Exposures) dokumentoi tunnetut haavoittuvuudet standardoiduilla tunnisteilla ja CVSS-vakavuuspisteillä. Esimerkiksi Hikvisionin CVE-2021-36260 oli kriittinen etäkoodin suoritushaavoittuvuus (Remote Code Execution), joka mahdollisti kameran täydellisen haltuunoton ilman kirjautumistietoja. Satoja tuhansia laitteita oli haavoittuvaisia maailmanlaajuisesti, ja monet niistä jäivät päivittämättä vuosiksi.
Avoimet palvelut ja protokollat
Telnet on salaamaton, 1980-luvun protokolla, joka siirtää käyttäjätunnukset ja salasanat selkotekstinä verkkoliikenteessä. Silti monet halvemmat IP-kamerat pitävät Telnetin oletuksena auki. SSH on turvallisempi vaihtoehto, mutta sekin tulee konfiguroida oikein: avainpohjaiseen autentikointiin, oletusportti 22 vaihdettuna, brute force -suojaus käyttöön.
UPnP-protokolla avaa portteja reitittimeen automaattisesti ilman käyttäjän hyväksyntää. Tämä tarkoittaa, että kamera voi avata itsensä suoraan internetiin ilman, että kukaan huomaa asiaa. UPnP tulisi poistaa käytöstä kaikista turvallisuuslaitteista.
ONVIF-protokolla mahdollistaa eri valmistajien kameroiden integroinnin, mutta vanhemmissa implementoinneissa autentikointi voi olla heikosti toteutettu tai ohitettavissa.
Verkkojen segmentointi
VLAN-arkkitehtuuri turvallisuusverkoille
Segmentointi on yksittäisistä teknisistä toimenpiteistä tehokkain. Turvallisuuslaitteet tulee sijoittaa omaan VLAN-segmenttiinsä, joka on eristetty toimistoverkoista palomuurisäännöillä.
Suositeltava perusarkkitehtuuri:
| Verkkosegmentti | Laitteet | Sallittu liikenne |
|---|---|---|
| VLAN 10 — Toimistoverkko | Tietokoneet, tulostimet | Rajoitettu pääsy turvallisuus-VLAN:iin |
| VLAN 20 — Turvallisuusverkko | IP-kamerat, NVR, kulunvalvonta | Ei pääsyä toimistoverkkoon |
| VLAN 30 — Hallintaverkko | Palvelimet, hallintakonsolit | Rajoitettu pääsy molempiin suuntiin |
| VLAN 99 — Karanteeniverkko | Tuntemattomat laitteet, EOL-laitteet | Ei pääsyä muihin segmentteihin |
OT/IT-erottelu
Operational Technology (OT) -verkot — mukaan lukien turvallisuusjärjestelmät — tulee pitää erillään IT-verkoista. Palomuuri turvallisuusverkon ja toimistoverkon välillä on minimumvaatimus. Palomuurisäännöissä sallitaan vain eksplisiittisesti tarvittava liikenne: VMS-ohjelmiston pääsy NVR-tallentimiin tietyistä IP-osoitteista tiettyihin portteihin, NTP-aikasync ja sertifikaattien hallinta.
Käytännön palomuurisäännöt turvallisuuslaitteille:
- Salli HTTPS-yhteys VMS-palvelimelta kameraan (hallintaportti)
- Salli RTSP-videovirta kameralta VMS-palvelimelle
- Salli NTP-aikasync kameralta aikaspalvelimelle
- Estä kaikki muu liikenne turvallisuusverkosta ulospäin oletuksena
Lisää tietoa järjestelmäintegraatioiden tietoturvasta: Turvallisuusjärjestelmien integraatio 2026.
Firmware-hallinta ja patchaus
CVE-seuranta käytännössä
Jokainen organisaatio, joka käyttää verkkopohjaisia turvallisuuslaitteita, tarvitsee prosessin CVE-haavoittuvuuksien seurantaan. Käytännön keinoja:
- Valmistajien tietoturvatiedotteet: Axis, Hikvision, Bosch, Hanwha, Genetec — kaikilla on sähköpostilistoja tai RSS-syötteitä tietoturvapäivityksistä
- NIST NVD -tietokanta: nvd.nist.gov tarjoaa haun laitevalmistajan tai tuotemallin mukaan
- CISA Known Exploited Vulnerabilities -lista: CISA ylläpitää listaa aktiivisesti hyväksikäytetyistä haavoittuvuuksista — näille tulee välitön toimenpide
Automaattiset päivitykset vastaan manuaalinen testaus
Automaattiset firmware-päivitykset ovat houkutteleva vaihtoehto, mutta niissä on riskinsä: päivitys voi muuttaa laitteen käyttäytymistä tai rikkoa integraatioita. Suositeltu prosessi:
- Seuraa tietoturvatiedotteet ja aseta prioriteetti CVSS-pisteiden perusteella
- Testaa päivitys ensin ei-tuotantoympäristössä tai yksittäisellä laitteella
- Ota varmuuskopio laitteen konfiguraatiosta ennen päivitystä
- Aikatauluta päivitys huoltoikkunaan
- Tarkista päivityksen jälkeen, että laite toimii odotetusti ja integraatiot ovat ehjät
Korjaustoimenpiteiden aikataulutus vakavuuden mukaan:
| Haavoittuvuuden vakavuus | Korjausaika |
|---|---|
| Kriittinen (CVSS 9,0–10,0) | 14 vuorokautta |
| Korkea (CVSS 7,0–8,9) | 30 vuorokautta |
| Kohtalainen (CVSS 4,0–6,9) | Seuraava huoltoikkuna |
| Matala (CVSS alle 4,0) | Vuotuinen huolto |
Lisää etähallinnasta ja päivitysstrategioista: Turvallisuusjärjestelmien etähallinta ja päivitykset 2026.
EOL-laitteet — näkymätön riski
End of Life -laite on laite, jolle valmistaja ei enää julkaise tietoturvapäivityksiä. Monessa organisaatiossa on käytössä kameroita tai NVR-tallentimia, joiden tuki on päättynyt vuosia sitten. Nämä laitteet eivät ole vain haavoittuvaisia — ne ovat haavoittuvaisia tavalla, johon ei tule korjausta.
EOL-laitteiden hallintaan on kolme vaihtoehtoa prioriteettijärjestyksessä: laite korvataan tuetulla mallilla, laite eristetään tiukkaan mikrosegmenttiin ilman internettiin pääsyä, tai laite suojataan kompensoivilla kontrolleilla kuten lisämonitoroinnilla ja IDS-suojauksella.
Autentikointi ja pääsynhallinta
802.1X — verkon pääsynhallinta porttitasolla
IEEE 802.1X on standardi, joka estää luvattomien laitteiden liittymisen verkkoon. Kun turvallisuuslaitteelle konfiguroidaan 802.1X, se joutuu todentamaan itsensä RADIUS-palvelimelle ennen verkkopääsyn saamista. Tämä estää tilanteet, joissa hyökkääjä kytkee oman laitteensa kamerakaapeliin ja saa IP-osoitteen automaattisesti.
Sertifikaattipohjaiset kirjautumiset
Salasanapohjainen autentikointi on altis brute force -hyökkäyksille ja tietovuodoille. Sertifikaattipohjaisessa autentikoinnissa laite tai käyttäjä todentaa itsensä kryptografisella avainparilla. PKI-infrastruktuuri mahdollistaa sertifikaattien keskitetyn hallinnan ja tarvittaessa nopean peruuttamisen — esimerkiksi laitteen varastamisen tai kompromission jälkeen.
MFA hallintaliittymiin
VMS-järjestelmät, kulunvalvontaohjelmistot ja laitteiden hallintapaneelit tulee suojata monivaiheisella tunnistautumisella. Pelkkä salasana ei riitä hallintaliittymiin, joista pääsee muuttamaan laitteen asetuksia, näkemään kamerakuvaa tai avaamaan kulunvalvontaovia. TOTP-pohjainen MFA (aikapohjaiset kertakäyttökoodit) on minimumvaatimus; kriittisissä kohteissa suositellaan hardware-tokenia.
Tunkeutumistestaus fyysisille turvallisuusjärjestelmille
Mitä pentest sisältää
Tunkeutumistestaus on kontrolloitu simulaatio, jossa tietoturva-asiantuntija yrittää murtautua järjestelmään käyttäen samoja menetelmiä kuin oikeat hyökkääjät. Fyysisten turvallisuusjärjestelmien pentest sisältää:
Verkkoskannaus ja -kartoitus: nmap-skannaus avoimien porttien ja palveluiden tunnistamiseksi, laitemallin ja firmware-version selvittäminen vastaussanomista ja bannereista, ONVIF-palveluiden ja avointen rajapintojen kartoitus.
CVE-pohjainen haavoittuvuusanalyysi: Löydettyjen laitteiden firmware-versioiden vertaus CVE-tietokantaan, oletustunnusten testaus valmistajien dokumentaatioista kootuista sanakirjoista, tunnettujen exploit-menetelmien testaus kontrolloidusti.
Verkkoliikenteen analyysi: Onko videovirtaus salattu? Siirretäänkö kirjautumistiedot selkotekstinä? Voidaanko liikennettä kaapata tai muuttaa välimieshyökkäyksellä?
Segmentointitestaus: Pystyykö kamera-VLANista liikennöimään toimistoverkkoon? Onko palomuurisäännöissä aukkoja? Voiko hyökkääjä laajentaa toimintaansa segmentistä toiseen?
Security.fi suosittelee tunkeutumistestausta tehtäväksi vuosittain ja aina merkittävien järjestelmämuutosten jälkeen. Lisää turvallisuusauditoinnista: Turvallisuusauditointi Suomessa 2026.
NIS2-direktiivin vaatimukset
NIS2-direktiivi tuli voimaan Suomessa Kyberturvallisuuslakina ja velvoittaa laajan joukon organisaatioita energia-, terveydenhuolto-, liikenne-, finanssi- ja digitaalisilla aloilla. Fyysinen turvallisuusinfrastruktuuri kuuluu organisaation suojattaviin kriittisiin järjestelmiin.
Keskeisimmät NIS2-vaatimukset turvallisuusjärjestelmille:
- Riskianalyysi: Dokumentoitu arvio fyysisen turvallisuusinfrastruktuurin kyberriskeistä osana organisaation kokonaisriskienhallintaa
- Häiriönhallinta: Kirjallinen suunnitelma toiminnasta, jos turvallisuusjärjestelmät vaarantuvat — kuka vastaa, mitä tehdään, miten palvelu palautetaan
- Toimitusketjun turvallisuus: Laitevalmistajien ja huoltoyhtiöiden tietoturvan arviointi — toimittajaauditointi tai vaatimusten sisällyttäminen sopimuksiin
- Ilmoitusvelvollisuus: Merkittävistä tietoturvahäiriöistä ilmoitettava Traficomille 24 tunnin sisällä tapahtuman havaitsemisesta
- Tekninen kyberturvallisuus: Pääsynhallinta, salaus, haavoittuvuuksien hallinta ja tietoturvatestaus dokumentoituna ja todennettavissa
Kattavampi katsaus direktiivin vaatimuksiin: NIS2-direktiivi: vaatimukset yrityksille 2026.
Tarkistuslista: 10 tärkeintä toimenpidettä
Seuraava tarkistuslista kattaa kriittisimmät kyberkovettamistoimenpiteet. Käy lista läpi kaikkien verkkokytkentäisten turvallisuuslaitteiden osalta vähintään vuosittain.
- Vaihda kaikki oletussalasanat ennen laitteen verkkoon kytkemistä; jokaisella laitteella yksilöllinen, vähintään 16 merkin salasana
- Tee firmware-inventaario — listaa kaikki laitteet, niiden mallit, firmware-versiot ja valmistajan tuen tila (tuettu tai EOL)
- Tilaa valmistajien tietoturvatiedotteet — aseta hälytykset kriittisistä CVE:istä keskeisille laitevalmistajillesi
- Segmentoi turvallisuusverkko erilliseen VLAN:iin — eristä IP-kamerat, NVR:t ja kulunvalvontalaitteet omalle segmentilleen palomuurin taakse
- Sulje tarpeettomat portit ja palvelut — sammuta Telnet ja UPnP, poista HTTP käytöstä, tarkista SNMP-versio (käytä v3)
- Ota käyttöön MFA kaikissa hallintaliittymissä — VMS-ohjelmistot, kulunvalvontapalvelimet ja laitteiden hallintapaneelit
- Päivitä firmware säännöllisesti — kriittiset CVE:t 14 vuorokaudessa, muut neljännesvuosittain
- Rajoita hallintapääsy IP-osoitteen mukaan — hallintarajapinnoille vain erikseen hyväksytyistä osoitteista tai hallinta-VLAN:ista
- Monitoroi verkkoliikennettä — epätavallinen liikenne turvallisuusverkosta ulospäin on merkki mahdollisesta kompromissista
- Tee vuosittainen tunkeutumistestaus — ulkoinen pentest löytää haavoittuvuudet ennen hyökkääjiä
Security.fi kyberkovettamispalvelut
Security Eye Finland Oy toteuttaa turvallisuusjärjestelmien kyberkovettamisen osana kaikkia uusia asennusprojekteja sekä olemassa olevien järjestelmien auditoinnin ja kovettamisen erillisenä palveluna. Palveluun kuuluu laite- ja verkkokartoitus, haavoittuvuusanalyysi, korjaustoimenpiteet sekä kirjallinen raportti NIS2-vaatimustenmukaisuuden tueksi.
