IoT- ja OT-ympäristöjen tietoturva alkaa laitteiden suojaamisesta
Lokakuussa 2026 Euroopassa nähtiin laajoja kyberhyökkäyksiä kauppojen kylmäjärjestelmiin. Hyökkääjät pääsivät käsiksi etäohjattaviin laitteisiin ja muuttivat niiden lämpötila- ja sulatusasetuksia. Seurauksena oli elintarvikkeiden pilaantumisia ja merkittäviä taloudellisia vahinkoja. Marraskuun alussa vastaavia hyökkäyksiä raportoitiin jälleen useissa Euroopan maissa, myös Virossa. Vastaavanlaisia epäiltyjä kyberhyökkäyksiä on havaittu nyt myös Suomessa. Tapaukset osoittavat konkreettisesti, kuinka verkkoon yhdistettyjen IoT- ja OT-laitteiden tietoturvapuutteet voivat vaikuttaa suoraan yrityksen toimintaan ja fyysiseen ympäristöön. Internetiin näkyvä, päivittämätön tai puutteellisesti suojattu automaatiolaite voi tarjota hyökkääjälle pääsyn kriittisiin järjestelmiin. Tässä artikkelissa käymme läpi, mitä IoT- ja OT-laitteet ovat, miksi niiden suojaaminen on tärkeää ja millä käytännön toimenpiteillä organisaatiot voivat vähentää niihin kohdistuvia kyberuhkia.
Eurooppalaisissa kaupoissa käytettäviä kylmälaitteita vastaan tehtiin kyberhyökkäyksiä
Useat Ranskassa sijaitsevat myymälät joutuivat lokakuussa 2026 kyberhyökkäyksen kohteeksi. Hyökkäys kohdistui tanskalaisen Danfoss-yhtiön valmistamiin kylmälaitteiden säätöjärjestelmiin. Hyökkääjät olivat muuttaneet laitteistojen lämpötila-asetuksia etänä, minkä seurauksena tuore- ja pakastetuotteiden varastoja tuhoutui. Hyökkääjät pakottivat laitteet jatkuvaan sulatukseen asettamalla tavoitelämpötilaksi 50 celsiusastetta. Näin kylmälaitteet olivat lämmenneet useiden tuntien ajan sen sijaan, että ne olisivat pitäneet tuotteet kylmässä.
Vastaavia hyökkäyksiä raportoitiin lokakuun alussa myös muissa Euroopan maissa, kuten Belgiassa, Ruotsissa, Irlannissa ja Virossa. Vastaavanlaisia epäiltyjä kyberhyökkäyksiä on havaittu nyt myös Suomessa.
Näissä tapauksissa hyökkäykset kohdistuivat elinkaarensa päässä oleviin laitteisiin, joihin ei ole enää saatavilla suojaavaa päivitystä. Tämän lisäksi laitteista oli löydetty jo vuonna 2025 haavoittuvuus, johon ei ollut enää saatavilla korjausta. Tässä artikkelissa tutustumme tarkemmin siihen, miten vastaavia IoT- ja OT-laitteita voi suojata kyberhyökkäyksiltä.
Mitä ovat IoT- ja OT-laitteet?
IoT eli Internet of Things tarkoittaa esineiden internetiä. Sillä viitataan fyysisiin laitteisiin, jotka keräävät tietoa, välittävät sitä verkon kautta tai mahdollistavat laitteiden etäseurannan ja -ohjauksen.
IoT-laitteita ovat esimerkiksi:
- lämpötila- ja kosteusanturit
- älylukot ja valvontakamerat
- etäluettavat sähkömittarit
- rakennusten olosuhdeseurantalaitteet
- verkkoon yhdistetyt kodinkoneet
OT eli Operational Technology tarkoittaa operatiivista teknologiaa, jolla valvotaan ja ohjataan fyysisiä laitteita, koneita, tuotantoa ja prosesseja.
OT-järjestelmiä käytetään esimerkiksi:
- kylmä- ja pakastejärjestelmien ohjaukseen
- rakennusten lämmityksen, ilmanvaihdon ja jäähdytyksen hallintaan
- teollisuuden tuotantolinjoilla
- vesihuollon pumppaamoissa
- sähköntuotannossa ja energiaverkoissa.
IoT-laitteen tehtävänä voi olla esimerkiksi lämpötilan mittaaminen ja tiedon lähettäminen valvontajärjestelmään. OT-järjestelmä puolestaan voi käyttää tätä tietoa kylmäkompressorin käynnistämiseen tai jäähdytystehon säätämiseen. Käytännössä sama kokonaisuus voi sisältää sekä IoT- että OT-teknologiaa. Niitä yhdistää yksi tärkeä piirre: laitteiden tietoturvaongelma voi muuttua fyysiseksi ongelmaksi.
Miksi IoT- ja OT-laitteet voivat näkyä Internetiin?
IoT- ja OT-laitteet voivat näkyä internetiin, koska ne on yhdistetty verkkoon tavalla, joka mahdollistaa yhteyden muodostamisen myös yrityksen tai kiinteistön ulkopuolelta. Joissakin tapauksessa laitteet voivat olla kytketty internetiin vahingossa. Organisaation jokin vain sisäiseen käyttöön tarkoitettu palvelu saattaa päätyä julkiseen verkkoon epähuomiossa tai vaikkapa palomuurin konfiguraatiovirheen johdosta. Siksi onkin suositeltavaa aika ajoin tarkastaa, vastaako organisaation oma käsitys laitteiden todellisuutta. Internetiin liitettyjen laitteiden päivityksestä tulee pitää huolta, mikäli niitä ei voida irrottaa verkosta. Myös vanhojen laitteiden elinkaaren hallinta on tärkeää.
Syitä IoT- tai OT-laitteen näkymiseen internettiin:
- Laitteen verkkoportti on avattu suoraan internetiin
- Laitteessa on etähallintatoiminto, joka on jätetty näkyväksi internetiin
- Laite ottaa itse yhteyden pilvipalveluun
- Reitittimen tai palomuurin asetukset ovat väärin
- Vanhojen järjestelmien tietoturvaa ei ole suunniteltu nykyisiä uhkia varten
- Laitteen etänä tapahtuvan hallinnan helppokäyttöisyys on ajateltu tärkeämmäksi kuin sen turvallisuus
Miten IoT- ja OT-laitteet tulee suojata?
IoT- ja OT-laitteet tulee suojata, koska niiden kautta voidaan päästä käsiksi yrityksen järjestelmiin ja vaikuttaa mahdollisesti suoraan fyysiseen maailmaan. Jos esimerkiksi kylmälaitteen ohjauslaite joutuu hyökkääjän haltuun, seurauksena voi olla elintarvikkeiden pilaantumista, laitteiden vaurioitumista tai merkittäviä taloudellisia vahinkoja. Keskeinen periaate on, ettei IoT- ja OT-laitteita pidä altistaa suoraan julkiselle internetille, jos siihen ei ole välttämätöntä tarvetta. Jos etäkäyttöä tarvitaan, se tulee toteuttaa hallitusti ja turvallisesti.
Seuraavat yleiset suositukset kuitenkin auttavat suojautumaan laajasti erilaisia uhkia ja uhkatoimijoita vastaan. Näiden perustason suojausten jälkeen on hyvä keskittyä muihin tärkeisiin kyberturvallisuuskontrolleihin.
- Varmistu laiteomaisuuden hallinnasta. Organisaation on syytä ylläpitää listaa käytössään olevista laitteista, niiden kytkennästä internetiin sekä päivitysten tilanteesta.
- Varmistu, näkyykö laite julkiseen internetiin ja onko se välttämätöntä. Älä salli kenen tahansa ottaa laitteelle yhteyttä suoraan julkisesta Internetistä mistä ja milloin tahansa. Liiallinen näkyvyys voi mahdollistaa esimerkiksi laitteilla olevien haavoittuvuuksien hyväksikäytön. Yleisenä hyvänä neuvona on eristää ja eriyttää laitteet omiin suojattuihin verkkoihinsa ja pienentää täten hyökkäyspinta-alaa. Neuvo koskee etenkin laitteiden hallintapaneeleita, mutta varsin usein koko laitetta. Pääsyä laitteille voi rajoittaa teknisillä kontrolleilla, kuten palomuurien ja reitittimien asetuksilla, VPN:llä ja erikseen sallituilla IP-osoitteilla. Varmista säännöllisesti, miten hyvin eristäminen ja eriyttäminen toimivat. Varmistu siitä, että laitteet pystyvät yhdistymään vain verkkoihin, joihin niiden pitää päästä toimiakseen oikein.
- Poista automaatiolaitteelta turhat palvelut käytöstä. Vaikka laite olisi eristetty internetistä, siinä voi olla edelleen ajossa erilaisia palveluita, joita et tarvitse. Tarpeettomat palvelut ne on hyvä ottaa pois käytöstä, jolloin niiden kautta tapahtuva väärinkäyttömahdollisuus sisäverkkojenkin suunnasta pienenee. Automatisoituja hyökkäysyrityksiä voi yrittää vähentää vaihtamalla palveluiden käyttämät oletusportit joksikin muuksi, mutta ainoana kontrollina tällainen ns. salailuun perustuva turvallisuus (security by obscurity) ei ole riittävä.
- Pidä laitteet päivitettynä. Päivittämättömissä laitteissa voi olla haavoittuvuuksia, joita uhkatoimijat voivat hyväksikäyttää eri tavoin etänä tai paikallisesti.
- Vaihda laitteen oletussalasanat hyvää salasanapolitiikkaa hyödyntäen.
- Ota monivaiheinen tunnistaminen (MFA) käyttöön aina, kun sitä tuetaan. Vaikka jokin edellä olevista kontrolleista pettäisi tai niistä huolimatta laitteelle pääsisi jostain syystä käsiksi, salasanan vaihtaminen ja monivaiheinen tunnistautuminen auttavat tilanteissa, joissa salasana on varastettu, selvitettävissä tai arvattavissa.
- Ota käyttöön ympäristön valvontamenetelmiä tietoturvapoikkeamien havaitsemiseksi.
Miten EU:n kyberkestävyyssäädös vaikuttaa IoT- ja OT-laitteiden turvallisuuteen?
EU:n kyberkestävyyssäädös eli Cyber Resilience Act (CRA) vaikuttaa merkittävästi siihen, miten digitaalisia laitteita suunnitellaan, valmistetaan, päivitetään ja ylläpidetään. Se liittyy suoraan IoT-laitteisiin ja moniin OT-järjestelmien digitaalisiin tuotteisiin, kuten verkkoon liitettäviin ohjaimiin ja ohjelmistoihin. Säädöksen keskeinen tavoite on, ettei kyberturvallisuus jäisi laitteen ostajan tai käyttäjän yksin ratkaistavaksi ongelmaksi. Myös valmistajalla on vastuu tuotteen turvallisuudesta ja haavoittuvuuksien käsittelystä koko tuotteen elinkaaren ajan.
Valmistajien on varmistettava, että tuote suunnitellaan, kehitetään ja tuotetaan kyberkestävyyssäädöksessä asetettujen olennaisten kyberturvallisuusvaatimusten mukaisesti. Vaatimukset koskevat sekä tuotteen teknisiä ominaisuuksia että valmistajan velvollisuuksia hallita haavoittuvuuksia ja tarjota tietoturvapäivityksiä tuotteen elinkaaren aikana. Olennaisia kyberturvallisuusvaatimuksia sovelletaan tuotteisiin, jotka saatetaan EU-markkinoille 11.12.2027 alkaen. Markkinoille saattaminen tarkoittaa sitä, että tuote tulee ensimmäistä kertaa EU-markkinoille.
Olennaiset kyberturvallisuusvaatimukset toteutetaan riskiperusteisesti. Niihin kuuluvat esimerkiksi:
- turvalliset oletusasetukset ja automaattiset turvallisuuspäivitykset
- luvattomalta pääsyltä estäminen
- tietojen luottamuksellinen käsittely ja datan minimointi
- keskeisten toimintojen turvaaminen