Kyberturvallisuuskeskus muistuttaa, että organisaatioiden digitaaliset palvelut ovat jatkuvasti tunnustenkalastelun ja tilikaappausten kohteena. Yksi tehokkaimmista perussuojauksista on monivaiheinen tunnistautuminen (MFA) kaikissa internetistä kirjautumista vaativissa palveluissa – myös kumppanien hallinnoimissa. Tässä tiivis käytännön ohje IT-palveluita tuottaville ja käyttäville yrityksille, perustuen Traficomin Kyberturvallisuuskeskuksen ohjeisiin (mm. Microsoft 365 -suojaus, päivitetty 20.10.2026).
Mitä MFA tarkoittaa käytännössä?
MFA tarkoittaa, että kirjautuminen vaatii salasanan lisäksi toisen tekijän: sovelluskoodin, turva-avaimen tai laitteen hyväksynnän. Vaikka salasana vuotaisi, hyökkääjä ei pääse sisään ilman toista tekijää. Kyberturvallisuuskeskus suosittelee MFA:ta kaikille julkisen verkon kautta käytettäville palveluille. Jos MFA ei ole mahdollinen, palvelu pitäisi eristää julkisesta internetistä muilla keinoilla.
Microsoft 365: tärkeimmät askeleet
- Ota MFA käyttöön kaikille käyttäjille.
- Käytä Security Defaults -asetuksia tai ehdollisen pääsyn (Conditional Access) käytäntöjä – ei molempia päällekkäin.
- Estä legacy-tunnistautuminen, jos sille ei ole perusteltua tarvetta.
- Siirry mahdollisuuksien mukaan kalastelunkestäviin menetelmiin (FIDO2, Windows Hello for Business), erityisesti pääkäyttäjille.
- Käytä erillisiä ylläpitotunnuksia; älä selaa tai lue sähköpostia pääkäyttäjätilillä.
- Luo vähintään kaksi hätätilanteiden ylläpitotunnusta ja valvo niiden käyttöä.
Pääkäyttäjät ja vähimmät oikeudet
Myönnä vain tarvittavat oikeudet. Älä käytä Global Administrator -roolia tehtäviin, jotka onnistuvat rajatumalla roolilla. Privileged Identity Management (PIM) auttaa aktivoimaan ylläpito-oikeudet vain tarvittaessa. Tarkista käyttöoikeudet säännöllisesti Access Reviews -työkaluilla.
Jakaminen, sähköposti ja sovellukset
Rajoita SharePoint/OneDrive-ulkoista jakamista ja Anyone-linkkejä. Ota SPF, DKIM ja DMARC käyttöön organisaation verkkotunnuksille. Rajoita käyttäjien sovellussuostumuksia ja ohjaa laajemmat pyynnöt Admin Consent -työnkulkuun. Estä automaattinen edelleenlähetys ulkoisiin osoitteisiin, ellei sille ole hyväksyttyä tarvetta.
Yhteenveto IT-palveluyritykselle: MFA kaikille, vahvempi suoja ylläpitäjille, ehdollinen pääsy, legacy pois, jakamisen ja sähköpostin kontrollit sekä säännöllinen auditointi. Näillä vähennetään riskiä, että yhden salasanan vuoto kaataa koko ympäristön.
Lähteet: Traficom Kyberturvallisuuskeskus – Näin suojaat Microsoft 365 -palvelusi (päivitetty 20.10.2026); Strengthening cyber security at Finnish organisations.
Käytännön käyttöönotto kannattaa tehdä vaiheittain: ensin pilotti pienelle ryhmälle, sitten koko organisaatio. Dokumentoi poikkeukset ja testaa hätätilitunnukset säännöllisesti. Seuraa Secure Score -suosituksia ja korjaa kriittisimmät aukot ensin.
Jos toimit IT-palveluntarjoajana, vaadi MFA myös asiakkaan ympäristöissä, joita hallinnoit, ja kirjaa vastuut sopimukseen. Yhteiset pelisäännöt vähentävät harmaita alueita häiriötilanteessa.
Kouluta henkilöstöä tunnistamaan kalasteluviestit. Tekninen kontrolli ei riitä, jos käyttäjä hyväksyy haitallisen sovelluksen suostumusikkunan ajattelematta.
Käytännön käyttöönotto kannattaa tehdä vaiheittain: ensin pilotti pienelle ryhmälle, sitten koko organisaatio. Dokumentoi poikkeukset ja testaa hätätilitunnukset säännöllisesti. Seuraa Secure Score -suosituksia ja korjaa kriittisimmät aukot ensin.
Jos toimit IT-palveluntarjoajana, vaadi MFA myös asiakkaan ympäristöissä, joita hallinnoit, ja kirjaa vastuut sopimukseen. Yhteiset pelisäännöt vähentävät harmaita alueita häiriötilanteessa.
Kouluta henkilöstöä tunnistamaan kalasteluviestit. Tekninen kontrolli ei riitä, jos käyttäjä hyväksyy haitallisen sovelluksen suostumusikkunan ajattelematta.
Käytännön käyttöönotto kannattaa tehdä vaiheittain: ensin pilotti pienelle ryhmälle, sitten koko organisaatio. Dokumentoi poikkeukset ja testaa hätätilitunnukset säännöllisesti. Seuraa Secure Score -suosituksia ja korjaa kriittisimmät aukot ensin.
Jos toimit IT-palveluntarjoajana, vaadi MFA myös asiakkaan ympäristöissä, joita hallinnoit, ja kirjaa vastuut sopimukseen. Yhteiset pelisäännöt vähentävät harmaita alueita häiriötilanteessa.
Kouluta henkilöstöä tunnistamaan kalasteluviestit. Tekninen kontrolli ei riitä, jos käyttäjä hyväksyy haitallisen sovelluksen suostumusikkunan ajattelematta.
Käytännön käyttöönotto kannattaa tehdä vaiheittain: ensin pilotti pienelle ryhmälle, sitten koko organisaatio. Dokumentoi poikkeukset ja testaa hätätilitunnukset säännöllisesti. Seuraa Secure Score -suosituksia ja korjaa kriittisimmät aukot ensin.
Jos toimit IT-palveluntarjoajana, vaadi MFA myös asiakkaan ympäristöissä, joita hallinnoit, ja kirjaa vastuut sopimukseen. Yhteiset pelisäännöt vähentävät harmaita alueita häiriötilanteessa.
Kouluta henkilöstöä tunnistamaan kalasteluviestit. Tekninen kontrolli ei riitä, jos käyttäjä hyväksyy haitallisen sovelluksen suostumusikkunan ajattelematta.
Käytännön käyttöönotto kannattaa tehdä vaiheittain: ensin pilotti pienelle ryhmälle, sitten koko organisaatio. Dokumentoi poikkeukset ja testaa hätätilitunnukset säännöllisesti. Seuraa Secure Score -suosituksia ja korjaa kriittisimmät aukot ensin.
Jos toimit IT-palveluntarjoajana, vaadi MFA myös asiakkaan ympäristöissä, joita hallinnoit, ja kirjaa vastuut sopimukseen. Yhteiset pelisäännöt vähentävät harmaita alueita häiriötilanteessa.
Kouluta henkilöstöä tunnistamaan kalasteluviestit. Tekninen kontrolli ei riitä, jos käyttäjä hyväksyy haitallisen sovelluksen suostumusikkunan ajattelematta.
Käytännön käyttöönotto kannattaa tehdä vaiheittain: ensin pilotti pienelle ryhmälle, sitten koko organisaatio. Dokumentoi poikkeukset ja testaa hätätilitunnukset säännöllisesti. Seuraa Secure Score -suosituksia ja korjaa kriittisimmät aukot ensin.
