Offensiivinen tietoturva
Tunkeutumistestaus auttaa löytämään korjattavat heikkoudet
Tunkeutumistestaus eli penetraatiotestaus on hallittu, luvallinen hyökkäyksen simulointi sovittuihin järjestelmiin. Testaaja etsii hyväksikäytettäviä heikkouksia ja antaa korjausohjeet, jotta voit pienentää riskiä.
- Perustuu Verizonin ja IBM:n raportteihin
- Menetelmät ja alkuperäislähteet
- Päivitetty 9/2026
Mitä tunkeutumistestaus on
Hallittu hyökkäys, joka paljastaa todelliset riskit
Tunkeutumistestauksessa asiantuntija käyttää hyökkääjän menetelmiä luvallisesti sovituissa kohteissa ja raportoi löydöksensä. Toiminnan rajat ja riskienhallinta sovitaan etukäteen.
Tunkeutumistestaus – josta käytetään myös nimiä penetraatiotestaus ja murtotestaus, englanniksi penetration testing tai lyhyesti pentest – on menetelmä, jossa koulutettu testaaja etsii ja hyödyntää järjestelmien, sovellusten ja verkkojen heikkouksia – luvallisesti ja hallitusti. Tavoitteena on osoittaa, miten hyökkääjä pääsisi sisään, ja miten se estetään.
Testillä on aina sovittu laajuus ja sovittu aika. Se ei kata kaikkea eikä korvaa päivitysten, omaisuudenhallinnan ja pääsyoikeuksien hoitamista – se tarkistaa, toimivatko ne.
Lopputuloksena on selkeä raportti: mitä löytyi, kuinka vakavaa se on ja miten se korjataan – priorisoituna todellisen riskin mukaan.
Miksi testata
Mitä tunkeutumistestaus antaa
Neljä asiaa, joita tekninen suojaus yksin ei tarjoa.
- TODELLISET
Todelliset heikkoudet
Testaus paljastaa aidosti hyväksikäytettävät heikkoudet, ei vain teoreettista listaa. Näet, mihin hyökkääjä oikeasti pääsisi.
- HAVAITSEMINEN
Testaat myös havaitsemisen
Testi kertoo suojauksen lisäksi sen, huomasiko valvonta mitään – ja kuinka nopeasti se reagoi.
- PRIORITEETIT
Selkeät prioriteetit
Hyvä raportti kertoo, mikä pitää korjata ensin ja miksi – jotta rajallinen aika käytetään oikeisiin asioihin.
- VAATIMUKSET
Vaatimustenmukaisuus
NIS2 edellyttää riskienhallintatoimien vaikuttavuuden arviointia. DORA sisältää toimijakohtaisia testausvelvoitteita. Tunkeutumistestaus voi tuottaa osan tarvittavasta näytöstä.
Testauksen tyypit
Mitä voidaan testata
Testaus kohdistetaan siihen, mikä on liiketoiminnalle tärkeintä. Yleisimmät kohteet:
- Yleisin
Ulkoisen verkon testaus
Internetiin näkyvät palvelut, palvelimet ja rajapinnat – juuri se hyökkäyspinta, jonka ulkopuolinen hyökkääjä näkee.
Kohde: Internetiin näkyvät järjestelmät ja palvelut
- Yleinen
Verkkosovellusten testaus
Verkkosovellusten ja rajapintojen heikkoudet – pääsynhallinnan virheistä injektioihin (OWASP).
Kohde: Verkkosovellukset, API-rajapinnat ja asiakasportaalit
- Syvempi
Sisäisen verkon testaus
Mitä hyökkääjä saisi aikaan päästyään sisään – lateraaliliike, oikeuksien laajentaminen ja pääsy kriittisiin järjestelmiin.
Kohde: Sisäverkko, työasemat ja toimialue
- Erikoisala
Muut kohteet
Langattomat verkot, pilvipalvelut, mobiilisovellukset ja sosiaalinen manipulointi, kuten tietojenkalastelu, tarpeen mukaan.
Kohde: WiFi, pilvi, mobiili ja henkilöstön testaus
Lähestymistavat
Musta, harmaa vai valkoinen laatikko?
Lähtötiedot ratkaisevat, mitä testi ehtii kattaa ja kuinka realistinen se on. Kaikki kolme ovat alla rinnakkain – valitse yksi, niin näet sen perustelut.
Vuorovaikutteinen korostus ei ole käytettävissä. Kaikki kolme lähestymistapaa ja niiden vertailutiedot on koottu alle.
-
Musta laatikko
Testaaja ei saa ennakkotietoa – kuten täysin ulkopuolinen hyökkääjä. Kuvaa ulkopuolisen näkyvyyttä sovitussa kohteessa, mutta rajallisessa ajassa osa kohteista voi jäädä testaamatta.
- Lähtötiedot: Vain sovitut kohteet
- Painopiste: Ulkopuolisen näkyvyys
- Ajankäyttö: Kartoitus vie enemmän aikaa
- Sopii parhaiten: Ulkoisen hyökkäyspinnan ja havaitsemiskyvyn testaamiseen.
-
Harmaa laatikko
Testaaja saa osittaiset tiedot tai käyttäjätunnukset – kuten sisäpiiriläinen tai kirjautunut käyttäjä. Tasapainottaa realistisuuden ja kattavuuden, kun käytettävissä oleva aika on rajallinen.
- Lähtötiedot: Osittaiset tiedot ja tunnukset
- Painopiste: Sovitut käyttäjäroolit
- Ajankäyttö: Vähemmän aikaa pääsyn selvittämiseen
- Sopii parhaiten: Useimpiin sovellus- ja verkkotestauksiin – kun käyttäjäroolit kuuluvat testin tavoitteisiin.
-
Valkoinen laatikko
Testaaja saa täydet tiedot: arkkitehtuurin, tunnukset ja usein lähdekoodin. Mahdollistaa rakenteen ja koodin syvemmän tarkastelun. Löydösten määrä riippuu silti rajauksesta, ajasta ja menetelmistä.
- Lähtötiedot: Dokumentaatio ja lähdekoodi
- Painopiste: Sisäinen rakenne ja logiikka
- Ajankäyttö: Enemmän aikaa syvään tarkasteluun
- Sopii parhaiten: Kriittisten järjestelmien perusteelliseen tarkastukseen ja koodikatselmointiin.
| Vertailukohta | Musta laatikko | Harmaa laatikko | Valkoinen laatikko |
|---|---|---|---|
| Lähtötiedot | Vain sovitut kohteet | Osittaiset tiedot ja tunnukset | Dokumentaatio ja lähdekoodi |
| Painopiste | Ulkopuolisen näkyvyys | Sovitut käyttäjäroolit | Sisäinen rakenne ja logiikka |
| Ajankäyttö | Kartoitus vie enemmän aikaa | Vähemmän aikaa pääsyn selvittämiseen | Enemmän aikaa syvään tarkasteluun |
| Sopii parhaiten | Ulkoisen hyökkäyspinnan ja havaitsemiskyvyn testaamiseen. | Useimpiin sovellus- ja verkkotestauksiin – kun käyttäjäroolit kuuluvat testin tavoitteisiin. | Kriittisten järjestelmien perusteelliseen tarkastukseen ja koodikatselmointiin. |
Testaaja ei saa ennakkotietoa – kuten täysin ulkopuolinen hyökkääjä. Kuvaa ulkopuolisen näkyvyyttä sovitussa kohteessa, mutta rajallisessa ajassa osa kohteista voi jäädä testaamatta.
Testaaja saa osittaiset tiedot tai käyttäjätunnukset – kuten sisäpiiriläinen tai kirjautunut käyttäjä. Tasapainottaa realistisuuden ja kattavuuden, kun käytettävissä oleva aika on rajallinen.
Testaaja saa täydet tiedot: arkkitehtuurin, tunnukset ja usein lähdekoodin. Mahdollistaa rakenteen ja koodin syvemmän tarkastelun. Löydösten määrä riippuu silti rajauksesta, ajasta ja menetelmistä.
Vertailu kuvaa lähtötietojen vaikutusta, ei mitattua laatua tai turvallisuuspisteitä. Asteikko kertoo vain, kuinka paljon tietoa testaaja saa etukäteen. Oikea valinta riippuu tavoitteista, kohteesta ja käytettävissä olevasta ajasta.
Luvut
Miksi testaus kannattaa
Nämä tuoreimpien vuosiraporttien luvut kuvaavat uhkien mittakaavaa. Ne eivät mittaa yksittäisen yrityksen riskiä tai testauksen taattua tuottoa.
Jokaisen luvun kohdalla on linkki alkuperäiseen lähteeseen. Luvut ovat likimääräisiä ja päivittyvät uusien raporttien myötä.
Yrityksille
Velvoitteet ovat jo voimassa
Kyberturvallisuuslaki (124/2025) tuli voimaan 8.4.2025 ja panee NIS2-direktiivin toimeen Suomessa. Se edellyttää monilta organisaatioilta riskienhallintaa ja hallintatoimenpiteiden vaikuttavuuden arviointia – ja johdon vastuuta siitä. Testaus on yksi tapa tuottaa se näyttö.
Kyberturvallisuuslain 9 § luettelee toimenpiteet, joita toimijan on käytettävä kyberturvallisuusriskien hallinnassa. Listan ensimmäinen kohta on kyberturvallisuutta koskevan riskienhallinnan toimintaperiaatteet ja hallintatoimenpiteiden vaikuttavuuden arviointi. Lain noudattamista valvovat toimialakohtaiset viranomaiset – muun muassa Liikenne- ja viestintävirasto Traficom, jonka yhteydessä toimii kansallinen Kyberturvallisuuskeskus.
-
Testaa säännöllisesti
Kertaluontoinen testi vanhenee nopeasti. Säännöllinen testaus pysyy muuttuvan hyökkäyspinnan ja uusien haavoittuvuuksien perässä.
-
Kohdista tärkeimpään
Tunnista liiketoiminnan kannalta kriittiset järjestelmät ja kohdista testaus niihin ensin.
-
Korjaa ja testaa uudelleen
Löydösten arvo syntyy korjaamisesta. Uusintatestaus varmistaa, että korjaukset toimivat.
-
Riippumaton testaaja
Ulkopuolinen, pätevä testaaja näkee sokeat pisteet, joita oma tiimi ei huomaa.
Oppaat
Syvenny aiheeseen
Selkeitä oppaita tunkeutumistestauksesta: mitä se on, miten se etenee ja miten siihen valmistaudutaan.
-
Mikä on tunkeutumistestaus? Tyypit ja hyödyt
Tunkeutumistestaus on luvallinen hyökkäys omiin järjestelmiin. Näin se eroaa skannauksesta, ja tällaisia tyyppejä on.
Lue opas -
Tunkeutumistestauksen vaiheet: näin testaus etenee
Laajuuden sopimisesta uusintatestaukseen – tunkeutumistestaus etenee selkeissä vaiheissa. Tässä ne käydään läpi.
Lue opas -
Näin valmistaudut tunkeutumistestaukseen
Hyvä valmistautuminen tekee testauksesta hyödyllisemmän. Näin määrität tavoitteet, laajuuden, pelisäännöt ja testaajan.
Lue opas
Usein kysytyt kysymykset
Lyhyet, selkeät vastaukset
Mitä tunkeutumistestaus tarkoittaa?
Tunkeutumistestaus on luvallinen ja hallittu hyökkäys omiin järjestelmiin, jossa asiantuntija etsii ja hyödyntää heikkouksia kuten oikea hyökkääjä – mutta raportoi löydökset ja niiden korjausohjeet sinulle.
Mitä tunkeutumistestaus maksaa?
Hinta johdetaan työpäivien määrästä, ei kohteen listahinnasta. Siihen vaikuttavat kohteiden määrä, valittu lähestymistapa, käyttäjäroolien ja integraatioiden määrä, testataanko tuotantoa vai kopiota, tietääkö valvontatiimi testistä ja tarvitaanko uusintatestaus. Siksi tarjous alkaa laajuuskeskustelusta, ja tarjouksia vertailtaessa kannattaa pyytää erittely suunnitelluista työpäivistä – muuten vertaillaan eri laajuuksia. Tekijät on käyty läpi valmistautumisoppaassa.
Kuinka usein tunkeutumistestaus kannattaa tehdä?
Yleensä vähintään kerran vuodessa sekä merkittävien muutosten jälkeen. Hyökkäyspinta ja haavoittuvuudet muuttuvat jatkuvasti, joten säännöllisyys on tärkeämpää kuin yksittäinen testi.
Mikä on musta-, harmaa- ja valkoinen laatikko -testaus?
Ne kuvaavat, kuinka paljon testaaja saa ennakkotietoa. Musta laatikko perustuu rajattuihin lähtötietoihin, harmaa laatikko osittaisiin tietoihin tai käyttäjätunnuksiin ja valkoinen laatikko kattavaan dokumentaatioon ja mahdolliseen lähdekoodiin. Valitse tapa testin tavoitteen mukaan; mikään niistä ei ole automaattisesti paras.
Onko tunkeutumistestaus turvallista tuotantojärjestelmille?
Tuotantojärjestelmien testaukseen liittyy häiriöriski. Sovittu laajuus, keskeytysehdot, toimiva palautussuunnitelma ja hallitut menetelmät pienentävät riskiä, mutta eivät poista sitä. Valmistautumisen vaiheet on koottu omaan oppaaseensa.
Mitä testauksen jälkeen tapahtuu?
Saat raportin, jossa löydökset on priorisoitu vakavuuden mukaan sekä korjausohjeet. Korjausten jälkeen tehdään usein uusintatestaus, jolla varmistetaan, että aukot on tukittu. Koko kulku laajuuden määrittelystä raporttiin on kuvattu vaiheiden oppaassa.
Vaatiiko NIS2 tunkeutumistestausta?
Suomessa velvoitteet tulevat kyberturvallisuuslaista (124/2025), joka panee NIS2-direktiivin toimeen. Sen 9 § edellyttää riskienhallinnan toimintaperiaatteita ja hallintatoimenpiteiden vaikuttavuuden arviointia, mutta ei määrää kaikille samaa tunkeutumistestiä tai testausväliä. Soveltuva testi voi tuottaa osan näytöstä; arvioi myös oman toimialan erityisvaatimukset.