Mikä on tunkeutumistestaus? Tyypit ja hyödyt

Tunkeutumistestausta tilataan usein siksi, että joku muu pyysi: asiakas, vakuutusyhtiö tai valvova viranomainen. Se on huono lähtökohta, koska testi muotoillaan silloin vaatimuksen eikä oman riskin mukaan – ja onnistumista mitataan sillä, saatiinko paperi, ei sillä, mitä korjattiin.

Määritelmä

Tunkeutumistestaus on hallittu ja luvallinen prosessi, jossa asiantuntija etsii ja hyödyntää järjestelmien, sovellusten ja verkkojen heikkouksia kuten oikea hyökkääjä. Tavoitteena ei ole aiheuttaa vahinkoa, vaan osoittaa, mihin hyökkääjä pääsisi ja miten se reitti tukitaan.

Britannian kansallinen kyberturvallisuuskeskus NCSC määrittelee testauksen menetelmäksi, jolla hankitaan varmuus tietojärjestelmän turvallisuudesta murtamalla osa sen suojauksista tai kaikki ne samoilla työkaluilla ja tekniikoilla, joita vastustaja käyttäisi. Samassa ohjeessa on huomio, joka kannattaa lukea ennen tarjouspyynnön lähettämistä: tunkeutumistestaus ei ole ensisijainen tapa löytää haavoittuvuuksia, vaan tapa varmistua siitä, että oma haavoittuvuuksien hallinta toimii. NCSC vertaa sitä tilintarkastukseen – talousosasto tekee työtä päivittäin, ja ulkopuolinen tarkastus vahvistaa, että sen prosessit riittävät.

Käytännön johtopäätös on selvä. Eniten hyötyä testauksesta saa organisaatio, jolla perusasiat ovat kunnossa: päivitykset asennetaan, omaisuus on tiedossa ja pääsyt on rajattu. Jos näin ei ole, testaaja vahvistaa kalliisti sen, minkä ilmainen skanneri olisi kertonut.

Tunkeutumistestaus, penetraatiotestaus vai murtotestaus?

Kaikki kolme tarkoittavat samaa asiaa. Tunkeutumistestaus on EU-säädöksissä ja viranomaisteksteissä käytetty termi: komission täytäntöönpanoasetus (EU) 2024/2690 luettelee tunkeutumistestit turvallisuustestien tyyppien joukossa. Penetraatiotestaus on alan ja toimittajien yleisimmin markkinoima muoto ja suora käännös englannin penetration testingistä. Murtotestaus on sama asia vanhemmalla sanalla, ja pentest on saman lyhenne. Termivalinta ei siis kerro testistä mitään – laajuus, menetelmä ja raportti kertovat.

Skannauksen ja testauksen ero

Automaattinen haavoittuvuusskannaus auttaa löytämään tunnettuja heikkouksia ja asetusvirheitä. Työkalu, käyttöoikeudet ja sijainti verkossa vaikuttavat siihen, mitä voidaan tarkistaa: skanneri voi tutkia palvelujen tavoitettavuutta, versioita ja tunnuksilla tarkistettavia asetuksia. Tulokset tarvitsevat vahvistuksen ja ympäristön huomioivan tulkinnan. Käsin tehtävä testaus täydentää tätä liiketoimintalogiikan, pääsynhallinnan ja toisiinsa liittyvien heikkouksien tarkastelulla.

Tunkeutumistestaus on ihmisen tekemää. Testaaja hyödyntää heikkouksia, ketjuttaa niitä ja löytää loogiset virheet, joita työkalu ei tunnista: pääsynhallinnan aukot, suojaamattomat ylläpitoliittymät, mahdollisuuden lukea toisen käyttäjän tietoja yhtä pyynnön kenttää muuttamalla. NIST sanoo saman suoraan: skanneri tarkistaa vain haavoittuvuuden mahdollisen olemassaolon, kun taas testauksen hyväksikäyttövaihe vahvistaa sen olemassaolon.

Yleisimmät testaustyypit

Testaus kohdistetaan tiettyyn kohteeseen, ei ”koko yritykseen”. Yleisimmin tilataan seuraavat:

• Ulkoisen verkon testaus – internetiin näkyvät palvelut, palvelimet ja rajapinnat eli se hyökkäyspinta, jonka ulkopuolinen näkee ensimmäisenä.
• Verkkosovellusten ja rajapintojen testaus – todennuksen, pääsynhallinnan, istunnonhallinnan ja syötteen tarkistuksen heikkoudet. OWASPin verkkosovellusten testausopas jakaa alueen kahteentoista luokkaan tiedonkeruusta rajapintatestaukseen.
• Sisäisen verkon testaus – mitä hyökkääjä saisi aikaan päästyään sisään: lateraaliliike, oikeuksien laajentaminen ja pääsy toimialueen ohjauskoneelle.
• Pilviympäristöjen testaus – liian laajat palvelutunnusten oikeudet, virheelliset asetukset ja julkisiksi jääneet tallennustilat.
• Langattomien verkkojen ja mobiilisovellusten testaus – omat osaamisalueensa, jotka tilataan usein sisäverkon testauksen yhteydessä.
• Sosiaalinen manipulointi – henkilöstön ja prosessien testaus kalasteluviesteillä, puheluilla tai fyysisellä sisäänpääsyllä. Vaatii erillisen juridisen ja eettisen sopimisen.

Valitse aloituskohde tärkeimpien palvelujen, tietojen ja mahdollisten hyökkäysreittien perusteella. Internetiin näkyvät järjestelmät kannattaa usein tarkistaa varhain, mutta joillekin organisaatioille sisäinen pääsy, identiteettien hallinta tai toimittajayhteydet ovat kiireellisempiä.

Musta, harmaa ja valkoinen laatikko

Laatikon väri kertoo, kuinka paljon tietoa testaaja saa etukäteen. Kyse ei ole laatu- tai realismiasteikosta: valinta riippuu mallinnetun hyökkääjän tiedoista ja testin tavoitteesta. Vähäinen ennakkotieto tarkoittaa yleensä enemmän kartoitukseen käytettyä aikaa. Kolme lähestymistapaa on koottu rinnakkain myös etusivun vertailuun.

Lähestymistavat ennakkotiedon määrän mukaan

Lähestymistapa	Mitä testaaja tietää	Vahvuus	Milloin valita
Musta laatikko	Käytännössä vain kohteen osoitteet	Arvioi hyökkäysreittejä ilman annettua sisäistä tietoa	Kun halutaan nähdä, mitä satunnainen hyökkääjä löytäisi
Harmaa laatikko	Käyttäjätunnukset ja arkkitehtuurin pääpiirteet	Mahdollistaa pääsynhallinnan testauksen annetuilla käyttäjärooleilla	Kun halutaan tarkistaa eri käyttäjäroolien oikeudet
Valkoinen laatikko	Dokumentaatio, asetukset ja lähdekoodi	Mahdollistaa koodin ja asetusten syvemmän tarkastelun	Kun tavoite on löytää mahdollisimman paljon, ei jäljitellä hyökkäystä

Erikseen kannattaa päättää, tietääkö oma valvontatiimi testistä. NIST erottaa avoimen testauksen, jossa IT-väki on mukana ja voi seurata työtä, ja peitetyn testauksen, joka tehdään ilman heidän tietoaan mutta ylimmän johdon nimenomaisella luvalla. Peitetty testaus näyttää heikkouksien lisäksi sen, huomaako kukaan mitään – mutta se kestää kauemmin ja maksaa enemmän, koska testaajan on työskenneltävä hitaasti ja huomaamattomasti.

Mitä testauksesta jää käteen

Testauksen tuotos ei ole sisäänpääsyn todiste, vaan raportti. NIST suosittelee, että jokaisesta löydöksestä esitetään kuvauksen lisäksi juurisyyanalyysi ja korjaussuositus – sekä tekninen (asenna tietty päivitys) että prosessia koskeva (muuta päivitystenhallinnan käytäntöä). Tavanomainen raportti sisältää:

• Johdon tiivistelmän – mitä löytyi ja mitä se liiketoiminnalle tarkoittaa, ilman ammattislangia.
• Menetelmän ja laajuuden – mitä testattiin, milloin, millä lähestymistavalla ja millä ehdoilla.
• Löydökset vakavuusjärjestyksessä – todisteineen, vaikutusarvioineen ja konkreettisine korjausohjeineen.
• Hyökkäysketjut – miten yksittäin vaarattomat puutteet yhdessä tuottavat kriittisen lopputuloksen.
• Suositukset prosessille – mitä pitää muuttaa, jotta vastaavia löydöksiä ei enää synny.

Hyvää raporttia luetaan kahdella tasolla: johto saa ensimmäisiltä sivuilta riskin ja päätöksen, insinööri lopusta sen, mitä pitää tehdä. Koko kulku laajuuden sopimisesta uusintatestaukseen on kuvattu vaiheiden oppaassa.

Mitä kyberturvallisuuslaki edellyttää

Kyberturvallisuuslain (124/2025) 9 §:ssä luetellaan toimenpiteet, joita toimijan on käytettävä kyberturvallisuusriskien hallinnassa. Listan ensimmäinen kohta on kyberturvallisuutta koskevan riskienhallinnan toimintaperiaatteet ja hallintatoimenpiteiden vaikuttavuuden arviointi. Sama velvoite on NIS2-direktiivin 21 artiklan 2 kohdan f alakohdassa. Valvonta on Suomessa jaettu toimialakohtaisille viranomaisille, joista yksi on Liikenne- ja viestintävirasto Traficom; sen yhteydessä toimiva Kyberturvallisuuskeskus vastaa kansallisesta tilannekuvasta ja ottaa vastaan lain mukaiset poikkeamailmoitukset.

Miten arviointi käytännössä tehdään, täsmentyy komission täytäntöönpanoasetuksessa (EU) 2024/2690: turvallisuustesteihin voi sisältyä automaattisia tai manuaalisia testejä, tunkeutumistestejä, haavoittuvuustarkastuksia, staattisia ja dynaamisia sovellusturvallisuustestejä, konfiguraatiotestejä tai tietoturva-auditointeja. Asetus sitoo vain siinä luetellut digitaalisen infrastruktuurin ja digipalvelujen tarjoajat – esimerkiksi pilvipalvelut, konesalit, hallinnoidut palvelut ja verkkoalustat – eikä siis kaikkia NIS2-toimijoita, mutta luettelo toimii mittapuuna muillekin. Kyberturvallisuuslain 30 § antaa lisäksi valvovalle viranomaiselle oikeuden velvoittaa toimija teettämään riskienhallintaan kohdistuva turvallisuusauditointi ja toteuttamaan sen suosittelemat toimenpiteet.

Finanssialalla DORA-asetus on täsmällisempi. Sen 24 artiklan 6 kohta velvoittaa finanssiyhteisöt mikroyrityksiä lukuun ottamatta varmistamaan, että kaikki kriittisiä tai tärkeitä toimintoja tukevat TVT-järjestelmät ja sovellukset testataan asianmukaisesti vähintään kerran vuodessa, ja 26 artikla velvoittaa valitut yhteisöt uhkaperusteiseen tunkeutumistestaukseen vähintään kolmen vuoden välein.

Mitä hyötyä siitä on

• Näet todelliset, hyväksikäytettävät riskit teoreettisen listan sijaan – ja sen, kuinka pitkälle hyökkääjä pääsisi.
• Saat priorisoidut korjausohjeet, jotka kohdistavat rajallisen työajan sinne, missä se tuottaa eniten.
• Saat näyttöä sovittuun laajuuteen kuuluvien teknisten hallintatoimenpiteiden toimivuudesta. Raportti tukee laajempaa arviointia mutta ei yksin todista vaatimustenmukaisuutta.
• Testaat suojauksen lisäksi havaitsemisen: huomasiko valvonta sen, mitä testaaja teki.
• Vahvistat asiakkaiden ja kumppaneiden luottamusta osoittamalla, että tietoturva on testattu eikä vain luvattu.

Panostuksen mielekkyyttä tukee myös tilastotieto: Verizonin vuoden 2026 tietomurtotutkimusraportin mukaan 31 % tietomurroista alkaa ohjelmistohaavoittuvuuden hyväksikäytöstä, mikä ohitti varastetut salasanat yleisimpänä sisäänpääsytapana.

Hyöty ei myöskään rajoitu löydöksiin. Testaus tuottaa kuvan siitä, miltä oma ympäristö näyttää ulkoapäin – ja se kuva on usein laajempi kuin omassa dokumentaatiossa: unohtuneita testiympäristöjä, vanhoja aliverkkotunnuksia ja palveluita, joita kukaan ei enää muista käyttöön otetuiksi.

Mitä tilaajat eivät osaa odottaa

• Testi ei kata kaikkea. Laajuus ja aika ovat rajalliset, ja rajauksen ulkopuolelle jäänyt jää tarkistamatta.
• Puhdas raportti ei tarkoita, ettei heikkouksia ole. Se tarkoittaa, ettei niitä löytynyt sovitussa ajassa ja laajuudessa.
• Arvo syntyy vasta korjauksista. Korjaamaton raportti on pelkkä dokumentoitu riski.
• Testaus ei korvaa haavoittuvuuksien hallintaa, päivittämistä eikä omaisuudenhallintaa – se tarkistaa, toimivatko ne.
• Lopputulos riippuu valmistautumisesta. Sen askeleet on koottu omaan oppaaseensa.