Kyberturvallisuuspalvelut
Kyberturvallisuuspalvelut kattaa tässä nimenomaan hyökkäyksellisen ja jatkuvan turvallisuustyön: tietoturvatestauksen (pentestaus, red/purple team) ja jatkuvan valvonnan (SOC / Managed Detection & Response). Tämä on eri asia kuin yleinen IT-tuki (ks. it-tukipalvelut-kategoriamme) tai vaatimustenmukaisuusauditointi ja ISO 27001 -sertifiointi (ks. tietoturvan compliance ja auditointi -kategoriamme).
Hinnoittelu on lähes poikkeuksetta tarjouspohjaista: pentestin hinta riippuu testattavan kohteen laajuudesta (yksi verkkosovellus vs. koko IT-ympäristö), testaustyypistä (musta/harmaa/valkoinen laatikko) ja siitä, ostetaanko kertaluontoinen testi vai jatkuva SOC-palvelu.
Numerointi on silmäiltävyyden vuoksi. Järjestys on suomalaiset toimijat ensin, loput aakkosjärjestyksessä. Emme pisteytä laatua emmekä ole keränneet arvosteluja tai tähtiluokituksia keneltäkään.
- 012NS – Second Nature Security Espoo · perustettu 2010
Riippumaton suomalainen kyberturvayritys, jonka palveluihin kuuluu tietoturvatestaus ja -auditointi, penetraatiotestaus, red teaming, SOC ja tietoturvan hallintajärjestelmät.
Yli 2 000 projektin kokemus mm. finanssi-, ohjelmisto-, logistiikka-, energia- ja terveydenhuoltoalan asiakkaille. Lähde ↗ - 02DNV Cyber (aiemmin Nixu) Espoo · perustettu n. kolme vuosikymmentä toiminut (Nixu)
Kyberturvallisuuden hallinnointi-, riski- ja vaatimustenmukaisuusneuvonanto (IT ja OT) sekä turvaoperaatiokeskus (SOC) -palvelut; Nixu yhdistyi DNV:hen ja Applied Riskiin 2024 ja toimii nykyisin nimellä DNV Cyber.
SOC-palvelut ja laaja-alainen kyberturvakonsultointi, myös OT/teollisuusympäristöihin. Lähde ↗ - 03Fraktal Oy Helsinki
Kotimainen kyberturvayhtiö, joka tarjoaa mm. red team- ja purple team -testausmenetelmiä, ohjelmistoturvallisuuden konsultointia sekä tekoälyjärjestelmien turvallisuustyötä.
Erikoistunut mm. tekoälyn ja ohjelmistokehityksen tietoturvaan sekä kriisiharjoituksiin. Lähde ↗ - 04NerdyNet Oy Espoo
Suomalainen kyberturvayritys, joka tarjoaa turvaoperaatiokeskus (SOC)- ja MDR-palveluita, haavoittuvuusskannausta ja penetraatiotestausta yhdistettynä jatkuvaan IT-ympäristön hallintaan.
Yhdistää SOC/MDR-valvonnan ja pentestauksen samaan sopimukseen arjen IT-tuen kanssa. Lähde ↗ - 05WithSecure Helsinki · perustettu 1988 (Data Fellows / F-Secure)
Suomalainen kyberturvayhtiö, joka tarjoaa mm. sovellusturvallisuustestausta, tietoturvakonsultointia ja Elements MDR -nimistä 24/7-valvottua havainnointi- ja reagointipalvelua (SOC/MDR).
"Co-security" -konsultointimalli: konsultit työskentelevät asiakkaan oman tiimin rinnalla, ei vain toimita raporttia. Lähde ↗
Mitä tämä yleensä maksaa
faktaa arviomme
Emme löytäneet yhtään tässä listattua toimijaa, joka julkaisisi yleispätevän €/päivä- tai €/kk-hintaansa verkossa — pentestauksen ja SOC-palveluiden hinta riippuu testattavan ympäristön laajuudesta ja kriittisyydestä. Pyydä tarjous vähintään kahdelta toimijalta samalla scope-määrittelyllä (mikä testataan, kuinka usein, raportoidaanko löydökset ja miten).
Muista tarkistaa nämä
- Kertaluontoinen testi vai jatkuva palvelu. Pentestaus on tyypillisesti kertaluontoinen tai vuosittain toistuva projekti. SOC/MDR-palvelu on jatkuva kuukausiveloitteinen sopimus, jossa toimija valvoo ympäristöä 24/7. Määrittele kumpaa tarvitset ennen tarjouspyyntöä.
- Testauksen laajuus (scope). Yksi verkkosovellus maksaa selvästi vähemmän kuin koko IT-ympäristön, pilvi-infran ja sisäverkon kattava red team -harjoitus. Kysy tarkka scope-määrittely ja mitä rajataan ulkopuolelle.
- Sertifioinnit ja pätevyys. Kysy testaajien henkilökohtaisia sertifikaatteja (esim. OSCP, CREST) ja aiempia referenssejä samantyyppisistä kohteista — testaajan osaaminen vaikuttaa suoraan löydösten laatuun.
- Raportin laatu ja jatkotoimet. Pyydä nähdä anonymisoitu esimerkkiraportti etukäteen. Hyvä raportti priorisoi löydökset riskin mukaan ja antaa konkreettiset korjausohjeet, ei vain haavoittuvuuslistaa.
- Uudelleentestaus (retest). Selvitä sisältyykö tarjoukseen korjausten jälkeinen uudelleentestaus, vai laskutetaanko se erikseen.
- Vasteaika hälytykseen (SOC/MDR-palveluissa). Jos ostat jatkuvaa valvontaa, kysy konkreettinen SLA: kuinka nopeasti asiantuntija reagoi vakavaan hälytykseen kellonajasta riippumatta.
- Kotimainen vai kansainvälinen toimija. Osa toimijoista on puhtaasti suomalaisia pieniä erikoisyrityksiä, osa isompia kansainvälisiä konserneja (esim. DNV Cyber). Kysy kumpi vastaa paremmin ympäristösi arkaluontoisuuteen ja sääntelyvaatimuksiin (esim. viranomaisasiakkaat).
Usein kysyttyä
Mitä eroa on tällä kategorialla ja "tietoturvan compliance ja auditointi" -kategorialla? +
Tämä kategoria kattaa hyökkäyksellisen ja jatkuvan turvallisuustyön: pentestauksen, red teamin ja SOC/MDR-valvonnan. Compliance-kategoriamme kattaa sen sijaan ISO 27001 -sertifioinnin ja muun vaatimustenmukaisuusauditoinnin, jonka tekevät akkreditoidut sertifiointielimet (esim. DNV:n Business Assurance -yksikkö, Kiwa, Bureau Veritas) — eri toimijat, eri työ.
Miksei kukaan julkaise pentestin hintaa verkossa? +
Testin hinta riippuu suoraan siitä mitä testataan ja kuinka laajasti — yhden verkkosovelluksen testi ja koko IT-ympäristön red team -harjoitus voivat erota hinnaltaan kymmenkertaisesti. Käytäntö on aina tarjouspyyntö tarkalla scope-määrittelyllä.
Tarvitsenko kertaluontoisen pentestin vai jatkuvan SOC-palvelun? +
Pentestaus antaa hetkellisen kuvan tietystä kohteesta tiettynä ajankohtana. SOC/MDR-palvelu valvoo ympäristöä jatkuvasti ja reagoi poikkeamiin reaaliajassa. Moni organisaatio tarvitsee molempia: säännöllisen pentestauksen haavoittuvuuksien löytämiseen ja jatkuvan valvonnan hyökkäysten havaitsemiseen.