Tietoturvaprotokollat: tyypit, standardit ja käytännöt

Tietoturvaprotokollien päätyypit: 4  |  GDPR:n keskeiset periaatteet: 7  |  Tietoturvan perussuojauksen vaiheet: 3 (vahva salasana, laitesuojaus, kaksivaiheinen todennus)  |  Keskeiset tietoturvastandardit: NIST, ISO 27001, GDPR

What each framework actually demands

Each of these three standards serves a fundamentally different purpose, and confusing them can lead to expensive compliance gaps. NIST (National Institute of Standards and Technology) provides a voluntary risk-management framework primarily used in the United States, while ISO 27001 is an international information security management standard that requires third-party certification. GDPR, on the other hand, is a European Union regulation with legal teeth that applies to any organisation handling EU citizens’ personal data.

Mitä eroa on NIST:llä ja GDPR:llä?

NIST on yhdysvaltalainen standardi, joka keskittyy tietoturvan teknisiin kontrolleihin ja tarjoaa käytännön ohjeita riskienhallintaan. GDPR on EU:n asetus, joka säätelee henkilötietojen käsittelyä ja sisältää vaatimuksia esimerkiksi suostumuksesta ja tietojen siirrettävyydestä. NIST on vapaaehtoinen mutta laajalti käytetty, kun taas GDPR on lakisääteinen. Kuten GDPR Localin vertailussa todetaan, NIST CSF 2.0 on organisoitu kuuteen toimintoon: Govern, Identify, Protect, Detect, Respond ja Recover – se ei tarjoa kolmannen osapuolen sertifiointia.

Mitä eroa on NIST:llä ja ISO 27001:llä?

NIST tarjoaa käytännön ohjeita ja viitekehyksen, mutta ei ole sertifioitava standardi. ISO 27001 on kansainvälinen sertifioitava standardi, joka mahdollistaa kolmannen osapuolen auditoinnin. SFS:n mukaan ISO 27001 kuvaa tietoturvallisuuden hallintajärjestelmän vaatimukset, ei pelkkää teknistä kontrollilistaa. NIST on yleisemmin käytetty Yhdysvalloissa, ISO 27001 maailmanlaajuisesti.

“NIST CSF ei tarjoa kolmannen osapuolen sertifiointia, ja ISO 27001 -sertifiointi ei ole GDPR:n vaatimus.”

— GDPR Local -asiantuntija

The compliance cost reality

When Finnish SMEs look at these frameworks, the first question is always about budget. NIST’s SP 800-171 and CSF documents are freely available, and implementation costs depend entirely on your existing security posture. ISO 27001 certification typically runs €10,000–€30,000 for a small organisation when you account for external auditors, documentation, and internal time. GDPR compliance costs vary wildly but often land between €5,000 and €50,000 depending on data processing complexity and whether you need a Data Protection Officer.

The implication: NIST toimii perustana, ISO 27001 tuo sertifioinnin ja GDPR lisää lakisääteisen kerroksen.

Where the frameworks overlap and diverge

The three frameworks share common ground in risk assessment, access controls, and incident response requirements. All three demand that you document what you’re doing and why. The divergence appears in scope and enforcement: NIST focuses on identifying and protecting against risks, ISO 27001 emphasises continuous improvement of your management system, and GDPR centres on individual rights and lawful processing grounds. A Finnish logistics company handling customer data for German clients needs all three, but the implementation order matters.

“ISO 27001 auttaa organisaatiota hallitsemaan sovellettavia oikeudellisia vaatimuksia, mukaan lukien GDPR, mutta ei yksin riitä GDPR-vaatimustenmukaisuuteen.”

— DNV Finland -sertifioija

Mitkä ovat neljä tietoturvan tyyppiä?

Nämä neljä kategoriaa kattavat organisaation tietoturvan kaikki osa-alueet. Digiturvamallin vaatimuskehikot kuvaavat hallintakehikot, jotka kattavat johdon, auditoinnin ja riskienhallinnan näkökulmat. Fyysinen tietoturva suojaa laitteita ja tiloja, tekninen tietoturva kattaa ohjelmistot ja verkot, hallinnollinen tietoturva sisältää käytännöt ja henkilöstön, ja toiminnallinen tietoturva keskittyy prosesseihin ja toimintatapoihin.

“Tietoturvaprotokollat eivät ole vain teknisiä kontrolleja – ne ovat kokonaisvaltainen lähestymistapa riskienhallintaan, joka ulottuu fyysisistä tiloista aina henkilöstön koulutukseen.”

— Tietoturva-asiantuntija (NIST-viitekehys)

Mitkä ovat seitsemän tietosuojakeinoa?

• Salaus – suojaa tiedot sekä levossa että siirron aikana
• Pääsynhallinta – rajoittaa tietojen käytön vain sallituille
• Kaksivaiheinen todennus – lisää ylimääräisen suojauskerroksen
• Palomuurit – estävät luvattoman verkkoliikenteen
• Tietojen varmuuskopiointi – turvaa tiedot vikatilanteissa
• Haavoittuvuuksien hallinta – tunnistaa ja korjaa tietoturva-aukkoja
• Lokien seuranta – auttaa havaitsemaan poikkeamat

Tietoturvapankki huomauttaa, että GDPR ja ISO 27001 tukevat toisiaan, mutta lähtevät eri kulmista – GDPR on oikeudellinen säädös, ISO 27001 vapaaehtoinen standardi.

Mitkä ovat viisi tapaa suojata tietoja?

1. Vahvojen salasanojen käyttö – estää pääsyn tileille
2. Säännölliset päivitykset – korjaavat tunnettuja haavoittuvuuksia
3. Tietojen luokittelu – auttaa kohdistamaan suojauksen oikein
4. Työntekijöiden koulutus – vähentää inhimillisiä virheitä
5. Tietojen minimointi – rajoittaa kerättävän tiedon määrää

The pattern: nämä viisi menetelmää muodostavat perustason, jonka päälle standardit kuten NIST ja ISO 27001 rakentuvat.

Mitkä ovat GDPR:n seitsemän pääperiaatetta?

• Lainmukaisuus, kohtuullisuus ja läpinäkyvyys
• Käyttötarkoitussidonnaisuus
• Tietojen minimointi
• Täsmällisyys
• Säilytyksen rajoittaminen
• Eheys ja luottamuksellisuus
• Vastuullisuus

Nämä periaatteet määrittelevät henkilötietojen käsittelyn vaatimukset. DNV Finland korostaa, että ISO 27001 auttaa hallitsemaan oikeudellisia vaatimuksia, mutta GDPR edellyttää lisäksi rekisteröityjen oikeuksien ja käsittelyn laillisten perusteiden huomioimista.

Implementation order for Finnish businesses

The smartest approach for most Finnish organisations is to start with NIST’s framework as your baseline, then build your ISO 27001 management system on top of that foundation. GDPR compliance then becomes a layer of specific controls for personal data within your existing ISMS. This sequence prevents duplicated work and ensures you’re not reinventing documentation for each standard.

Common pitfalls to avoid

• Treating GDPR compliance as a separate project rather than integrating it into your ISMS
• Assuming ISO 27001 certification automatically means GDPR compliance (it doesn’t cover all GDPR requirements)
• Underestimating the documentation burden for NIST when you’re only pursuing it for internal guidance
• Failing to map data flows before starting any framework implementation

“Suomalaiset tietoturvapalvelut korostavat, että ISO 27001 tarjoaa dokumentoitua näyttöä tietoturvan hallinnasta, mutta GDPR edellyttää lisäksi muita tietosuojan osa-alueita.”

— Micromagicin tietoturva-asiantuntija

The certification decision

For Finnish companies targeting public sector contracts in the United States, NIST 800-171 compliance is effectively mandatory. If you’re bidding on EU government contracts, ISO 27001 certification gives you a significant advantage. And if your business model involves processing EU citizens’ personal data—which for most Finnish companies it does—GDPR compliance isn’t optional, regardless of your other certifications.

What this means for your compliance roadmap

The three frameworks aren’t competing standards—they’re different tools for different jobs. Trying to choose between them misses the point entirely. The real question is what your customers, regulators, and business partners actually require you to demonstrate. For the vast majority of Finnish companies serving both Finnish and international markets, the path forward involves implementing all three in the right sequence, with proper documentation and ongoing maintenance.

For the Finnish managing director staring at a compliance budget request, the choice is clear: invest in a structured approach that builds NIST risk management into ISO 27001 certification with GDPR overlays, or risk losing contracts to competitors who have already made that investment.

Usein kysytyt kysymykset