Kirjoittaja: Veli-Pekka Vähälummukka, Trivoren Program Director
CTO:mme Vesa Suontama puhui Turku Tech Weekillä (4.3.2026) siitä, miten identiteetistä on tullut kyberturvallisuuden uusi etulinja. Hän käytti vertausta linnasta ja basaarista – ja se jäi pyörimään päähäni.
Linnassa oli mukava olla
Kuvittele hetki keskiaikaista linnaa. Paksut kivimuurit, nostosilta, vallihauta, ja ehkä pari krokotiilia jos linnanherra on ollut erityisen epäluuloinen. Yksi portti, yksi kulkureitti. Portinvartija tuntee kaikki. Kun olet muurien sisäpuolella, olet turvassa. Tai ainakin sinuun luotetaan.
Tämä malli toimi, koska kaikki olennainen oli muurien sisäpuolella: ihmiset, tieto, järjestelmät. Ei tarvinnut miettiä kahdesti, kehen luottaa. Jos joku oli päässyt portista, hän kuului sinne.
Pitkään myös tietoturva rakennettiin tällä logiikalla. Organisaation verkko oli linna. Palomuuri oli nostosilta. VPN oli avain sisälle. Kun pääsit sisään, olit ”luotettu”. Ulkona olivat pahat, sisällä hyvät. Helppoa, selkeää ja toimivaa.
Mutta sitten joku avasi torille kauppakojun
Pilvipalvelut tulivat kovaa vauhtia. Ensin CRM, sitten sähköposti, sitten tiedostot, sitten kaikki muu. Jokainen tiimin itse käyttöön ottama SaaS-palvelu siirsi pienen palasen linnan liiketoiminnasta torikujalle. Ja kun siihen lisättiin tekoälytyökalut, joita kukaan ei ole virallisesti hyväksynyt, torikujasta tuli entistäkin vilkkaampi.
Huomaamatta linnasta tuli basaari ja siellä logiikka on jotain aivan muuta. Ei ole yhtä porttia. On satoja kojuja, tuhansia kävijöitä, kymmeniä sisäänkäyntejä ja tavaraa virtaa kaikkiin suuntiin kaiken aikaa.
Ja tässä on se kiusallinen kohta: muutos ei tapahtunut jonain yksittäisenä hetkenä. Kukaan ei pitänyt puhetta siitä, että nyt siirrytään linnasta basaariin. Se vain tapahtui, palvelu kerrallaan, vuosi vuodelta. Ja nyt ollaan täällä.
Silti moni tietoturvatiimi istuu edelleen vartioimassa nostosiltaa, vaikka liikenne kulkee jo kauan sitten kuivuneen vallihaudan läpi.
Basaarissa etulinja ei ole muuri, vaan identiteetti
Linna luotti sijaintiin: jos olit sisällä, olit hyvä tyyppi. Basaari joutuu luottamaan identiteettiin: kuka olet, mitä saat tehdä ja käyttäydytkö niin kuin sinun pitäisi.
Pilvimaailmassa johtava puolustuslinja ei ole enää verkkosegmentti tai palomuuri. Se on digitaalinen identiteetti. Kuten Vesa esityksessään kiteytti: rikollinen ei murtaudu vaan hän kirjautuu sisään. Varastetut tunnukset ovat nykyrikollisen sorkkarauta.
IAM on basaarin torivouti
Identiteetin- ja pääsynhallinta (IAM) on se, joka pitää basaarissa järjestyksen. Ei yhdellä portilla, vaan jokaisella kojulla erikseen.
Kun Laura aloittaa organisaatiossa, IAM antaa hänelle avaimet juuri niihin kojuihin, joita hän tarvitsee: HR-järjestelmään, projektin työtilaan, sisäiseen wikiin. Ei kaikkialle, vaan sinne mihin on tarve. Kun Laura vaihtaa roolia, avaimet vaihtuvat. Ja kun Laura lähtee, basaari paljastaa heikkoutensa. Jos kukaan ei muista sulkea pääsyä kojuun numero 12, Laura pääsee sinne edelleen. Tai joku, jolla on Lauran tunnukset.
Basaarissa liikkuu myös taskuvarkaita. Tietojenkalastelu, identiteettivarkaudet ja sisäiset uhat ovat arkipäivää. Siksi yksi lukko ei riitä vaan tarvitaan monivaiheinen tunnistautuminen, vähimmän oikeuden periaate ja jatkuva käyttäytymisen arviointi. Ei riitä, että tunnistat kävijän portilla. Hänen käyttäytymistään on seurattava myös torin sisällä.
Ja jos suojaus pettää? IBM:n tutkimuksen mukaan ison tietomurron keskimääräinen hinta on miltei viisi miljoonaa dollaria. Se on paljon kalliimpaa kuin torivoudin palkkaaminen etukäteen.
Linnaan ei ole paluuta
Melkein kaikille organisaatioille maailma on jo basaari. Data on pilvessä, sovellukset pilvessä ja käyttäjät kaikkialla. Nostosilta ei enää yllä sinne.
Mutta identiteetti yltää. Kysymys on vain siitä, hallitsetko sinä sitä – vai hallitseeko se sinua.
