Evermadelle ISO/IEC 27001 -sertifikaatti
Olemme ottaneet seuraavia askeleita tietoturvan suhteen: meille on myönnetty tietoturvan ISO/IEC 27001 -sertifikaatti! Tiettävästi olemme Suomen ensimmäinen WordPressiin erikoistunut digitoimisto, jolle sertifikaatti on myönnetty.
Asiakkaidemme verkkopalveluiden lokitiedostoissa näkyy, miten palveluitamme yritetään murtaa tauotta. Torjumme toistuvasti palvelunestohyökkäyksiä. Tiimiläiset raportoivat jatkuvasti sähköpostiin kilahtelevista kalasteluyrityksistä. Uutisissa levisi pari viikkoa sitten tieto, miten Antropicin tekoäly oli valjastettu lähes täysin automaattisesti etsimään ja murtautumaan yrityksiin.
Kasvavat tietoturvauhat ovat tätä päivää. Lisäksi lainsäädäntö velvoittaa meitä huolehtimaan tietoturvasta: tuoreena esimerkkinä Euroopan unionin kyberturvallisuusdirektiivi (NIS2-direktiivi) ja sen kansallisesti täytäntöön paneva kyberturvallisuuslaki. Sääntelyä sovelletaan yhteiskunnan kannalta kriittisiin organisaatioihin, jotka ovat keskeisiä tai muuten tärkeitä riippumatta niiden koosta, toimialasta ja kriittisyydestä. Evermade ei itse ole suoraan NIS2-sääntelyn soveltamisalaan kuuluva toimija, mutta moni asiakkaamme on direktiivin luokittelun mukainen suuri toimija kriittiseksi tai erittäin kriittiseksi luokitellulla toimialalla. Osana heidän toimitusketjujaan haluamme ehdottomasti toimia sääntelyn vaatimusten mukaisesti.
Tietoturva on aina ollut merkittävä osa arkeamme. Vuosi sitten päätimme ottaa seuraavan askeleen tietoturvatyössä, ja lähdimme valmistautumaan tietoturvan ISO/IEC 27001 -sertifiointiin. Joulukuussa 2025 tämä työ palkittiin, kun meille on myönnetty tietoturvan ISO/IEC 27001 -sertifikaatti.
Mitä ISO/IEC 27001 -sertifikaatti tarkoittaa käytännössä?
Evermadella on kansainvälisen ISO/IEC 27001 -standardin mukaisesti hyväksytty tietoturvallisuuden hallintajärjestelmä. Kyseessä ei ole mikään yksittäinen mekanismi huolehtia verkkosivustojen tietoturvasta, vaan laaja, koko yrityksen kaikki toiminnot kattava tapa johtaa ja kehittää tietoturvaa. Standardi on merkki luotettavuudesta ja panostuksesta riskien hallintaan. Se osoittaa, että tunnistamme tietoturvallisuusriskit ja työskentelemme määrätietoisesti tietoturvallisuuden kehittämiseksi.
Joitakin ISO/IEC 27001 -sertifikaatin edellyttämiä keskeisiä vaatimuksia ovat:
- Yhtiön johto on sitoutunut tietoturvan kehittämiseen.
- Meillä on dokumentoitu tietoturvapolitiikka.
- Hallintajärjestelmä kattaa yrityksen kaikki henkilöt. Kyseessä ei siis ole mikään teknisten tekijöiden juttu, vaan tietoturva koskee koko tiimiämme.
- Tietoturvatyölle on tarjolla sen tarvitsemat resurssit ja osaaminen.
- Olemme asettaneet itsellemme mittareita, joilla seuraamme tietoturvan toteutumista.
- Tietoturvatyö on jatkuvaa ja jatkuvuutta seurataan säännöllisesti.
- Yhtiön tietoturvariskit on tunnistettu ja jokaisen riskin osalta on suunnitelma siitä, miten sitä hallitaan.
Kaikki tämä tarkoittaa lukemattomia erilaisia prosesseja, dokumentaatioita, koulutuksia, käytäntöjä, teknisiä ratkaisuja, fyysisiä ratkaisuja ja työkaluja, joiden avulla olemme kehittäneet järjestelmällisen lähestymistavan tietoturvan hallintaan. ISO/IEC 27001 ei ole vain todistus, vaan aktiivisesti läsnä päivittäisessä toiminnassamme.
ISO/IEC 27001-sertifioitumista edeltää riippumattoman osapuolen auditointi. Olemme tämän syksyn aikana istuneet useita tunteja neukkareissa esittämässä auditoijalle pöytäkirjoja, muistioita, konfiguraatiotiedostoja, lokeja ja muuta materiaalia osoittaaksemme, että dokumentoimamme asiat eivät ole hatusta vedettyjä. Auditoinnissa haastateltiin myös useita tiimin jäseniä, millä voitiin varmistaa, että tietotaito kattaa oikeasti koko tiimin.
Vuoden kestäneen työn aikana kävi selväksi, että olemme tehneet hyvää työtä tietoturvan saralla jo vuosia. Toisaalta tunnistimme monia asioita, joissa voimme parantaa tekemistä entisestään. Koko hallintajärjestelmän ytimessä onkin jatkuva parantaminen. Ja se tarkoittaa sitä, että ensi vuonna tietoturvamme on entistäkin paremmalla tolalla.
On hienoa olla asettamassa koko toimialalle uutta standardia tietoturvan suhteen. Tästä on hyvä jatkaa uuteen vuoteen!
Tietoturvan hallintamallimme on yhteinen emoyhtiömme Liana Technologiesin kanssa ja auditoinnin teki meille Into Certification (intocertification.fi).
Lisätietoja:
Jaakko Alajoki, CTO, jaakko@evermade.fi, 040 086 6419
Riikka Flinkman, CEO, riikka@evermade.fi, 050 53 99760