12 suositusta organisaatioille ja järjestöille

Suomalaisten luottamus digitaaliseen maailmaan on kääntynyt parempaan suuntaan ensimmäistä kertaa neljään vuoteen. Keskiviikkona 16.9.2026 julkaistu Digiturvabarometri 2026 osoittaa, että luottamuksen lasku on pysähtynyt, turvallisuuden tunne on vahvistunut ja kansalaiset suojaavat itseään aiempaa aktiivisemmin. Digiturvabarometrissa kerrotaan myös 12 suositusta organisaatioille ja järjestöille.

1. Mahdollista digihuijauksista ilmoittaminen yhdeltä luukulta ja tarkista oma prosessisi 
Rakenna asiakkaalle selkeä ilmoitus- ja palvelu- polku tilanteisiin, joissa hän epäilee joutuneensa digihuijauksen kohteeksi. Organisaation on osattava käynnistää omat suojaavat toimen piteensä sekä ohjata asiakas tarvittaessa esimerkiksi poliisin, Kyberturvallisuuskeskuksen, tietosuojavaltuutetun toimiston, pankin tai muun toimivaltaisen tahon palveluihin. Testaa samalla, että oma henkilöstö tuntee prosessin ja osaa toimia oikein ja viivyttelemättä. 

2. Harjoittele digiuhkia aidontuntuisilla tilanteilla 
Älä jätä koulutusta pelkkien ohjeiden ja verkko- kurssien varaan. Pidä harjoituksia esimerkiksi huijauspuheluista, tietojenkalastelusta, tilisiirroista, pikamaksuista, kiireeseen perustuvista pyynnöistä sekä pankkina, viranomaisena, johtajana tai muuna luotettuna tahona esiintymisestä. Harjoituta organisaatiossa erityisesti tilanteen pysäyttämistä, yhteydenoton tarkistamista toisesta kanavasta sekä nopeaa ilmoittamista. Testaa samalla, toimivatko organisaation omat ilmoituskanavat käytännössä. 

3. Korjaa vahvan tunnistautumisen koulutusvaje 
Vahva tunnistautuminen ei itsessään estä huijausta, jos käyttäjä saadaan hyväksymään rikollisen käynnistämä tapahtuma. Opeta käyttäjiä aina tarkistamaan, mitä he ovat hyväksymässä ja missä palvelussa tunnistautuminen tapahtuu. Korosta erityisesti, ettei yllättävän puhelun, viestin tai muun yhteydenoton perusteella pidä automaattisesti tunnistautua pankkitunnuksilla tai mobiilivarmenteella. Ohjeista keskeyttämään tilanne ja avaamaan oikea palvelu itse tunnetusta osoitteesta tai sovelluksesta.

4. Panosta tekoälyn turvallisen käytön perustaitoihin 
Opeta henkilöstölle, mitä tietoja tekoälypalveluihin voidaan syöttää ja mitä ei. Järjestä harjoituksia henkilötietojen ja luottamuksellisten tietojen käsittelystä, tekoälyn tuottamien vastausten tarkistamisesta, lähdekritiikistä sekä tekoälyavusteisten huijausten, kuten uskotta vien viestien, kuvien, äänen ja videoiden, tunnistamisesta. Ohjaa henkilöstö käyttämään työtehtävissä organisaation hyväksymiä ja tietoturvallisesti hallinnoituja tekoälypalveluja, mutta kannusta opiskelemaan näitä myös vapaa-ajalla. 

5. Hyödynnä viestinnässä luotettuja viestinviejiä 
Digihuijausten torjunta ei onnistu yhden organisaation viestinnällä. Pankkien, viranomaisten, teleoperaattorien, uutismedian, työpaikkojen, oppilaitosten, järjestöjen ja läheisten viestit voivat täydentää ja vahvistaa toisiaan. Kohdenna viestit eri käyttäjäryhmille ja niihin kanaviin, joissa he asioivat. Toista keskeisiä toimintamalleja riittävän usein ja reagoi nopeasti uusiin huijausilmiöihin. 

6. Mittaa osaamista käyttäytymisen, ei vain itsearvion perusteella 
Älä arvioi digiturvaosaamista pelkästään kysymällä, kuinka hyvinä ihmiset itse pitävät taito jaan. Täydennä kyselyitä tilannepohjaisilla tehtävillä, simulaatioilla ja harjoituksilla. Seuraa esimerkiksi, osaavatko käyttäjät keskeyttää epäilyttävän tilanteen, tarkistaa lähettäjän tai yhteydenoton toisesta kanavasta, varmistaa maksupyynnön ja ilmoittaa epäilyttävästä tapahtumasta. Mittaa ennen kaikkea turvallista toimintaa käytännössä. 

7. Tue huijauksen kohteeksi joutunutta ilman syyllistämistä 
Tarjoa nopeasti apua maksujen pysäyttämiseen, tunnusten ja henkilötietojen suojaamiseen, rikosilmoituksen tekemiseen sekä tarvittaessa talous- ja velkaneuvonnan sekä henkisen tuen tai kriisiavun löytämiseen. Kuuntele rauhallisesti ja vältä kysymyksiä, jotka voivat lisätä häpeää tai syyllisyyttä. Huijaukset on tietoisesti rakennettu hyödyntämään kiirettä, pelkoa, luottamusta ja auktoriteetteja. Keskity siihen, mitä voidaan vielä estää, suojata, palauttaa ja ilmoittaa. Kiitä kertomisesta – nopea ilmoittaminen voi ehkäistä muiden joutumista saman huijauksen kohteeksi.

8. Rakenna huijausten torjunta palveluihin sisään
Älä jätä turvallisuutta vain käyttäjän tarkkaavaisuuden ja huijausten tunnistamiskyvyn varaan. Hyödynnä palveluissa poikkeavien kirjautumisten, maksujen ja käyttäytymisen tunnistamista, riskiperusteista lisävarmistusta sekä tarkoituksenmukaisia rajoituksia ja viiveitä. Suunnittele käyttöliittymät niin, että poikkeuksellinen tai riskialtis toiminta herättää käyttäjän huomion ennen hyväksymistä. Turvallisen vaihtoehdon pitää olla käyttäjälle myös helpoin vaihtoehto. Pyri hyödyntämään turvallisuutta edistävien tekoälypalveluiden hyödyntämistä 24/7 -tyyppisesti. 

9. Tee organisaation yhteydenottojen aitouden tarkistamisesta helppoa 
Tarjoa asiakkaalle yksinkertainen tapa varmistaa, onko viesti, puhelu tai muu yhteydenotto todella organisaatioltasi. Suosi tunnettuja asiointikanavia, sovellusten sisäisiä viestejä ja selkeitä takaisinsoittomenettelyjä. Vältä toimintatapoja, jotka totuttavat asiakkaita kirjautumaan palveluihin yllättävien viestien linkeistä. Kerro selkeästi myös, mitä organisaatiosi ei koskaan pyydä asiakasta tekemään puhelimessa, viestillä tai sähköpostilla. 

10. Suojaa erityisesti maksut ja muut vaikeasti peruttavat toimenpiteet Tunnista palveluistasi tilanteet, joissa huijauksen seuraukset voivat muuttua nopeasti merkittäviksi: tilisiirrot, uuden maksunsaajan lisääminen, tilinumeromuutokset, käyttöoikeuksien myöntäminen, henkilötietojen luovuttaminen ja vahvan tunnistautumisen hyväksyminen. Käytä riskin mukaan riippumatonta varmennusta, kahden henkilön hyväksyntää, maksurajoja, lisävahvistusta tai lyhyttä viivettä. Tavoitteena on luoda viimeinen mahdollisuus pysäyttää huijaus ennen peruuttamatonta toimenpidettä. 

11. Torju oman organisaatiosi nimissä tehtäviä huijauksia aktiivisesti 
Seuraa, miten organisaatiosi nimeä, verkkotunnuksia, logoja, puhelinnumeroita ja henkilöstön nimiä käytetään verkossa. Huolehdi sähkö- postin teknisistä suojauksista, kuten SPF-, DKIM- ja DMARC-määrityksistä. Seuraa samankaltaisia verkkotunnuksia, vale- profiileja sekä huijaussivustoja ja luo toimintamalli niiden nopeaan ilmoittamiseen ja alas ajoon. Kerro myös asiakkaille nopeasti, jos organisaatiosi nimissä on käynnissä huijaus kampanja. 

12. Jaa huijaustietoa nopeasti organisaatiorajojen yli
Yksi havaittu huijaus voi olla osa kampanjaa, joka kohdistuu samanaikaisesti tuhansiin ihmisiin ja useisiin organisaatioihin. Luo toimintamalli, jolla haitalliset verkkotunnukset, URL-osoitteet, puhelinnumerot, tilinumerot, maksunsaajat ja muut tunnistetiedot voidaan välittää nopeasti niitä tarvitseville toimijoille. Tee yhteistyötä viranomaisten, pankkien, teleoperaattoreiden, teknologiayritysten ja muiden kumppaneiden kanssa. Tavoitteena on lyhentää ketjua havainnosta ilmoitukseen, estoon ja tarvittaessa järjestelmien alasajoon.

Tutustu raporttiin: Digiturvabarometri 2026