5 + 2 kriittistä tietoturvakysymystä viestinnässä – tunnista sudenkuopat
2.2.2026
Tietoturva mielletään usein vain IT-osaston asiaksi. Palomuureja, päivityksiä ja salasanoja. Todellisuudessa moni vakava tietoturvaongelma syntyy viestinnässä. Sanoissa, kuvissa, valinnoissa ja huolimattomuudessa. Viestintä on organisaation hermosto. Ja juuri siksi se on myös yksi haavoittuvimmista kohdista.
1. Liikaa tietoa, liian avoimesti
Läpinäkyvyyden ja avoimuuden nimissä kerrotaan enemmän kuin pitäisi: sisäisiä prosesseja, henkilönimiä, järjestelmien rakenteita, asiakkuuksien yksityiskohtia. Useimmiten täysin hyvässä uskossa.
Ongelma ei yleensä ole yksittäinen julkaisu, vaan kokonaisuus. Kun verkkosivujen uutisia, rekryilmoituksia ja somepostauksia tarkastellaan yhdessä, ulkopuolinen voi yhdistellä niistä yllättävän tarkan kuvan organisaation järjestelmistä, toimintamalleista ja jopa kriittisistä riippuvuuksista. Tämä ei vaadi erityistä hakkerointia, vain aikaa ja huomiokykyä.
Viestinnässä pitää olla selkeä käsitys siitä, mikä on julkista tietoa, mikä sisäistä ja mikä luottamuksellista. Kaikkia totuuksia ei tarvitse kertoa.
2. Kuvissa ja liitteissä piilevä tieto
Kuvia pidetään usein harmittomina, mutta ne ovat kaikkea muuta. Taustalla näkyy näyttöjä, tauluja, asiakasnimiä, kalentereita, koodeja, kulkulätkiä ja post-it-lappuja. Liitteisiin jää metatietoja ja vanhoja kommentteja. Tietovuoto ei aina ole dramaattinen. Usein se on pieni ja huomaamaton.
Yleinen esimerkki tästä on esitysmateriaali, joka ladataan LinkedIniin tai verkkosivuille. Vaikka itse diassa ei näkyisi mitään luottamuksellista, tiedoston metatiedoista voi paljastua projektin nimi, asiakkaan nimi tai sisäisiä tunnisteita. Pieni asia, mutta ulkopuoliselle se voi olla arvokas pala kokonaiskuvaa.
Kumppaniassa tämä huomioidaan erityisesti kuvaus- ja tuotantotilanteissa, joissa riskit alkavat jo kameran linssistä. Yksi tärkeimmistä kysymyksistä ennen jokaista kuvausta on, mitä kuvissa saa näkyä ja mitä ei. Asiakkailla on hyvin erilaisia vaatimuksia ja riskiprofiileja. Joillekin riittää, että kulkulätkät ja kaulanauhat piilotetaan. Toisilla esimerkiksi puhelimet, tietokoneet, näytöt ja jopa tietyt tilat eivät saa näkyä kuvissa lainkaan.
Ja se kaikkein ilmeisin, mutta silti yllättävän usein unohdettu asia: näytöillä ei saa koskaan näkyä mitään luottamuksellista.
3. Sisäinen ja ulkoinen viestintä sekoittuvat
Teams-keskusteluja, sisäisiä ohjeita ja keskeneräisiä ajatuksia päätyy eteenpäin vahingossa. Tässäkään ongelma ei yleensä ole pahantahtoisuus, vaan epäselvyys siitä, mikä on sisäistä ja mikä ei.
Tyypillinen tilanne on keskeneräinen Teams-viesti tai intrateksti, joka jaetaan eteenpäin screenshottina. Viesti on alun perin tarkoitettu rajatulle joukolle, mutta irrotettuna kontekstistaan se alkaa elää omaa elämäänsä. Kukaan ei tee väärin, mutta vahinko on jo tapahtunut.
Organisaatiossa pitää olla yhteinen ymmärrys viestintäkanavista ja niiden luonteesta. Kokemus julkisuudesta opettaa, että kaikki intraviestintä kannattaa kirjoittaa niin, että se kestää päivänvalon. Mutta kaikkea ei silti ole tarkoitettu julkiseksi.
4. Henkilöstöä on ohjeistettu, mutta ei koulutettu
Tietoturvaohje löytyy intrasta, mutta usein sen kirjoittaja on ainoa, joka on ohjeen oikeasti lukenut. Tai jos on luettu, se ei näy arjessa. Viestintä on ihmisten toimintaa, ei prosessikaavioita. Yksi huolimaton klikkaus, väärä liite tai harkitsematon sanavalinta riittää.
Arjessa kiire voittaa ohjeet. Viesti lähetetään nopeasti, liite jaetaan varmistamatta, linkki kopioidaan väärään paikkaan. Tavoite on hoitaa asia tehokkaasti, ei rikkoa sääntöjä. Silti juuri näissä hetkissä syntyvät suurimmat riskit.
Tietoturva kannattaa tuoda osaksi arjen viestintää konkreettisten esimerkkien kautta. Ei pelotteluna, vaan ymmärryksenä siitä, miksi tämä on riski, mitä siitä voi seurata ja miten jokainen voi omassa työssään toimia fiksummin.
5. Vastuut ovat epäselvät
Kun jotain tapahtuu, kukaan ei tiedä, kuka vastaa. Kuka päättää, mitä sanotaan? Kuka kommentoi ja missä kanavassa? Jos hiljaisuus pitkittyy, joku usein reagoi omin päin. Sekin on tietoturvariski. Viestinnän vastuut pitää määritellä etukäteen, myös poikkeustilanteissa. Kuka johtaa viestintää, kuka hyväksyy sisällöt ja kuka on hiljaa. Selkeys ennen kriisiä on paras vakuutus kriisin aikana.
6. GDPR ymmärretään liian kapeasti
GDPR mielletään yhä usein rekistereiksi ja lomakkeiksi. Todellisuudessa se koskee kaikkea viestintää, jossa henkilö on tunnistettavissa: kuvia, videoita, asiakastarinoita, referenssejä, tapahtumamateriaaleja ja somejulkaisuja. Jos ihminen on tunnistettavissa, kyse on henkilötiedosta.
Viestinnässä riskit eivät synny pahasta tahdosta, vaan siitä, ettei pysähdytä miettimään, kuka kuvassa on, mihin sisältöä käytetään ja kuinka kauan. Kaikki laillinen ei ole fiksua. Hyvä viestintä huomioi tämän jo ennen julkaisua.
7. Tekoälyn käyttö ilman yhteisiä pelisääntöjä
Tekoäly on tullut viestintään nopeasti, ja hyvä niin. Mutta tietoturvan ja luottamuksellisuuden näkökulmasta se on myös selkeä riskikerros. Suurin virhe on käyttää tekoälyä kuin se olisi tyhjiö. Sitä se ei ole.
Tyypillinen tilanne on kokousmuistio tai asiakasbriefi, joka syötetään tekoälyyn “vain tiivistettäväksi”. Mukana on nimiä, taustatietoja, päätöksiä tai keskeneräisiä linjauksia. Tarkoitus on hyvä ja työ nopeutuu, mutta samalla luottamuksellista tietoa päätyy järjestelmään, jonka käyttöehdoista ja jatkokäytöstä ei ole varmuutta.
Luottamuksellista tietoa, tunnistettavia henkilötietoja, asiakasnimiä tai strategioita ei pidä syöttää avoimiin tekoälypalveluihin. Tekoälyn tuottama sisältö on aina tarkistettava. Vastuu ei koskaan siirry koneelle. Vastuu on aina ihmisellä. Oikein käytettynä tekoäly on erinomainen työkalu.
Mitä tästä pitää muistaa
Tietoturvariskit viestinnässä eivät synny isoista virheistä, vaan pienistä, arkisista valinnoista. Yksittäinen julkaisu, kuva tai viesti ei yleensä kaada mitään. Mutta kertymä kaataa.
Kaikki avoin ei ole harkittua. Kaikki laillinen ei ole fiksua. Ja kaikki hyväntahtoinen ei ole riskitöntä. Jokaisessa viestintätilanteessa kannattaa pysähtyä hetkeksi ja kysyä, kenen tämä on tarkoitus nähdä, mitä tämä paljastaa ja mitä joku muu voisi tästä päätellä.
Lopuksi
Tietoturva ei kaadu isoihin puheisiin. Se kaatuu pieniin, arkisiin huolimattomuuksiin. Juuri niihin, joihin viestinnällä on eniten vaikutusvaltaa. Kumppaniassa autamme tunnistamaan viestinnän tietoturvariskit ennen kuin ne realisoituvat. Hyvä viestintä ei synny sattumalta. Se syntyy harkinnasta, kokemuksesta ja kyvystä kysyä oikeat kysymykset ajoissa.
