Yhden oven malli — manifesti

Asiakkaani sai maanantaiaamuna ilmoituksen Google Search Consolesta: hänen yrityksensä WordPress-sivustolla tarjottiin japaninkielisiä lääkkeitä etusivun alaosassa. Sivuston ydintoiminto, ajanvaraus, oli pois käytöstä. Hän soitti hostingfirmalle. Vastaus: tämä on plugin-ongelma, soita IT-kumppanille. Hän soitti IT-kumppanille. Vastaus: domain-rekisteröijä hallinnoi A-recordia, soita sinne. Domain-rekisteröijältä tuli neljäs vastaus: emme vastaa WordPressin sisällöstä, ottakaa yhteyttä hostingiin. Ympyrä sulkeutui kolmessa puhelussa. Kukaan ei ollut vastuussa. Murto oli ollut sivustolla 11 päivää ennen kuin se huomattiin.

Miten tähän on jouduttu

Tyypillinen suomalainen pk-yritys hoitaa verkkonäkyvyytensä viidellä erillisellä sopimuksella: domain-rekisteröijä hallinnoi nimipalveluja, hosting-yhtiö tarjoaa palvelimen, WordPress-ylläpitäjä päivittää teemat ja pluginit, sähköpostipalvelu hoitaa viestintää, ja IT-kumppani hoitaa kaiken muun. Jokaisella sopimuksella on oma palvelutasokuvaus ja oma vastuumäärittely. Kun jokin menee rikki, vastuu siirtyy seuraavalle ketjussa. Käyttöehdoissa on poikkeuksetta lauseke joka sulkee pois vastuun loppuasiakkaan sivuston sisällöstä.

Olen 15 vuoden aikana Rovaniemellä nähnyt saman kuvion toistuvan kymmenissä Resaco-asiakkaiden tapauksissa. Murto tulee yleensä WordPress-pluginin nollapäivähaavoittuvuuden kautta. Hosting näkee CPU-piikin mutta tulkitsee sen normaaliksi liikenteeksi. IT-kumppani ei seuraa sivustoa koska se ei kuulu heidän sopimukseensa. Domain-rekisteröijältä A-record-muutos vie kaksi arkipäivää. Sillä välin Google merkitsee sivuston haitalliseksi. Asiakas menettää orgaanisen näkyvyyden josta hän on maksanut hakukoneoptimoijalle kahden vuoden ajan.

Tämä rakenne syntyi 2000-luvun alussa kun jokainen palanen vaati oman erikoistuneen toimittajan. Se on jäänyt elämään vaikka tekniikka on muuttunut. Tulos on selkeä: viisi laskua kuukaudessa, viisi sopimusta arkistossa, ja kun kriisi tulee, viisi puhelinnumeroa joista yksikään ei ratkaise ongelmaa.

Vertaa tilannetta yrityksesi toimitilaan. Sinulla on vuokranantaja, sähköyhtiö, vesilaitos, vakuutusyhtiö ja vartiointiliike. Jos toimitilaan tulee murto, vakuutus korvaa vahingot. Vuokranantajalta ei odoteta korvausta. Vakuutusketju on rakennettu nimenomaan sitä varten että jollain on viimekätinen vastuu. Hosting-maailmassa vastaavaa vakuutusta ei tyypillisesti ole, eikä viimekätistä vastuunkantajaa.

NIS2 toi CEO-vastuun

Kyberturvallisuuslaki 124/2025 astui voimaan 8.4.2025. Se on Suomen kansallinen toteutus NIS2-direktiivistä (EU 2022/2555). Laki velvoittaa kriittisten sektoreiden toimijoita ja yli 50 hengen yrityksiä tietyillä toimialoilla rakentamaan dokumentoidun kyberturvariskien hallinnan. Ylimmän johdon, käytännössä toimitusjohtajan, on hyväksyttävä riskienhallintatoimet ja valvottava niiden täytäntöönpanoa.

Sanktiot eivät ole symbolisia. Olennaisen tärkeille toimijoille hallinnollinen seuraamusmaksu voi olla enintään 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta vuosittaisesta kokonaisliikevaihdosta, sen mukaan kumpi on suurempi. Tärkeille toimijoille katto on 7 miljoonaa euroa tai 1,4 prosenttia. Toimitusjohtajan henkilökohtaisesta vastuusta on viime vuosina rakentunut ennakkotapauksia myös oikeuskäytännössä, ja niiden suunta on selkeä: tietoturvasta vastaa ylin johto, ei IT-osasto.

Tämä muuttaa pelin. Pirstaloitunut sopimusrakenne ei ole enää vain operatiivinen riski. Se on hallintoneuvostotason riski jonka toimitusjohtaja joutuu perustelemaan auditoijille. Vastaamon oikeudenkäynnit määrittävät CEO-vastuun rajoja Suomessa, ja lopullisia ennakkopäätöksiä johdon henkilökohtaisesta vastuusta odotetaan yhä. NIS2-kehys (kyberturvallisuuslaki 124/2025, voimaan 8.4.2025) tuo kuitenkin CEO-vastuun lakitasolle riippumatta yksittäisten oikeustapausten lopputuloksesta, sekä siviilipuolella että hallinnollisessa valvonnassa.

Käytännössä tämä tarkoittaa että jos toimitusjohtaja ei pysty näyttämään dokumentoitua riskienhallintaprosessia kun Traficom tai toimivaltainen valvontaviranomainen pyytää, sakkokello käy. Viiden eri toimittajan SLA-paperit eivät muodosta dokumentoitua riskienhallintaprosessia. Ne muodostavat vastuunpakoilun.

Mitä yhden oven malli tarkoittaa

Yhden oven malli on yksinkertainen periaate. Yksi sopimus kattaa kaiken mitä yritys tarvitsee verkossa: hosting, domainit, WordPress-ylläpidon, sähköpostin tietoturvan (SPF, DKIM, DMARC), varmuuskopiot, monitoroinnin ja kriisituen. Yksi yritys vastaa lopputuloksesta. Yksi puhelinnumero kun jotain tapahtuu. Yksi rekisteri sopimukseen.

Mallin ydin on vastuun siirto pois loppuasiakkaalta. Päivittäminen ei ole asiakkaan tehtävä. Varmuuskopion toimivuuden testaaminen ei ole asiakkaan tehtävä. SPF-tietueen oikeellisuus uuden sähköpostipalvelimen käyttöönotossa ei ole asiakkaan tehtävä. Jos jokin näistä epäonnistuu, vastuu on toimittajalla. Tämä on käänteinen verrattuna nykyiseen markkinatapaan jossa palveluntarjoaja toimittaa työkalun ja asiakas vastaa siitä että työkalua käytetään oikein.

Yhden oven malli ei ole sama asia kuin täyden palvelun digitoimisto. Digitoimisto rakentaa, mutta harvoin operoi. Operatiivinen vastuu eli viikoittaiset päivitykset, kuukausittaiset palautustestit ja ympärivuorokautinen valvonta vaatii erilaisen rakenteen ja erilaisen liiketoimintamallin. Siksi malli on uusi, vaikka sen periaate on vanha.

Miten Resahost tekee tämän

Resahost on suomalainen toimija, ei jälleenmyyjä. Palvelimet sijaitsevat Helsingissä, EU-alueen sisällä, ja prosessimme noudattavat ISO 27001 -viitekehystä. Olemme rekisteröidyt suomalaisen yhtiömuodon alla (Resaco Oy, Y-3259870-5) ja Traficomin valvonnan piirissä viestintäpalveluiden tarjoajana.

Premium-tasolla sopimukseen kuuluu hack-fix-takuu: jos sivusto murretaan ylläpitomme alaisuudessa, palautamme sen toimintakuntoon ilman erillistä laskua. Lisäksi yhden oven malli on yhdistettävissä omaan tietoturvavakuutukseesi: autamme partnerivakuutusyhtiön valinnassa, ja itse vakuutus tehdään suoraan asiakkaan ja vakuutusyhtiön välillä. Tämä on suora vastaus siihen vakuutusvajaukseen jonka kuvasin toimitila-analogiassa.

Hintataso on 69–189 euroa kuukaudessa paketista riippuen. Pirstaloitunut viiden sopimuksen pino tyypilliselle pk-yritykselle maksaa 65–180 euroa kuukaudessa ilman että kukaan vastaa kokonaisuudesta. Yksi lasku, yksi vastuullinen nimi sopimuksessa, yksi puhelinnumero. Hinta ei ole se tekijä joka muuttuu, vaan vastuurakenne.

Vastalauseet jotka olen kuullut

Ensimmäinen vastalause: "Emme halua riippua yhdestä toimittajasta." Ymmärrän huolen. Vastaus on exit-suunnitelma joka kirjoitetaan sopimukseen sisään. Domainit pysyvät sinun nimissäsi rekisteröijän kuten Hostingpalvelu.fi:n alaisuudessa, varmuuskopiot saat ulos kuukausittain omalle pilvitallennuksellesi, ja WordPress-asennus on standardi jonka voi siirtää mille tahansa toiselle ylläpitäjälle. Lukko on operatiivinen helppous, ei tekninen pakkopaita.

Toinen vastalause: "Meillä on jo IT-kumppani johon luotamme." Hyvä. Yhden oven malli ei korvaa IT-kumppania sisäisessä työssä, vaan ottaa vastuun julkisivun operoinnista, joka on eri tehtävä. Suurin osa IT-kumppaneista hoitaa työasemia ja käyttäjähallintaa, sekä toimiston tietoliikennettä erillisenä kokonaisuutena. Verkkosivuston ylläpito on niche, joka vaatii erikoistuneen tiimin ja ympärivuorokautisen valvonnan.

Kolmas vastalause: "Sivustomme on yksinkertainen, mitään ei tapahdu." Tilastot kertovat toisin. Pienissä ja keskisuurissa WordPress-asennuksissa nähdään tyypillisesti 7000–8000 hyökkäysyritystä viikossa botneteilta jotka skannaavat tunnettuja haavoittuvuuksia. Useimmat torjutaan, mutta yksi onnistunut yritys riittää.

Lopuksi

Yrityksesi sivusto on sen julkisivu. Se on ensimmäinen asia jonka asiakkaasi näkevät ja viimeinen jonka hakukoneet indeksoivat. Julkisivu joka voidaan murtaa, vandalisoida tai sulkea pois Googlesta yhdessä viikossa jos sitä ei valvota oikein. NIS2-aikakaudella tämä ei ole enää vain markkinointiriski. Se on hallinnollinen riski jonka toimitusjohtaja allekirjoittaa.

En pyydä lupaa siirtää maailmaa yhden oven malliin maanantaina aamulla. Pyydän 15 minuuttia keskusteluun siitä kuka vastaa sivustostasi kun jotain tapahtuu. Sen jälkeen voit päättää.

Varaa 15 min vastuukeskustelu →

Lue myös

— Olli Junes, perustaja, Resaco Oy