PwC Suomi on nimittänyt kolme uutta, kokenutta asiantuntijaa eri tehtäviin. Daniel Pasternack Daniel Pasternack (KTT) on nimitetty 12.8.2024 alkaen Senior Advisoriksi PwC Suomen Advisory-liiketoimintaan, jossa hän keskittyy erityisesti pankki- ja rahoitussektorin asiakkuuksiin sekä perheiden sijoitusyrityksiin. Daniel on erittäin kokenut Financial Services -toimialan ammattilainen ja tehnyt mittavan uran suomalaisessa varainhoitosektorissa useassa eri yrityksessä, viimeisimpänä Evlillä ja...

PwC Suomelle kaksi uutta partneria ja Senior Advisor

Vastoin yleistä käsitystä suomalaiset listayhtiöt ostavat verrattain paljon ulkomaalaisia yrityksiä, paljastaa PwC:n tuore selvitys. Suomalaisten listayhtiöiden vuosina 2018–2024 tekemiä yrityskauppoja analysoiva selvitys osoittaa, että miltei puolet hankinnoista tehtiin kotimaan rajojen ulkopuolelta. Nämä hankinnat olivat myös kauppahinnaltaan arvokkaampia kuin paikalliset yritysostot. PwC:n Nasdaq Helsingin listayhtiöiden yritysostoja tarkasteleva selvitys osoittaa, että yrityskaupoista kappalemääräisesti laskettuna hieman alle puolet...

PwC:n selvitys paljastaa: Suomalaiset listayhtiöt shoppailevat ahkerasti ulkomailla

Suomi paransi merkittävästi sijoitustaan PwC:n nuorisotyöllisyysindeksissä ja nousi vuodesta 2022 seitsemän sijaa. Suomi sijoittuu vertailussa mukana olleista 38 OECD-maasta sijalle 15. Indeksin kärkipaikalle ylsi Alankomaat. Suomen sijoitus PwC:n globaalissa Youth Employment Index -selvityksessä koheni tänä vuonna merkittävästi, kun se nousi vertailun sijalle 15. Muista Pohjoismaista parhaiten menestyi Islanti, joka on vertailussa kolmen parhaan maan joukossa....

Suomi nuorisotyöllisyydessä 15 parhaan OECD-maan joukkoon – Alankomaat, Sveitsi ja Islanti PwC:n indeksin kärjessä

Luottamus on arvo, joka on ollut PwC:n toiminnan keskiössä koko yhtiön historian ajan. Suomen PwC täyttää loppuvuodesta 70 vuotta. Toimitusjohtaja Kauko Storbacka ja tietokirjailija Rachel Botsman korostivat yrityksen 70-vuotisjuhlassa luottamuksen merkitystä niin ihmisten hyvinvoinnille kuin yritysten menestykselle.  PwC:n tarkoitus on rakentaa yhteiskuntaan luottamusta ja ratkaista tärkeitä ongelmia. Luottamus oli myös PwC Suomen 70-vuotisjuhlan keskiössä, kun...

PwC:n 70-vuotisen taipaleen keskiössä luottamus 

Vuonna 2025 ensimmäiset yritykset raportoivat tilikauden 2024 tiedot EU:n kestävyysraportointidirektiivin (Corporate Sustainability Reporting Directive, CSRD) perusteella. Samalla näiden yritysten tulee raportoida liiketoimintansa EU-taksonomian kelpoisuus ja mukaisuus. Monia yrityksiä kuitenkin yllättää, että kestävyysraportointidirektiivi edellyttää raportointia myös EU-taksonomiasta. EU-taksonomian kelpoisuus ja mukaisuus perustuu taksonomia-asetukseen, joka määrittelee kriteerit kestävälle liiketoiminnalle. EU-taksonomian kelpoisuus tarkoittaa liiketoimintaa, joka kuuluu EU-taksonomian piiriin,...

Ovatko yritykset valmiita raportoimaan kestävyysraporteissaan myös EU-taksonomiasta?

Korkeimman oikeuden tuoreen päätöksen mukaan veropetos ei ollut lievä, kun vältettyjen verojen määrä oli noin 1000 euroa. Tässä tapauksessa päästiin sakoilla, mutta melko pienillä summilla ehdollinen vankeuskaan ei ole poissuljettua. Jos verottajalle annetuissa henkilökohtaiseen verotukseen vaikuttavissa tiedoissa on ollut virheitä, mahdollisia seurauksia ovat veronkorotus tai joissain tilanteissa myös rikosoikeudelliset sanktiot. Samassa asiassa ei kuitenkaan voida...

Rikosoikeudellistuuko verotus – Milloin virhe verotuksessa on poliisiasia?

Mediassa on viime viikkoina käytetty termiä “joustopesu” kuvaamaan tilannetta, jossa työnantaja antaa nykyisille ja potentiaalisille työntekijöille kuvan todellisuutta joustavammista käytännöistä erityisesti työntekopaikan suhteen. Käytännössä tämä on tarkoittanut sitä, että on puhuttu ja jopa mainostettu joustavia etätyökäytäntöjä, vaikka todellisuudessa työntekijöitä on velvoitettu tulemaan toimistolle. Miksi työnantajat haksahtavat joustopesuun? Vaikka työmarkkinatilanne on palannut viime vuosien aikana takaisin...

Työnantaja, älä sorru joustopesuun!

Häirintä työpaikalla on yhä edelleen ajankohtainen aihe. Häirinnästä on kyse silloin, kun henkilö on toistuvasti ja pitkäkestoisesti loukkaavan tai alistavan käyttäytymisen kohteena ja tästä aiheutuu hänelle terveyshaittaa. Häirintää voidaan kutsua arkikielessä myös nimellä työpaikkakiusaaminen ja sitä voi tapahtua paitsi työntekijöiden välillä, myös esihenkilön ja alaisen välillä. Työnantajalla on velvollisuus selvittää tilanne sekä puuttua häirintään ja...

Häirintään työpaikalla on suhtauduttava vakavasti

Ruotsin hallitus perusti vuonna 2021 komitean arvioimaan korkorajoitussäännösten mahdollisia muutostarpeita. Komitea on 31.5.2024 julkaisemassaan raportissa esittänyt useita muutoksia nykyisiin korkovähennysrajoituksiin. PwC Ruotsi on uutisoinut aiheesta täällä. Keskeiset muutokset Konserniyksiköille otettaisiin käyttöön yhteinen konsernilaskenta nettokorkojen ja vähennysten laskemiseksi. Yhtiöt, joilla on mahdollisuus antaa toisilleen konserniavustuksia, muodostaisivat yhteisen laskentayksikön, jonka sisällä ne voivat tasata nettokorkojaan. Safe harbour...

Muutoksia Ruotsin korkorajoitussääntöihin

Viro aikoo ottaa käyttöön puolustusveroksi kutsutun uuden veron. Vero koostuu kolmesta lähteestä ja on voimassa väliaikaisesti vuoden 2028 loppuun saakka. PwC Viro on uutisoinut aiheesta täällä. Keskeinen sisältö Arvonlisävero nousee kahdella prosenttiyksiköllä 24 prosenttiin (arvonlisäveroa korotettiin jo 20 prosentista 22 prosenttiin vuonna 2024) 1.1.2025 alkaen. Luonnollisten henkilöiden tulovero nousee kahdella prosenttiyksiköllä 24 prosenttiin 1.1.2026 alkaen....

Viro aikoo ottaa käyttöön puolustusveron – yrityksille uusi kahden prosentin vero

Henkilötietojen käsittelyssä ja tietoturvan ylläpitämisessä on monia haasteita, ja virheitä voi tapahtua helposti. Tässä artikkelissa käydään läpi yleisiä virheitä henkilötietojen käsittelyssä ja annetaan lyhyet muistisäännöt niiden välttämiseksi. Puutteellinen käsittelyperuste Henkilötietojen käsittely edellyttää aina, että käsittelylle on olemassa joku laissa mainittu peruste. EU:n tietosuoja-asetuksen (GDPR) mukaiset käsittelyperusteet ovat: rekisteröidyn suostumus sopimus rekisterinpitäjän lakisääteinen velvoite elintärkeiden etujen...

Viisi tavallista virhettä henkilötietojen käsittelyssä – ja kuinka välttää ne

Polttoaineiden jakeluun kohdistuva päästökauppa (ETS2) on uusi, EU:n yhteinen päästökauppavelvoite fossiilisia polttoaineita jakeleville, valmisteverovelvollisille toimijoille. Jakelijoiden päästökauppa aiheuttaa uusia viranomaisvelvoitteita toimijoille, joilla on energiatuotteisiin liittyviä valmisteverorekisteröintejä. Velvoite koskee nestemäisiä ja kaasumaisia, fossiilisia polttoaineita. Toimijoiden tulee rekisteröityä ja aloittaa raportointi Energiavirastolle vuoden 2025 alkupuoliskolla. Mikä on ETS2? Työ- ja elinkeinoministeriö on valmistelemassa uutta lakia fossiilisen polttoaineen...

Polttoainejakelijoiden päästökaupasta lisävelvoitteita valmisteverolupien haltijoille

Vaikka Suomen lainsäädäntö ei tunne trusteja, monessa maassa ne ovat tavallinen väline esimerkiksi perhevarallisuuden hallinnointiin. KHO:n tuoreen päätöksen mukaisesti varoja ei kuitenkaan voi luovuttaa trustiin ilman luovutusvoittoverotusta. Samalla tapaus osoittaa selvän sääntelyn puuttumisen ongelmat. Suomen verolainsäädäntö ei tunne trusteja, eikä se sisällä nimenomaisia trusteja koskevia säännöksiä. Oikeuskäytännössä harvat trusteja koskevat ratkaisut ovatkin siksi perustuneet tapauskohtaiseen...

Omaisuuden luovutus trustiin voi olla veronalainen luovutus

Monissa organisaatioissa perinteisen HR:n on korvannut jokin uudella, modernimmalla termillä kutsuttava toiminto, kuten People Operations tai People and Culture. Joissain yhteyksissä henkilöstöön liittyvistä toiminnoista puhutaan termillä “moderni HR” ikään kuin korostaen sitä, ettei kyse ole mistään pölyttyneestä viime vuosituhannelle jämähtäneestä osastosta tai vain nimensä mukaisesti henkilöstöresursseista. Henkilöstötoimintojen nimeämiseen liittyvä semantiikka osoittaa, että työelämä on muuttunut...

Tehokas ja tuottava HR – miten pysyä aallonharjalla?

Etusivu

Verotus

Johtaminen ja vastuullisuus

Yrittäjyys

Juridiikka

Taloushallinto

Teknologia ja digitaalisuus

Strategy& -topics

Medialle

Tilaa uutiskirje


<p>Red Teamingilla tarkoitetaan harjoitusta, jossa joukko kyberturvallisuuden ammattilaisia (Red Team) tekeytyy hyökkääjäksi ja simuloi aidon kaltaista verkkohyökkäystä yrityksen verkkoon. Harjoitus testaa yrityksen valmiuksia suojautua ja reagoida kyberhyökkäyksiin ja auttaa siten yritystä virittämään puolustuskykyään tehokkaammaksi aitoja hyökkäyksiä varten. Tavoitteena on löytää heikkoja kohtia puolustusmekanismeissa, hyökkäysten havaintokyvyissä ja verkkoympäristöjen sekä tietojärjestelmien konfiguraatioissa. Harjoitus muodostaa realistisen kuvan yrityksen havainnointi- ja reagointikyvyistä sekä auttaa tunnistamaan näiden tärkeimpiä kehityskohteita.</p>
<p>Harjoituksessa Red Team simuloi todellista uhkatekijää käyttämällä realistisia keinoja yrityksen IT-ympäristöön murtautumiseen, pääkäyttäjän tunnusten haltuunottoon, ympäristössä levittäytymiseen, puolustuksen ohittamiseen, pysyvän jalansijan muodostamiseen sekä ennalta määritettyjen tavoitteiden saavuttamiseen. Harjoituksessa hyödynnetyt keinot valmistellaan huolellisesti ottamalla mallia keskeisimpien uhkatoimijoiden käyttämistä tekniikoista ja taktiikoista. Samalla hyödynnetään kyberturvatutkijoiden uusia löydöksiä sekä Red Teamin itse kehittämiä työkaluja.</p>
<p>Tiivistettynä Red Team on kuin oikea uhkatoimija, joka ei kuitenkaan pyri vahingoittamaan kohdeyritystä, vaan auttaa sitä sen sijaan kehittämään puolustustaan paremmaksi.</p>
<h2>Miten Red Teaming -harjoitus toteutetaan?</h2>
<p>Red Teaming tulisi toteuttaa siten, että vain muutama henkilö yrityksessä on siitä tietoinen. Erityisesti yrityksen tietoturvavalvomo (Security Operations Center, SOC) on pidettävä sisäpiirin ulkopuolella. Menettelyllä varmistetaan, että harjoitus testaa yrityksen havainnointikyvyn mahdollisimman todenmukaisesti ja että uhkaan vastataan aina yhtä tehokkaasti, oli kyseessä oikea hyökkäys tai harjoitus. Mikäli olet hankkinut tietoturvavalvomon palveluna, on sen tehokkuutta ja toimintaa hyvä arvioida säännöllisillä Red Teaming –harjoituksilla.</p>
<p>Harjoituksen alkaessa avustamme asiakasyritystä sopimaan tavoitteet, jotka Red Team pyrkii harjoituksen aikana saavuttamaan. Tavoitteina voi olla esimerkiksi pääkäyttäjäoikeuksien saaminen IT-ympäristössä, pääsy liiketoiminnan kannalta kriittisiin järjestelmiin, pääsy luottamukselliseen tietoon tai kiristyshaittaohjelmahyökkäyksen simulointi. Harjoituksessa Red Team pyrkii saavuttamaan ennalta määritellyt tavoitteet ja välttämään aiheuttamasta hälytyksiä tietoturvavalvomolle eli pysymään piilossa puolustajilta.</p>
<p>Red Teaming –harjoitus voidaan aloittaa monella eri tavalla, tässä kaksi yleisintä lähestymistapaa:</p>
<h3>Aloitus sisäverkosta</h3>
<p>Tässä yleisimmin käytetyssä lähestymistavassa Red Teamille annetaan pääsy yrityksen sisäiseen verkkoon olettaen, että murto on jo tapahtunut. Tällä voidaan simuloida tilannetta, jossa työntekijä tai ulkoinen kumppani on joutunut kalastelun uhriksi. Skenaario voidaan toteuttaa esimerkiksi tarjoamalla Red Teamille virtuaalikone tai työasema ja luomalla realistinen käyttäjätunnus. Kokemuksemme mukaan tämä lähestymistapa kannattaa valita, kun yritys haluaa testata ensisijaisesti sisäisiä havainnointi- ja reagointikykyjään.</p>
<h3>Hyökkäys ulkopuolelta</h3>
<p>Jos yritys haluaa testata ulkoista puolustustaan, Red Team voi aloittaa hyökkäyssimulaation yrityksen ulkopuolelta. Tässä lähestymistavassa Red Team pyrkii pääsemään yrityksen sisäverkkoon esimerkiksi kohdennetun kalastelun (spear phishing) avulla tai yrityksen julkista internet-omaisuutta hyväksikäyttämällä, kuten hyökkäämällä verkkosovelluksen kautta. Myös ei-teknisiä hyökkäysmenetelmiä, kuten sosiaalista manipulointia tai fyysistä tunkeutumista voidaan hyödyntää.</p>
<h2>Miksi Red Teamingia tehdään?</h2>
<p>Red Teaming antaa yritykselle oppeja aidosta kyberhyökkäystilanteesta ja siitä, miten organisaatio kykenee toimimaan uhkatoimijoita vastaan. Harjoitus tarjoaa näkyvyyttä yrityksen havainnointi- ja reagointikykyihin, sillä se mahdollistaa tietoturvakontrollien ja -prosessien testaamisen todenmukaisessa käytännön tilanteessa. Joillakin toimialoilla myös regulaatio edellyttää säännöllistä uhkaperusteista tietoturvatestausta.</p>
<p>Harjoitus paljastaa usein lukuisia heikkoja kohtia yrityksen tietoturvassa. Tyypillisimpiä tekemiämme havaintoja ovat:</p>
<ul>
<li>Huolimaton salasanojen hallinta</li>
<li>Puutteelliset tietoturvavalvontajärjestelmät tai -prosessit</li>
<li>Konfiguraatiovirheet</li>
<li>Puutteellisesti hallitut ja liian laajat käyttöoikeudet</li>
<li>Haavoittuvat verkkosovellukset</li>
</ul>
<h2>Mitä eroa on Red Teamingilla, Purple Teamingilla ja penetraatiotestauksella?</h2>
<p>Red Teaming testaa todellista kykyäsi suojautua kyberhyökkäyksiltä. Se koettelee yrityksen puolustuskykyä ja arvioi työntekijöiden, sidosryhmien, teknologioiden, konfiguraatioiden ja palveluntoimittajien toimintaa kyberhyökkäystilanteessa.</p>
<p>Purple Teaming on yhdistelmä Red ja Blue Teamia eli hyökkäävää ja puolustavaa tietoturvaa. Purple Teaming keskittyy havainnointiin ja sen parantamiseen erilaisten valmisteltujen hyökkäysskenaarioiden avulla, eikä varsinaisesti etsi järjestelmistä haavoittuvuuksia. Hyökkäysskenaariot suoritettuamme työskentelemme yrityksen kyberpuolustuksen kanssa ja kehitämme uusia tapoja havainnoida hyökkäyksen eri vaiheita.</p>
<p>Penetraatiotestauksessa keskitytään useimmiten yhteen sovellukseen tai infrastruktuurin osaan. Laadukkaassa testauksessa on automaattisten skannausten lisäksi paljon manuaalista työtä, ja asiantuntijoiden tulee vahvistaa löydetyt haavoittuvuudet käsin.</p>
<p>Teknologian ja erityisesti tekoälyn kehitys tuottaa jatkuvasti uusia apuvälineitä kyberpuolustuksen testaamiseen, havainnointiin ja sääntöjen kehittämiseen sekä reagointiin. Penetraatiotestaukset ja Red Teaming –harjoitukset ovat kuitenkin silti tarpeellisia varmistamaan, että teknologioita on hyödynnetty oikein ja että prosessit ovat liiketoiminnan odotuksen mukaisia.</p>
<h2>Varmistu organisaatiosi riittävästä kyberturvallisuuden tasosta</h2>
<p>Hallinnolliset menettelyt, kuten tietoturvallisuuden hallintajärjestelmän sertifioinnit luovat puitteet tietoturvallisuudesta huolehtimiselle, mutta todellisen kyberuhkien sietokyvyn osalta tarvitaan myös teknistä testausta. Kykyjä on kehitettävä ja harjoiteltava säännöllisesti, jotta niiden toimivuuteen voidaan luottaa tositilanteessa.</p>
<p>Red Teaming auttaa yritystäsi havaitsemaan puolustuksesi heikot kohdat, kehittämään prosesseja ja korjaamaan mahdollisia konfigurointivirheitä. Harjoituksen tuotoksena laadimme yleistajuisen johdon yhteenvedon ja yksityiskohtaisen teknisen raportin, jossa kuvailemme yksityiskohtaisesti käyttämämme tekniset metodit, tekemämme havainnot sekä tietoturvapuutteiden aiheuttamat riskit liiketoiminnalle. Lisäksi saat kehitys- ja korjausehdotuksia.</p>
<p>Yrityksesi saa näin elintärkeää tietoa siitä, miten parantaa havainnointi- ja reagointiprosessejaan sekä infrastruktuurin ja sovellusten teknistä suojausta. Tämä kaikki auttaa yritystäsi valmistautumaan ja suojautumaan kyberhyökkäyksiltä jatkuvasti monimutkaistuvassa tietoyhteiskunnassamme.</p>
<p>Lue lisää <a href="https://www.pwc.fi/fi/palvelut/teknologia-ja-digitaalisuus/kyberturvallisuus-ja-tietosuoja.html#tekninen-tietoturva-ja-red-teaming">Red Teaming-</a> sekä muista <a href="https://www.pwc.fi/fi/palvelut/teknologia-ja-digitaalisuus/kyberturvallisuus-ja-tietosuoja.html">kyberturvallisuuden palveluistamme</a></p>


Red Teaming yrityksesi kyberpuolustuksen kehittämisen tukena

Aiheeseen liittyvät sisällöt

Teknologian nopea kehitys haastaa kyberturvallisuutta

Kohti ISO/IEC 27001 -pohjaista tietoturvallisuuden hallintajärjestelmää

Yhteyshenkilösi PwC:llä

Antti Herrala

Anne Hintzell

Palvelumme

Muut lukivat myös

PwC:n 70-vuotisen taipaleen keskiössä luottamus

Ovatko yritykset valmiita raportoimaan kestävyysraporteissaan myös EU-taksonomiasta?

Rikosoikeudellistuuko verotus – Milloin virhe verotuksessa on poliisiasia?