Kun puhutaan tietoturvasta ohjelmisto- ja teknologiayrityksissä, käytetään usein rinnakkain termejä Application Security (AppSec) ja Product Security (ProdSec). Vaikka ne ovat läheistä sukua toisilleen, niiden laajuudessa, vastuualueissa ja tavoitteissa on perustavanlaatuinen ero.
Määritelmä: Mikä on tuotetietoturva?
Tuotetietoturva (Product Security) on kokonaisvaltainen kurinalaisuus, joka varmistaa, että yrityksen asiakkaille toimitettavat tuotteet ovat turvallisia suunnittelusta elinkaaren päättymiseen asti. Se ei rajoitu vain verkkopalvelun lähdekoodiin, vaan kattaa koko tuote-ekosysteemin:
- Fyysinen laitteisto (Hardware): Piirilevyt, sirut, debug-portit (kuten JTAG ja UART) ja fyysinen peukaloinninsuojaus.
- Laiteohjelmisto (Firmware & OS): Käyttöjärjestelmän ydin, käynnistysketju (Secure Boot) ja laitteen ajurit.
- Sovellustaso (Software & Apps): Käyttöliittymät, mobiilisovellukset ja laitteessa ajettava liiketoimintalogiikka.
- Pilvi- ja taustajärjestelmät (Cloud & APIs): Laitteen kommunikaatio pilven kanssa, telemetria ja päivityspalvelimet (OTA-päivitykset).
- Toimitusketju (Supply Chain): Kolmansien osapuolten komponentit, avoimen lähdekoodin kirjastot (SBOM) ja valmistuskumppanien turvallisuus.
"Sovellusturva suojaa koodia hyökkäyksiltä. Tuoteturva varmistaa, että koko tuote — laitteineen, pilvineen ja toimitusketjuineen — on luotettava, sääntelyn mukainen ja turvallinen asiakkaan käsissä."
Miten tuoteturva eroaa perinteisestä sovellusturvasta?
Perinteinen sovellusturva (AppSec) sai alkunsa web-sovellusten yleistyessä 2000-luvulla. Se keskittyy tyypillisesti tunnettuihin sovellushaavoittuvuuksiin (kuten OWASP Top 10: SQL-injektiot, XSS, autentikointivirheet) ja staattiseen koodianalyysiin (SAST).
Tuoteturvallisuus ottaa laajemman perspektiivin. Tuoteturvatiimi (tai Product Security Manager) vastaa kysymyksiin:
- Mitä tapahtuu, jos laite varastetaan ja muistipiiri luetaan suoraan lukijalaitteella?
- Miten laitteen salausavaimet ja identiteetti (Secure Element, TPM) luodaan tehtaalla?
- Miten laiteohjelmistopäivitys toimitetaan turvallisesti ja varmistetaan sen digitaalinen allekirjoitus?
- Miten hallitsemme komponenttitoimittajiemme haavoittuvuuksia tuotteen 5–10 vuoden elinkaaren aikana?
- Täyttääkö tuote EU:n tulevan Cyber Resilience Act (CRA) -kyberresilienssiasetuksen vaatimukset?
Modernin tuoteturvaohjelman pilarit
Avainasemassa menestyvälle tuoteturvalle on sen integrointi suoraan tuotekehitykseen ja liiketoimintastrategiaan. Toimiva tuoteturvaohjelma nojaa neljään pääpilariin:
1. Sisäänrakennettu turvallisuus (Security by Design & Threat Modeling)
Tietoturvaa ei voi liimata valmiin tuotteen päälle testausvaiheessa. Uhkamallinnus (kuten STRIDE- tai PASTA-menetelmillä) tehdään jo vaatimusmäärittelyssä ja arkkitehtuurisuunnittelussa ennen kuin ensimmäistäkään koodiriviä tai piirilevyä tilataan.
2. Toimitusketjun läpinäkyvyys ja SBOM
Moderni tuote koostuu jopa 80–90 % kolmannen osapuolen ja avoimen lähdekoodin komponenteista. Tuoteturva edellyttää automaattista ohjelmistomateriaaluettelon (SBOM, esim. CycloneDX tai SPDX) tuottamista jokaisesta julkaistusta tuoteversiosta.
3. Haavoittuvuuksien elinkaarihallinta (Vulnerability Management & PSIRT)
Tuotteille tarvitaan virallinen haavoittuvuuksien ilmoituskanava (Vulnerability Disclosure Policy) sekä prosessi (Product Security Incident Response Team, PSIRT) paikkauksien kehittämiseksi ja jakelemiseksi asiakkaille.
4. Sääntely- ja vaatimustenmukaisuus (CRA, NIS2, RED)
Euroopan unionin kyberresilienssiasetus (CRA) tekee tuotetietoturvasta lakisääteisen edellytyksen CE-merkinnälle kaikissa EU-alueella myytävissä digitaalisissa tuotteissa. Tuoteturva ei ole enää valinnainen lisäosa, vaan markkinoillepääsyn ehto.
Yhteenveto
Siirtyminen pelkästä sovellusturvasta kokonaisvaltaiseen tuotetietoturvaan on yksi merkittävimmistä kehitysaskeleista suomalaisessa teknologiakentässä. Yritykset, jotka rakentavat tuoteturvasta kilpailuedun, pystyvät paitsi vastaamaan kiristyvään EU-sääntelyyn, myös voittamaan asiakkaiden luottamuksen globaaleilla markkinoilla.
Tulevissa prodsec.fi-artikkeleissa pureudumme konkreettisesti mm. EU:n Cyber Resilience Actin vaatimuksiin, laitteiden uhkamallinnukseen ja SBOM-hallinnan automatisointiin.