---
id: "cybersecurite-003"
title: "Kiristysohjelman kriittinen tunti: Ensimmäiset 60 minuuttia IT-infrastruktuurin pelastamiseksi"
description: "Opi kiristysohjelmahyökkäyksen ensituntien kriittiset toimet: eristä verkko katkaisematta virtaa, viesti varakanavilla ja aktivoi kriisiryhmä nopeasti."
canonical: https://startbrain.io/fi/kyberturvallisuus/kiristysohjelma-ensimmaiset-60-minuuttia-kriisinhallinta-ciso/
slug: "kiristysohjelma-ensimmaiset-60-minuuttia-kriisinhallinta-ciso"
date: "2026-09-11"
category: "cybersecurite"
product: "scd"
lang: fi
author: "Brain Security · T&K Kyberturvallisuus & Inhimillinen Tekijä"
frameworks: "Traficom NCSC-FI · Kybermittari · NIS 2 · DORA · ISO 27001"
---

# Kiristysohjelman kriittinen tunti: Ensimmäiset 60 minuuttia IT-infrastruktuurin pelastamiseksi

Kello on 06.14. IT-päivystys vastaanottaa poikkeavan hälytyksen: ensisijaisen hypervisorin levyn I/O-toiminnot saturoituvat, samalla kun useat jaetut tiedostopalvelimet nimeävät tiedostopäätteitään kiihtyvällä tahdilla muotoon `.locked`. Tässä vaiheessa kyberhyökkäys ei ole vasta alkamassa, vaan se on edennyt lopulliseen toteutusvaiheeseensa. Rikolliset ovat todennäköisesti viettäneet viikkoja kartoittaen verkkoa, eksfiltroimalla liiketoimintakriittistä dataa ja lamauttamalla verkkoyhteydessä olevia varmuuskopioita. Nyt kello käy armottomasti.

Lääketieteessä käsite "Golden Hour" viittaa kriittiseen ensimmäiseen tuntiin, jolloin tehdyt toimenpiteet ratkaisevat potilaan selviytymisen. Tietoturvassa toimii täsmälleen sama lainalaisuus. Ensimmäiset 60 minuuttia kiristysohjelman havaitsemisen jälkeen sinetöivät organisaation tulevaisuuden: joko rajaatte leviämisen ja säilytätte todisteet, tai teette klassiset virheet, jotka tuhoavat kuukausien forensiikkatutkinnan ja ajavat liiketoiminnan täydelliseen pysähdykseen.

---

## Mitä pitää tehdä ja mitä ei saa missään nimessä tehdä kiristysohjelmahyökkäyksen ensimmäisen tunnin aikana?

> **Tiivistelmä: Ensimmäisen tunnin aikana laitteet on eristettävä fyysisesti tai loogisesti verkosta sammuttamatta niitä keskusmuistin (RAM) säilyttämiseksi, siirrettävä viestintä täysin erillisiin varakanaviin (Out-of-Band) ja kutsuttava kriisiryhmä koolle ilman operatiivista paniikkia.**

Käynnissä olevan tiedostojen salauksen edessä monen ylläpitäjän vaistomainen reaktio on katkaista virta palvelimista tai työasemista vetämällä virtajohto irti. Tämä on kohtalokkain mahdollinen virhe.

### Välittömästi vältettävät kriittiset virheet

- **Älä koskaan sammuta tai käynnistä uudelleen saastuneita laitteita:** Virran katkaisu tyhjentää keskusmuistin (RAM) peruuttamattomasti. Tämä muisti sisältää tilapäiset salauksenpurkuavaimet, komentopalvelinten (C2) IP-osoitteet, muistissa ajettavat injektiot sekä forensiikan asiantuntijoille korvaamattomat digitaaliset todisteet. Lisäksi järjestelmän uudelleenkäynnistys tilanteessa, jossa kriittiset järjestelmätiedostot on jo salattu, estää koko koneen käynnistymisen uudelleen.
- **Älä käytä organisaation sisäistä sähköpostia tai VoIP-puheluita:** Jos Active Directory tai keskitetty identiteetinhallinta on kompromettoitu, sähköpostipalvelimet ja yhteistyötyökalut ovat suurella todennäköisyydellä myös hyökkääjän hallussa. Hyökkääjät seuraavat kriisiviestintäänne ja mukauttavat taktiikkaansa reaaliajassa.
- **Älä yritä neuvotella yksin tai maksaa lunnaita välittömästi:** Ennenaikainen yhteydenotto vahvistaa hyökkääjälle, että kohdejärjestelmä on elintärkeä, mikä nostaa automaattisesti lunnaiden määrää ja psykologista painostusta.

---

## Miten ympäristö eristetään tuhoamatta digitaalisia todisteita?

> **Tiivistelmä: Ensisijainen prioriteetti on katkaista verkkoyhteydet irrottamalla Ethernet-kaapelit, poistamalla Wi-Fi käytöstä tai eristämällä VLAN-verkot kytkintasolla, pitäen samalla laitteet päällä haihtuvien muistitodisteiden tallentamiseksi.**

Tietojärjestelmien eristäminen ei tarkoita koko konesalin pimentämistä pääkytkimestä. Tavoitteena on estää haittaohjelman sivuttaisliike (lateral movement) SMB-, RDP- tai WMI-protokollien kautta säilyttäen samalla laitteiden tila rikosteknistä tutkintaa varten.

### Hätäeristämisen protokolla

1. **Fyysinen verkkoyhteyksien katkaisu:** Irrota RJ45-kaapelit saastuneista palvelimista ja kytke työasemien Wi-Fi pois päältä. Laajamittaisessa hyökkäyksessä verkkotiimin on eristettävä kyseiset VLAN-verkot tai katkaistava toimipisteiden väliset WAN- ja VPN-yhteydet.
2. **Saapuvien etäyhteyksien sulkeminen:** Mitätöi välittömästi ulkoiset VPN-yhteydet, etäpääsykäytävät sekä aktiiviset ylläpitoistunnot. Hyökkääjillä on usein samanaikaisesti useita takaovia auki.
3. **Lepotilaan siirtäminen sammuttamisen sijaan (jos menetelmä hallitaan):** Jos tiimillänne on osaaminen pakottaa järjestelmä syvään lepotilaan (hibernation), tämä tallentaa RAM-muistin sisällön levylle (`hiberfil.sys`) ennen laitteen sammumista ja lukitsee muistin tilan talteen. Jos tätä teknistä valmiutta ei ole varmistettu, jätä koneet päälle ja eristä ne verkosta.
4. **Varmuuskopioiden eristäminen:** Irrota fyysisesti offline-varmuuskopiot ja erilliset tallennusjärjestelmät. Katkaise automaattiset pilvisynkronoinnit, jotta salatut tiedostot eivät korvaa toimivia versioita pilvessä.

Jos haluatte harjoituttaa teknisiä tiimejänne ja johtajia näihin korkean paineen päätöksiin vaarantamatta omaa infrastruktuurianne, selaimessa maksutta toimiva 3D-kriisinhallintapelimme [Super CISO Destroyer](/en-us/catalog/super-ciso-destroyer/) heittää osallistujat suoraan kyberhyökkäyksen kohteeksi joutuneen tietoturvajohtajan saappaisiin.

---

## Miten vastatoimet organisoidaan ja kriisiryhmä aktivoidaan?

Tekninen reagointi on vain yksi osa kiristysohjelman hallintaa. Ilman saumatonta inhimillistä koordinointia parhaatkin insinöörit menettävät tilannekuvan kymmenissä minuuteissa.

### Ota käyttöön erillinen viestintäkanava (Out-of-Band)

Ennen kriisikokouksen avaamista viestintäkanavan eheys on varmistettava. Käytä ennalta sovittua, päästä päähän salattua viestisovellusta (joka perustuu henkilökohtaisiin puhelinnumeroihin tai erilliseen ratkaisuun ilman yhteyttä yrityksen hakemistopalveluihin) tai yritysverkon ulkopuolella toimivia matkapuhelimia. Älä käytä Teamsia, Slackia tai yrityssähköposteja, ennen kuin keskitetyn käyttäjähakemiston koskemattomuus on täysin varma.

### Kriisiryhmän tehtävät ensimmäisen tunnin aikana

- **Johtamisvastuu:** Nimeä yksi koordinaattori, joka keskittää tilannekuvan, kirjaa tapahtumat aikaleimoineen paperiseen lokikirjaan ja karsii ulkoiset häiriötekijät.
- **Sääntely ja viranomaisilmoitukset:** Valmistele lakisääteiset ilmoitukset viranomaisille. Tämä sisältää Tietosuojavaltuutetun toimiston informoimisen 72 tunnin kuluessa, mikäli henkilötietoja on vaarantunut (GDPR), sekä ilmoituksen Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskukselle (NCSC-FI) Kyberturvallisuuslain (NIS 2) mukaisesti. Finanssialan toimijoita koskee lisäksi Finanssivalvonnan (Fiva) ja DORA-asetuksen tiukka raportointikehys. Ole myös yhteydessä kybervakuutusyhtiöösi.
- **Viestintä:** Laadi ensimmäiset sisäiset viestilinjaukset huhujen ja paniikin estämiseksi sekä ohjeista vaihde ja asiakaspalvelu ulkoisten tiedustelujen varalta.

Kiristysohjelmahyökkäyksen ensiminuuttien hallintaa ei harjoitella vasta tositilanteessa: protokollat vaativat säännöllistä testausta, dokumentointia ja käytännön kokeilua. Haluatteko arvioida kriisitoimintamallienne kypsyyttä ja valmentaa henkilöstöänne todellisiin tilanteisiin? [Keskustele asiantuntijoidemme kanssa](/en-us/book-a-demo/) rakentaaksesi organisaatiollenne sopivat, osallistavat harjoituskokonaisuudet.

### Maturity Self-Assessment Grid: Kiristysohjelman kriittinen tunti: Ensimmäiset 60 minuuttia IT-infrastruktuurin pelastamiseksi

| Assessed Domain | Target Practice Defined in Guide | Related Chapter | Priority |
| --- | --- | --- | --- |
| **Älä koskaan sammuta tai käynnistä uudelleen…** | Virran katkaisu tyhjentää keskusmuistin (RAM) peruuttamattomasti. Tämä muisti sisältää tilapäiset salauksenpurkuavaimet, komentopalvelinten (C2)… | Mitä pitää tehdä ja mitä ei saa missään nimessä tehdä… | P1 · Critical |
| **Johtamisvastuu** | Nimeä yksi koordinaattori, joka keskittää tilannekuvan, kirjaa tapahtumat aikaleimoineen paperiseen lokikirjaan ja karsii ulkoiset häiriötekijät. | Miten vastatoimet organisoidaan ja kriisiryhmä aktivoidaan? | P1 · High |
| **Älä käytä organisaation sisäistä sähköpostia tai…** | Jos Active Directory tai keskitetty identiteetinhallinta on kompromettoitu, sähköpostipalvelimet ja yhteistyötyökalut ovat suurella… | Mitä pitää tehdä ja mitä ei saa missään nimessä tehdä… | P2 · Core |
| **Sääntely ja viranomaisilmoitukset** | Valmistele lakisääteiset ilmoitukset viranomaisille. Tämä sisältää Tietosuojavaltuutetun toimiston informoimisen 72 tunnin kuluessa, mikäli… | Miten vastatoimet organisoidaan ja kriisiryhmä aktivoidaan? | P2 · Ongoing |

---

## Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut

### Aiheeseen liittyvät artikkelit

- **[Kyberkriisiviestinta: Miten viestia henkilostolle, asiakkaille ja medialle?](/fi/kyberturvallisuus/kyberkriisiviestinta-ohjeet-ciso-johtoryhma/)** (Cyber Crisis & Ransomware) : Hallitse kyberhyokkayksen kriisiviestinta tehokkaasti. Opi viestimaan henkilostolle, asiakkaille ja medialle ilman kalliita virheita.
- **[Jatkuvuussuunnitelma ja toipumissuunnitelma: Miksi testaamaton suunnitelma on pelkkä kangastus](/fi/kyberturvallisuus/jatkuvuussuunnitelma-toipumissuunnitelma-kyberhyokkays-harjoitus/)** (Cyber Crisis & Ransomware) : Opi miksi jatkuvuus- ja toipumissuunnitelmien testaaminen tositilanteen paineessa estää katastrofin. Huomioi piiloriippuvuudet ja johtoryhmän kestävyys.
- **[Varjo-IT hallintaan : Miten hillitä hallitsemattomia työkaluja estämättä liiketoimintaa?](/fi/kyberturvallisuus/varjo-it-hallinta-tietoturva-riskit-yrityksille/)** (Cyber Crisis & Ransomware) : Ymmärrä varjo-IT:n riskit ja sovita tietoturva yhteen liiketoiminnan tarpeiden kanssa avoimen vuoropuhelun ja jatkuvan koulutuksen avulla.
- **[Ulkoiset kumppanit ja alihankkijat: Tuleeko heidät ottaa mukaan kyberturvakoulutukseen?](/fi/kyberturvallisuus/alihankkijat-kumppanit-kyberturvakoulutus-nis2-iso27001/)** (Compliance (NIS 2, DORA, ISO)) : Opi miksi ja miten sitouttaa konsultit sekä alihankkijat kyberkoulutuksiin ilman kitkaa, täyttäen NIS 2:n ja ISO 27001:n vaatimukset suomalaisissa yrityksissä.

### Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

- **Liittyvä ratkaisu : [Super CISO Destroyer](/en-us/catalog/super-ciso-destroyer/)** : Nopea kahden minuutin arcade-peli tietoturvajohtajille ja IT-tiimeille.
- **[Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan](/en-us/use-cases/)**
- **[Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme](/en-us/compare/)**
- **[Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan](/en-us/catalog/)**
- **[Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)](/en-us/book-a-demo/)**

---

- https://startbrain.io/fi/kyberturvallisuus/kiristysohjelma-ensimmaiset-60-minuuttia-kriisinhallinta-ciso/
- [Français](https://startbrain.io/fr/cybersecurite/premiere-heure-attaque-ransomware-reflexes-golden-hour/)
- [Deutsch](https://startbrain.io/de/cybersecurity/golden-hour-ransomware-erste-stunde-it-sicherheit/)
- [English (UK)](https://startbrain.io/en-gb/cybersecurity/ransomware-golden-hour-first-sixty-minutes/)
- [English (US)](https://startbrain.io/en-us/cybersecurity/ransomware-golden-hour-incident-response-guide/)
- [Español](https://startbrain.io/es/cyberseguridad/golden-hour-ransomware-primeros-minutos-ciberataque/)
- [Italiano](https://startbrain.io/it/sicurezza-informatica/golden-hour-ransomware-primi-60-minuti/)
- [Nederlands](https://startbrain.io/nl/cybersecurity/gouden-uur-ransomware-eerste-uur-respons/)
- [Português](https://startbrain.io/pt/ciberseguranca/golden-hour-ransomware-primeiros-sessenta-minutos/)
- [日本語](https://startbrain.io/ja/cybersecurity/ransomware-first-hour-incident-response-ciso-japan/)
- [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/zlota-godzina-ransomware-reagowanie-incydent-ciso/)
- [Svenska](https://startbrain.io/sv/cybersakerhet/ransomware-golden-hour-forsta-timmens-it-haveri/)
- [Dansk](https://startbrain.io/da/cybersikkerhed/ransomware-golden-hour-forste-time-kriseberedskab/)
- [Norsk](https://startbrain.io/no/cybersikkerhet/golden-hour-losepengevirus-forste-time-beredskap/)
- [English (Canada)](https://startbrain.io/en-ca/cybersecurity/ransomware-golden-hour-first-60-minutes-ciso-response/)
- [llms.txt](https://startbrain.io/llms.txt)