--- id: "conformite-009" title: "PCI DSS v4.0 Vaatimus 12.6: Uusi aikakausi tietoturvatietoisuudelle" description: "Opi PCI DSS v4.0 vaatimuksen 12.6 muutokset: sosiaalinen manipulointi, kalastelu ja henkilöstön osaamisen vuosittainen arviointi käytännössä." canonical: https://startbrain.io/fi/kyberturvallisuus/pci-dss-v4-vaatimus-12-tietoturvakoulutus/ slug: "pci-dss-v4-vaatimus-12-tietoturvakoulutus" date: "2026-08-29" category: "conformite" product: "superchallenge" lang: fi author: "Brain Security · T&K Kyberturvallisuus & Inhimillinen Tekijä" frameworks: "Traficom NCSC-FI · Kybermittari · NIS 2 · DORA · ISO 27001" --- # PCI DSS v4.0 (Vaatimus 12.6): Mikä muuttuu tietoturvakoulutuksessa ja sosiaalisen manipuloinnin torjunnassa Maksukorttitietojen käsittely edellyttää tinkimätöntä tarkkuutta. Vuosien ajan monet suomalaiset organisaatiot ovat lähestyneet PCI DSS -vaatimustenmukaisuutta lähes yksinomaan teknisen infrastruktuurin kautta: tiukka verkon segmentointi, vahva tiedonsiirron salaus ja palvelinten koventaminen. Viimeaikaiset auditoinnit ja poikkeamaraportit osoittavat kuitenkin kiistattoman tosiasian: ihminen on edelleen hyökkääjien ensisijainen reitti kortinhaltijatietojen ympäristöön (CDE). PCI DSS v4.0 -standardin myötä QSA-auditoijat (Qualified Security Assessor) eivät enää tyydy tarkistamaan, että henkilöstö on kerran vuodessa kuitannut geneerisen verkkokurssin suoritetuksi. Vaatimus 12.6 asettaa uuden tason edellyttämällä ennakoivaa, jatkuvaa ja nimenomaisesti nykyaikaisiin manipulointimenetelmiin, kuten tietojenkalasteluun ja sosiaaliseen manipulointiin, keskittyvää lähestymistapaa. Tietoturvajohdolle (CISO) kyse ei ole enää muodollisesta kuittaamisesta, vaan mitattavasta pedagogisesta vaikuttavuudesta. --- ## Mitä uutta PCI DSS v4.0 tuo tietoturvatietoisuusohjelmaan? > **Tiivistelmä: PCI DSS v4.0 uudistaa vaatimuksen 12.6 edellyttämällä koulutussisältöjen säännöllistä vuosittaista katselmointia sekä nimenomaista perehdytystä sosiaalisen manipuloinnin ja kalastelun tekniikoihin kaikille, joilla on pääsy korttitietoihin tai joiden työ vaikuttaa niiden turvallisuuteen.** Aiemmassa versiossa 3.2.1 vaatimus 12.6 edellytti ainoastaan muodollisen tietoisuusohjelman käyttöönottoa henkilöstön kouluttamiseksi aloitusvaiheessa ja vähintään kerran vuodessa. Tämä johti usein passiivisiin koulutuksiin, jotka unohtuivat nopeasti ja olivat irti todellisista uhkista. Versio 4.0 tiukentaa vaatimuksia merkittävästi tarkempien alakohtien kautta: - **Vaatimus 12.6.1:** Tietoisuusohjelma on katselmoitava virallisesti vähintään kerran 12 kuukaudessa. Tämän pakollisen päivityksen tavoitteena on heijastaa uusia kyberuhkia, organisaation teknologisia muutoksia sekä aiempien poikkeamien oppeja. - **Vaatimus 12.6.2:** Henkilöstö on koulutettava heti työsuhteen alussa ja vähintään vuosittain sen jälkeen. Sisältö ei voi enää olla kaikille identtinen: sen on vastattava kunkin työntekijän roolikohtaisia vastuita kriittisen datan suojaamisessa. - **Vaatimus 12.6.3.1 (täysimääräisesti sovellettava maaliskuusta 2025 alkaen):** Tämä on merkittävin muutos. Koulutusohjelman on nyt sisällettävä pakollisena perusteellinen perehdytys sosiaalisen manipuloinnin uhkiin, mukaan lukien kohdennettu kalastelu (spear-phishing) ja identiteetin väärentämisyritykset, joiden tavoitteena on ohittaa tekniset suojaukset. Auditoijat edellyttävät nyt konkreettisia todisteita henkilöstön sitoutumisesta, sisältöjen päivityssuunnitelmista ja osaamisen todellisesta omaksumisesta. --- ## Miten sosiaalisen manipuloinnin torjunta linjataan QSA-auditoijien kriteereihin? > **Tiivistelmä: QSA-auditoijien vaatimusten täyttämiseksi organisaation on osoitettava, että työntekijät osaavat tunnistaa manipulointiyritykset säännöllisen harjoittelun, kontekstiin sidottujen skenaarioiden sekä dokumentoitujen suoritus- ja edistymismittarien avulla.** Sosiaalinen manipulointi ei ole enää pelkkä teoreettinen käsite standardin tekstissä: se määritellään suoraksi operatiiviseksi riskiksi. Hyökkääjät eivät välttämättä pyri murtamaan AES-256-salausta, vaan manipuloivat asiakaspalvelijaa tai pääkäyttäjää saadakseen pääsytiedot CDE-ympäristöön. Jotta vaatimustenmukaisuus muuttuu todelliseksi suojaksi, organisaation on hyödynnettävä seuraavia keinoja: ### Teorian ylittäminen tilannekohtaisella harjoittelulla Kymmenien sivujen mittainen staattinen ohjeistus vishing- tai smishing-käsitteistä ei valmista ketään arjen tilanteisiin. Työntekijöiden on kohdattava uskottavia tilanteita: epäilyttäviä yhteydenottoja, simuloituja kiiretilanteita tai poikkeavia salasanojen nollauspyyntöjä. ### Välittömän ilmoittamisen kulttuurin rakentaminen Standardi korostaa nopeaa reagointia havaittuihin uhkiin. Jos työntekijä klikkaa vahingossa haitallista linkkiä, hän ei saa pelätä seuraamuksia, vaan hänen on tiedettävä tarkalleen, miten asiasta ilmoitetaan SOC-tiimille tai tietoturvavastaaville viipymättä. Koulutusohjelman on painotettava selkeää eskalointiprosessia. ### Oppimisen rytmittäminen läpi vuoden Jatkuvan katselmoinnin vaatimusten täyttämiseksi oppimisen jakaminen lyhyisiin jaksoihin on huomattavasti tehokkaampaa kuin yksi raskas vuotuinen koulutussessio. Lyhyet, interaktiiviset ja säännölliset harjoitukset ylläpitävät valppautta kuormittamatta henkilöstön ajankäyttöä. --- ## Miksi pelillisyys ja haasteet vahvistavat operatiivista vaatimustenmukaisuutta? Yksi tietohallinnon ja tietoturvajohdon suurimmista haasteista PCI DSS -auditoinnissa on osoittaa, että henkilöstö todella sisäistää tietoturvasäännöt. Taustalla pyörineistä videoista kertyneet keinotekoiset suoritusprosentit eivät enää vakuuta kokeneita auditoijia. Tietoturvarefleksien juurruttamiseksi ja ydinkäsitteiden ymmärtämisen varmistamiseksi interaktiiviset menetelmät tuottavat huomattavasti perinteisiä malleja parempia tuloksia. Pelilliset ja motivoivat formaatit tekevät lakisääteisestä velvoitteesta koko organisaatiota innostavan yhteisen harjoituksen. Tähän tarpeeseen vastaa esimerkiksi [Super Challenge](/en-us/catalog/super-challenge/), erissä ja teemoittain pelattava kyber- ja tekoälyvisakilpailumme (kokeiltavissa itsenäisesti 5 maksuttomalla pääsyllä ilman luottokorttia). Tämä formaatti testaa henkilöstön valmiuksia puolustusmekanismeissa, sosiaalisen manipuloinnin tunnistamisessa ja tiedonsuojauskäytännöissä keräten samalla selkeää dataa osaamistasosta. Nämä mittarit ovat arvokasta näyttöä vaatimuksen 12.6.1 edellyttämässä vuotuisessa katselmoinnissa. --- ## Rakenna vaatimukset täyttävä ja mitattava ohjelma auditointien tueksi Tietoturvatietoisuuden saattaminen PCI DSS v4.0 -tasolle ei saa olla pelkkä hallinnollinen taakka. Se tarjoaa erinomaisen tilaisuuden modernisoida menetelmiä, sitouttaa henkilöstöä ja nostaa organisaation todellista puolustuskykyä nykyaikaisia uhkia vastaan. Kun haluat rakentaa henkilöstöä osallistavan, auditoijien odotuksiin vastaavan ja organisaatiosi tarpeisiin skaalautuvan tietoturvakulttuurin, [ota yhteyttä tiimiimme](/en-us/book-a-demo/) keskustellaksesi tavoitteisiisi parhaiten sopivista ratkaisuista. ### Executive Synthesis of Guide Pillars: PCI DSS v4.0 Vaatimus 12.6: Uusi aikakausi tietoturvatietoisuudelle | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **Vaatimus 12.6.1** | Tietoisuusohjelma on katselmoitava virallisesti vähintään kerran 12 kuukaudessa. Tämän pakollisen päivityksen tavoitteena on heijastaa uusia… (Mitä uutta PCI DSS v4.0 tuo tietoturvatietoisuusohjelmaan?) | | **Vaatimus 12.6.2** | Henkilöstö on koulutettava heti työsuhteen alussa ja vähintään vuosittain sen jälkeen. Sisältö ei voi enää olla kaikille identtinen: sen on… (Mitä uutta PCI DSS v4.0 tuo tietoturvatietoisuusohjelmaan?) | | **Vaatimus 12.6.3.1 (täysimääräisesti sovellettava…** | Tämä on merkittävin muutos. Koulutusohjelman on nyt sisällettävä pakollisena perusteellinen perehdytys sosiaalisen manipuloinnin uhkiin, mukaan… (Mitä uutta PCI DSS v4.0 tuo tietoturvatietoisuusohjelmaan?) | | **Mitä uutta PCI DSS v4.0 tuo…** | Aiemmassa versiossa 3.2.1 vaatimus 12.6 edellytti ainoastaan muodollisen tietoisuusohjelman käyttöönottoa henkilöstön kouluttamiseksi… (Mitä uutta PCI DSS v4.0 tuo tietoturvatietoisuusohjelmaan?) | --- ## Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut ### Aiheeseen liittyvät artikkelit - **[Kyberturvallisuuden perushygienia: Miten vieda NCSC-FI-ohjeiden saanto numero 1 kaytantoon](/fi/kyberturvallisuus/kyberturvallisuuden-perushygienia-tietoturvakoulutus-ncsc-fi/)** (Compliance (NIS 2, DORA, ISO)) : Opi muuttamaan kyberturvallisuuden perushygienia ja henkiloston tietoturvakoulutus aidoiksi rutiineiksi organisaatiossasi micro-learningin avulla. - **[Asiakkaiden tietoturvakyselyt: Osoita kyberturvatietoisuuden vaikuttavuus](/fi/kyberturvallisuus/asiakkaiden-tietoturvakyselyt-vsa-rfi-koulutus/)** (Compliance (NIS 2, DORA, ISO)) : Vastaa suuryritysten VSA- ja RFI-tietoturvakyselyihin vakuuttavasti. Osoita henkilöstön kyberturvakoulutuksen teho mitattavalla datalla. - **[Vaatimustenmukaisuus vs sitoutuminen: Miksi pelkkä ruudun rastittaminen ei suojaa yritystä](/fi/kyberturvallisuus/vaatimustenmukaisuus-vs-sitoutuminen-tietoturvakulttuuri-kyber/)** (Compliance (NIS 2, DORA, ISO)) : Opi yhdistämään kyberturvallisuuden vaatimustenmukaisuus ja aito turvallisuuskulttuuri. Muuta sääntelyvaatimukset kestäviksi reflekseiksi pelillisyyden avulla. - **[Miksi CISO:n, henkilöstöjohdon ja tekoälyvastaavan on yhdistettävä koulutuksensa](/fi/kyberturvallisuus/miksi-tietoturva-hr-tekoaly-yhdessa/)** (AI Literacy & AI Act) : Yhdistä kyberturvallisuus ja tekoälyoppiminen saumattomaksi kokonaisuudeksi. Vältä henkilöstön kognitiivinen kuormitus tehokkaalla yhteisohjelmalla. ### Tutustu Brain Securityn ratkaisuihin verkkosivuillamme - **Liittyvä ratkaisu : [Super Challenge](/en-us/catalog/super-challenge/)** : Mukautettava kyber- ja tekoälykilpailu: ajastettuja minipelejä ja pelillistettyä oppimista. - **[Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan](/en-us/use-cases/)** - **[Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme](/en-us/compare/)** - **[Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan](/en-us/catalog/)** - **[Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)](/en-us/book-a-demo/)** --- - https://startbrain.io/fi/kyberturvallisuus/pci-dss-v4-vaatimus-12-tietoturvakoulutus/ - [Français](https://startbrain.io/fr/cybersecurite/pci-dss-v4-exigences-sensibilisation-phishing/) - [Deutsch](https://startbrain.io/de/cybersecurity/pci-dss-v4-anforderung-12-6-security-awareness/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/pci-dss-v4-requirement-12-6-security-awareness/) - [English (US)](https://startbrain.io/en-us/cybersecurity/pci-dss-v4-requirement-12-6-awareness-guide/) - [Español](https://startbrain.io/es/cyberseguridad/pci-dss-v4-requisito-12-6-concienciacion-ciberseguridad/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/pci-dss-v4-requisito-12-6-formazione-cyber/) - [Nederlands](https://startbrain.io/nl/cybersecurity/pci-dss-v4-eis-12-6-security-awareness/) - [Português](https://startbrain.io/pt/ciberseguranca/pci-dss-v4-requisito-12-6-sensibilizacao-cyber/) - [日本語](https://startbrain.io/ja/cybersecurity/pci-dss-v4-requirement-12-6-security-awareness-japan/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/pci-dss-v4-wymog-12-6-szkolenia-socjotechnika/) - [Svenska](https://startbrain.io/sv/cybersakerhet/pci-dss-krav-utbildning-cybersakerhet-social-engineering/) - [Dansk](https://startbrain.io/da/cybersikkerhed/pci-dss-v4-krav-12-awareness-social-engineering/) - [Norsk](https://startbrain.io/no/cybersikkerhet/pci-dss-v4-krav-12-6-sikkerhetskultur/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/pci-dss-v4-requirement-12-6-cyber-awareness-ciso/) - [llms.txt](https://startbrain.io/llms.txt)