--- id: "conformite-021" title: "PCI DSS v4.0 Vaatimus 12.6: Tietoturvakoulutus ja kalastelun torjunta" description: "Ota haltuun PCI DSS v4.0 vaatimus 12.6. Rakenna tehokas tietoturvakoulutus, torju tietojenkalastelu ja vakuuta QSA-auditoija käytännön neuvoillamme." canonical: https://startbrain.io/fi/kyberturvallisuus/pci-dss-vaatimus-tietoturvakoulutus-kalastelu/ slug: "pci-dss-vaatimus-tietoturvakoulutus-kalastelu" date: "2026-08-11" category: "conformite" product: "superphisher" lang: fi author: "Brain Security · T&K Kyberturvallisuus & Inhimillinen Tekijä" frameworks: "Traficom NCSC-FI · Kybermittari · NIS 2 · DORA · ISO 27001" --- # PCI DSS v4.0 (Vaatimus 12.6): Päivitä organisaatiosi tietoturvakoulutus ja sosiaalisen manipuloinnin torjunta Maksukorttitietoja käsitteleville CISOille, tietoturvajohdolle ja vaatimustenmukaisuudesta vastaaville siirtymä PCI DSS v4.0 -standardiin edustaa merkittävää strategista muutosta. Pitkään pelkkänä vuosittaisena rutiinina pidetty henkilöstön koulutus ei voi enää rajoittua puuduttavaan verkkokurssiin, joka klikkaillaan läpi ilman ajatusta. QSA-auditoijat (Qualified Security Assessor) arvioivat nyt inhimillisen puolustuksenne todellista toimivuutta, sillä ihminen on edelleen ensisijainen hyökkäysvektori kortinhaltijatietojen ympäristöjen (Cardholder Data Environment, CDE) vaarantamisessa. Myös Finanssivalvonnan ja DORA-sääntelyn kontekstissa maksuliikenteen häiriönsietokyky on tiukassa syynissä. PCI DSS v4.0 -standardin vaatimus 12.6 vahvistaa tämän suunnanmuutoksen: se velvoittaa jatkuvaan, kontekstisidonnaiseen ja vähintään vuosittain uudelleenarvioitavaan tietoturvaohjelmaan. Hyökkäysten monimutkaistuessa standardi edellyttää nimenomaista harjoittelua kalastelua ja sosiaalista manipulointia vastaan. Miten modernisoida toimintamallit ilman henkilöstön kuormittamista ja tuottaa samalla auditoijan edellyttämät konkreettiset todisteet? Pureudumme uuden standardin odotuksiin. --- ## Mitä PCI DSS v4.0 (vaatimus 12.6) muuttaa koulutuksessa ja kalastelussa? > **Tiivistelmä: PCI DSS v4.0 (vaatimus 12.6) muuttaa tietoturvatioisuuden jatkuvaksi ja mitattavaksi prosessiksi. Se määrää koulutussisällöt tarkistettavaksi vuosittain ja vaatii kohdennettuja harjoituksia kalastelua sekä sosiaalista manipulointia vastaan kaikille kriittisiin tietoihin pääseville työntekijöille.** Standardin aiemmassa versiossa 3.2.1 velvoite rajoittui pitkälti perehdytykseen ja kerran vuodessa tapahtuvaan koulutukseen. Versio 4.0 vie vaatimustason huomattavasti pidemmälle vaatimuksessa 12.6, joka jakaantuu tarkkoihin alavaatimuksiin: - **Vaatimus 12.6.1:** Virallisen tietoturvakoulutusohjelman on oltava jatkuvasti aktiivinen, katettava koko asianomainen henkilöstö ja se on tarkistettava vähintään kerran 12 kuukaudessa uusien nousevien uhkien huomioimiseksi. - **Vaatimus 12.6.2:** Koulutussisältöä on päivitettävä säännöllisesti vastaamaan organisaation toimintaympäristön todellisia riskejä. - **Vaatimus 12.6.3.1:** Koulutuksen on ehdottomasti sisällettävä selkeää harjoittelua kalastelu- ja manipulointiuhkia vastaan, painottaen ansojen tunnistamista ja välitöntä ilmoitusrefleksiä. Tämä vaatimusteksti poistaa tulkinnanvaraisuuden. Organisaationne on kyettävä todistamaan, että työntekijät osaavat tunnistaa haitalliset viestit, identiteettiväärennökset ja psykologisen manipuloinnin, jolla yritetään kalastella pääsyoikeuksia tai ohittaa valvontamekanismeja. --- ## Miten rakentaa QSA-auditoijan odotukset täyttävä vuosikatselmus? Vaatimuksen 12.6.2 täyttämiseksi pelkkä lokitiedosto verkkokurssin suoritusmerkinnöistä ei enää riitä. Auditoija haluaa tietää, miten koulutusmoduulit ovat kehittyneet viimeisen kahdentoista kuukauden aikana ja miten ne vastaavat Traficomin Kyberturvallisuuskeskuksen ja globaalien toimijoiden havaitsemiin uhkiin. ### Dokumentoi riskiympäristön muutokset Vuosikatselmuksesta on laadittava selkeä raportti. Tässä yhteenvedossa dokumentoidaan viimeaikaisten poikkeamien analyysi, rahoitus- ja kaupan alalla havaitut uudet hyökkäystekniikat sekä se, miten nämä opit on viety henkilöstön käytännön harjoitteisiin. ### Mittaa aitoa sitoutumista pelkän läsnäolon sijaan Tehokas ohjelma perustuu selkeille mittareille, jotka voidaan liittää suoraan vaatimustenmukaisuusdokumentaatioon: - **Suoritusaste ja toistuvuus:** Harjoitusten jakautuminen tasaisesti koko vuoden ajalle, mikä todistaa jatkuvan kehittämisen periaatetta. - **Ilmoitusaste:** Niiden työntekijöiden osuus, jotka ilmoittavat epäilyttävästä viestistä oikeaoppisesti, mikä on kypsän turvallisuuskulttuurin keskeinen mittari. - **Osaamisen kehittyminen:** Tulosten parantuminen asteittain vaikeutuvissa tilanneharjoituksissa. --- ## Miksi säännöllinen kalasteluharjoittelu on välttämätöntä? > **Tiivistelmä: Verkkorikolliset tähtäävät etuoikeutettuihin pääsyoikeuksiin murtautuakseen maksuympäristöihin. Käytännön harjoittelu asettaa työntekijät realistisiin tilanteisiin, jolloin teoriatieto muuttuu automaattisiksi puolustusreflekseiksi ansoitettuja viestejä, valelaskuja ja identiteettivarkauksia vastaan.** Nykypäivän hyökkäykset eivät enää perustu kömpelöihin käännöskukkasiin. Rikolliset hyödyntävät tarkkaa liiketoimintakontekstia, alihankkijoiden nimissä tehtyjä yhteydenottoja tai kiireen tuntua virheen provosoimiseksi. Vaatimuksen 12.6.3.1 käytännön toteutukseen toistuvat simulaatiot ovat suoraviivaisin keino luoda oikeita toimintamalleja. Tätä varten suunniteltu kalastelukampanjoiden harjoitussimulaattorimme [Super Phisher](/en-us/catalog/super-phisher/) mahdollistaa henkilöstön perehdyttämisen todenmukaisiin ja progressiivisiin tilanteisiin asiantuntijoidemme tuella. Ratkaisu testaa organisaationne valppautta ilman turhaa ahdistusta ja tuottaa samalla QSA-auditoijille tarvittavat aukottomat todisteet. Päämääränä ei ole rangaista klikkauksesta, vaan madaltaa kynnystä ilmoittaa virheistä ja vahvistaa raportointitapaa. Työntekijä, joka vahingossa avaa linkin mutta ilmoittaa siitä välittömästi SOC-tiimille, auttaa rajaamaan tilanteen minuuteissa ja estää kriittisten korttitietojen vuotamisen. --- ## Käännä PCI DSS -vaatimus kestäväksi turvallisuuskulttuuriksi PCI DSS v4.0 -standardin vaatimusta 12.6 ei kannata nähdä pelkkänä auditoinnin aiheuttamana taakkana. Se tarjoaa erinomaisen tilaisuuden uudistaa menetelmiä, luopua yksisuuntaisista luennoista ja rakentaa positiivista turvallisuuskulttuuria. Yhdistämällä säännölliset kalasteluharjoitukset, motivoivan mikromuotoisen oppimisen ja huolellisesti dokumentoidut vuosikatselmukset suojaatte arkaluonteisia tietoja ja läpäisette auditoinnit ilman ylimääräistä stressiä. Haluatteko arvioida nykyisen koulutusohjelmanne yhteensopivuuden PCI DSS v4.0 -vaatimusten kanssa ja tutustua harjoitusratkaisuihimme? [Keskustele asiantuntijamme kanssa](/en-us/book-a-demo/) ja rakennetaan organisaatiollenne sopiva kokonaisuus. ### Executive Synthesis of Guide Pillars: PCI DSS v4.0 Vaatimus 12.6: Tietoturvakoulutus ja kalastelun torjunta | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **Vaatimus 12.6.1** | Virallisen tietoturvakoulutusohjelman on oltava jatkuvasti aktiivinen, katettava koko asianomainen henkilöstö ja se on tarkistettava vähintään kerran… (Mitä PCI DSS v4.0 (vaatimus 12.6) muuttaa koulutuksessa ja…) | | **Suoritusaste ja toistuvuus** | Harjoitusten jakautuminen tasaisesti koko vuoden ajalle, mikä todistaa jatkuvan kehittämisen periaatetta. (Miten rakentaa QSA-auditoijan odotukset täyttävä vuosikatselmus?) | | **Vaatimus 12.6.2** | Koulutussisältöä on päivitettävä säännöllisesti vastaamaan organisaation toimintaympäristön todellisia riskejä. (Mitä PCI DSS v4.0 (vaatimus 12.6) muuttaa koulutuksessa ja…) | | **Ilmoitusaste** | Niiden työntekijöiden osuus, jotka ilmoittavat epäilyttävästä viestistä oikeaoppisesti, mikä on kypsän turvallisuuskulttuurin keskeinen mittari. (Miten rakentaa QSA-auditoijan odotukset täyttävä vuosikatselmus?) | --- ## Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut ### Aiheeseen liittyvät artikkelit - **[NIS 2 -direktiivi ja kyberturvallisuuslaki: Koulutusvelvoitteet johdolle ja henkilöstölle](/fi/kyberturvallisuus/nis-2-koulutusvelvoitteet-johdolle-ja-henkilostolle/)** (Compliance (NIS 2, DORA, ISO)) : Selvitä NIS 2 -direktiivin ja kyberturvallisuuslain tarkat koulutusvaatimukset yritysjohdolle ja työntekijöille. Brain Security auttaa toteutuksessa. - **[DORA-asetus: Miten rakentaa finanssialan kybertietoisuus ja testaustoiminta?](/fi/kyberturvallisuus/dora-asetus-finanssiala-kybertietoisuus-testaus-ciso/)** (Compliance (NIS 2, DORA, ISO)) : Opi DORA-asetuksen vaatimukset henkilöstön kybertietoisuudesta ja kriisiharjoituksista. Rakenna finanssialan digitaalista häiriönsietokykyä. - **[Tietosuojavaltuutetun tarkastus ja GDPR: Miksi henkilöstön tietoturvakoulutus on lakisääteinen vaatimus](/fi/kyberturvallisuus/tietosuojavaltuutettu-gdpr-tietoturvakoulutus-henkilosto-auditointi/)** (Compliance (NIS 2, DORA, ISO)) : Tietosuojavaltuutetun tarkastuksessa henkilöstön koulutus on GDPR artiklojen 32 ja 39 ydinedellytys. Opi dokumentoimaan toimenpiteet oikein. - **[Kalasteluviestien ilmoitusaste: miksi CISO:n on luovuttava klikkausprosentista](/fi/kyberturvallisuus/kalasteluviestien-ilmoitusaste-ciso-mittarit-phishing/)** (Phishing & Social Engineering) : Opi miksi kalasteluviestien ilmoitusaste korvaa klikkausprosentin, nopeuttaa reagointia ja parantaa organisaatiosi kyberresilienssiä minuuteissa. ### Tutustu Brain Securityn ratkaisuihin verkkosivuillamme - **Liittyvä ratkaisu : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiset tietojenkalastelusimulaatiot (Super Phisher): opeta henkilöstö tunnistamaan ja ilmoittamaan huijausviestit. - **[Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan](/en-us/use-cases/)** - **[Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme](/en-us/compare/)** - **[Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan](/en-us/catalog/)** - **[Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)](/en-us/book-a-demo/)** --- - https://startbrain.io/fi/kyberturvallisuus/pci-dss-vaatimus-tietoturvakoulutus-kalastelu/ - [Français](https://startbrain.io/fr/cybersecurite/pci-dss-v4-exigence-12-6-formation-securite-anti-phishing/) - [Deutsch](https://startbrain.io/de/cybersecurity/pci-dss-anforderung-12-6-phishing-awareness/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/pci-dss-requirement-12-6-phishing-awareness/) - [English (US)](https://startbrain.io/en-us/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/) - [Español](https://startbrain.io/es/cyberseguridad/pci-dss-v4-requisito-12-6-concienciacion-phishing/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/pci-dss-v4-requisito-12-6-phishing-consapevolezza/) - [Nederlands](https://startbrain.io/nl/cybersecurity/pci-dss-eis-12-6-phishing-awareness/) - [Português](https://startbrain.io/pt/ciberseguranca/pci-dss-v4-requisito-12-6-sensibilizacao-phishing/) - [日本語](https://startbrain.io/ja/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/pci-dss-wymog-12-6-szkolenia-phishing/) - [Svenska](https://startbrain.io/sv/cybersakerhet/pci-dss-v4-krav-12-6-natfiske-utbildning/) - [Dansk](https://startbrain.io/da/cybersikkerhed/pci-dss-v4-krav-12-6-phishing-awareness/) - [Norsk](https://startbrain.io/no/cybersikkerhet/pci-dss-v4-krav-12-6-phishing-opplaering/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/) - [llms.txt](https://startbrain.io/llms.txt)