CRA & EU-sääntely
EU:n kyberresilienssiasetus (Cyber Resilience Act) asettaa sitovia tietoturvavaatimuksia kaikille digitaalisia elementtejä sisältäville laitteille ja ohjelmistoille.
Tuotetietoturva (Product Security) · Suomeksi
Turvallisempaa tuotekehitystä
piirilevyltä pilvipalveluun
prodsec.fi on suomalainen asiantuntijaportaali tuotteille, joilla on digitaalisia elementtejä. Käsittelemme tuotetietoturvan kokonaisuutta: laitteistoja, laiteohjelmistoja, toimitusketjua (SBOM), EU-kyberlainsäädäntöä (CRA) ja uhkamallinnusta.
Peruskäsitteet haltuun
Miksi pelkkä sovellusturva (AppSec) ei enää riitä?
Perinteinen Application Security keskittyy lähdekoodiin ja sovellustasoon. Tuotetietoturva (Product Security) kattaa koko asiakkaalle toimitettavan tuotteen elinkaaren ja ekosysteemin.
| Ulottuvuus | Sovellusturva (AppSec) | Tuotetietoturva (Product Security) |
|---|---|---|
| Pääpaino | Web- ja mobiilisovellusten koodi, API-rajapinnat ja OWASP Top 10. | Koko toimitettava tuote: koodi, laitteisto, laiteohjelmisto (firmware), pilvialusta ja IoT. |
| Toimitusketju | Pakettien haavoittuvuusskannaus (SCA, Dependabot, npm audit). | Täysi ohjelmisto- ja laitteistomateriaaluettelo (SBOM/HBOM), toimittajaketjun auditointi ja komponenttialkuperä. |
| Sääntely & Vaatimukset | Tietosuojalait (GDPR), PCI-DSS, SOC 2. | EU Cyber Resilience Act (CRA), NIS2, RED DA, IEC 62443, ISO 21434 ja tuotevastuulainsäädäntö. |
| Uhkamallinnus | Sovellusarkkitehtuurin ja rajapintojen väärinkäyttöskenaariot. | Laitteen fyysinen peukalointi, debug-portit (JTAG/UART), salausavaimet, toimitusketjuhyökkäykset ja elinkaaririskit. |
| Roolit & Vastuualue | Tietoturvatiimi auditoi ja tekee koodikatselmuksia. | Tuotepäälliköt, laiteinsinöörit, arkkitehdit ja Security Champions -verkosto tuotestrategiassa. |
Tietopankin teemat
Tuotetietoturvan keskeiset osa-alueet
Käytännönläheistä tietoa ja ohjeistuksia tuoteorganisaatioille ja kehittäjille.
SBOM & Toimitusketju
Ohjelmistokomponenttien koneellinen dokumentointi (Software Bill of Materials) ja toimitusketjun haavoittuvuuksien jatkuva hallinta.
Uhkamallinnus (Threat Modeling)
Tunnista ja priorisoi tuotteeseen kohdistuvat uhat ennen ensimmäisenkään koodirivin tai piirilevyn valmistusta (STRIDE, PASTA, LINDDUN).
Uusimmat artikkelit
Tuoretta luettavaa blogissa
Syventäviä asiantuntija-artikkeleita suomalaiselle tuotekehitysyhteisölle.
Mitä on tuotetietoturva? (Product Security vs. Application Security)
Miksi perinteinen sovellusturva ei riitä nykyaikaisille älylaitteille, IoT-ratkaisuille ja pilvituotteille? Tarkastelussa tuotetietoturvan laaja määritelmä ja sen merkitys liiketoiminnalle.