Salasanapolitiikan tulee tehdä tilien kaappaamisesta vaikeampaa ilman, että turvallinen toiminta muuttuu kohtuuttoman vaikeaksi. Parhaat politiikat ovat selkeitä, käytännöllisiä ja mukautettu siihen, miten ihmiset todellisuudessa työskentelevät. Ne kannustavat pitkien, uniikkien salasanojen käyttöön, tukevat salasananhallintaohjelmia, vaativat monivaiheista tunnistautumista tarvittaessa ja poistavat vanhentuneet säännöt, jotka ohjaavat käyttäjiä ennalta-arvattavaan käyttäytymiseen.
\nTässä artikkelissa käymme läpi nykyaikaisen salasanapolitiikan suositellut käytännöt ja vältettävät asiat, uudistuneen lähestymistavan parhaat käytännöt sekä käytännöllisen mallipohjan, jonka voit muokata organisaatiollesi.
\nSalasanapolitiikka on joukko sääntöjä, jotka määrittävät, miten salasanat luodaan, tallennetaan, käytetään, jaetaan, vaihdetaan ja suojataan. Politiikka koskee työntekijöitä, alihankkijoita, ylläpitäjiä, palvelutilejä ja joskus myös asiakkaita riippuen järjestelmien laajuudesta.
\nHyvä salasanapolitiikka vastaa käytännön kysymyksiin:
\nTavoitteena ei ole monimutkaisin sääntökokoelma, vaan todellisen riskin pienentäminen.
\nSalasanan pituus on yksi parhaista puolustuksista arvailua ja tiedonsiirtä hyödyntäviä hyökkäyksiä vastaan. Yksi kaikille käyttäjätili- ja erityistapauksille yhteinen pituusvaatimus helpottaa sekä käyttäjien että IT-tukihenkilöiden arkea. Käytännöllinen oletus on vaatia vähintään 16 merkkiä kaikille ihmiskäyttäjä-tilille. Pidempi aina parempi, varsinkin jos käyttäjät käyttävät salasananhallintaohjelmia tai satunnaisesti luotuja passphrase-lauseita.
\nKäyttäjät tulee voida luoda salasanoja, jotka ylittävät minimin huomattavasti. Vältä matalia maksimirajoja kuten 16 tai 20 merkkiä. Yleisesti suositeltava yläraja on vähintään 64 merkkiä — monet järjestelmät tukevat tätä tai enemmän.
\nPitkät passphrase-lauseet on sallittava, kunhan ne eivät perustu yleisiin sitaatteihin, laulujen sanoihin, yrityksen nimiin tai helppoihin arvausfraaseihin. Esimerkiksi useasta satunnaissanasta muodostettu lause on lähes aina parempi kuin lyhyt salasana pakotetuilla erikoismerkkikorvauksilla.
\nJokaisella tilillä tulee olla oma uniikki salasana. Salasanojen kierrätys on yksi suurimmista syistä siihen, että yhden palvelun tietovuoto voi johtaa muiden tilien haltuunottoon. Salasananhallintaohjelman käyttö tekee uniikeista salasanoista käytännöllisiä — käyttäjien ei tarvitse muistaa jokaista tunnusta ulkoa.
\nPolitiikassa tulee nimenomaisesti sallia ja kannustaa hyväksyttyjen salasananhallintaohjelmien käyttöä. Käyttäjien tulee voida liittää salasanoja kirjautumislomakkeille, käyttää automaattista täyttöä ja generoida satunnaisia salasanoja. Liittämisen estäminen voi tuntua turvalliselta, mutta se vähentää usein vahvojen pääsanojen käyttöä.
\nSalasanat tulee hylätä, jos ne löytyvät tunnetuilta tietovuotolistoilta, yleisesti käytettyjen salasanojen listoilta, tai organisaation omilta estolistoilta. Tämä on tehokkaampaa kuin pakottaa käyttäjää lisäämään iso kirjain, numero sekä erikoismerkki.
\nMonivaiheinen tunnistautuminen (MFA, Multi-factor Authentication) tulee ottaa käyttöön aina kun se on teknisesti mahdollista — erityisesti ylläpitäjille, etäkäytölle, pilvipalveluihin, sähköpostiin, salasananhallintaohjelmiin, talousjärjestelmiin ja muihin kriittisiin kohteisiin. MFA ei korvaa vahvoja salasanoja, mutta se pienentää varastettujen tunnusten aiheuttamaa riskiä.
\nSuosi tietojenkalastelulle vastustuskykyistä monivaiheista tunnistautumista kuten passkey-tunnuksia, laiteavaimia tai alustojen omia tunnisteita. Sovelluspohjaiset authentikaattorit ovat yleensä parempia kuin SMS. Tekstiviestipohjaista MFA:ta ei saa käyttää, jos mikään muu vaihtoehto on teknisesti mahdollinen, koska matkapuhelinnumerot voidaan siepata, vaihtaa, siirtää tai käyttää väärin tilin palautusprosesseissa.
\nTämä ei ole teoreettista: Vuonna 2018 Reddit raportoi, että hyökkääjät ohittivat kaksivaiheisen tekstiviestitunnistautumisen ja pääsivät sisäisiin järjestelmiin: https://www.reddit.com/r/announcements/comments/93qnm5/wehadasecurityincidenthereswhatyouneed_to/. Vuonna 2021 Coinbase ilmoitti, että hyökkääjät varastivat kryptovaluuttaa vähintään 6 000 asiakkaalta hyödynnettyään tunnuksia ja heikkouksia Coinbase:n SMS-palautusprosessissa: https://www.reuters.com/technology/coinbase-says-hackers-stole-cryptocurrency-least-6000-customers-2021-10-01/.
\nSalasanat tulee vaihtaa aina, kun havaitaan tai epäillään tietomurtoa. Esimerkkejä: tietojenkalastelu, haittaohjelma laitteella, tunnisteen päätyminen tietovuotoon, epäilyttävä kirjautuminen tai vahingollinen paljastus.
\nYhteiskäyttöisiä salasanoja tulee välttää aina kun yksilölliset tunnukset ovat mahdollisia. Jos yhteiskäyttö on väistämätöntä, salasana tallennetaan hyväksyttyyn salasananhallintaohjelmaan, käyttö rajataan vain luvan saaneille, ja mahdollisuuksien mukaan käyttö lokitetaan.
\nSalasanan palautus on usein käyttäjätunnuksen heikoin kohta. Palautusprosessien täytyy varmistaa käyttäjän henkilöllisyys, palautuslinkit täytyy vanhentua nopeasti, tunnistetietojen olla kertakäyttöisiä ja käyttäjät tulee ilmoittaa salasanan vaihtuessa.
\nPakollinen salasanan vaihto esimerkiksi 30, 60 tai 90 päivän välein johtaa usein heikompiin salasanoihin. Käyttäjät tekevät pieniä, ennalta-arvattavia muutoksia, kuten lisäävät numeron tai vaihtavat vuodenajan. NIST:n digitaalisen identiteetin ohjeistus (Digital Identity Guidelines) jätti pois toistuvat määräaikaiset salasanavaihdot ja suosittelee vaihtoa vain kompromissin yhteydessä. Katso kohta 3.1.1.2: https://pages.nist.gov/800-63-4/sp800-63b.html#passwordver. Vaatikaa vaihto kompromissin, roolimuutosten, tunnusten palautusten tai vaatimusten täyttymättömyyden yhteydessä.
\nSäännöt kuten ”on sisällettävä iso kirjain, pieni kirjain, numero ja erikoismerkki” eivät yksin takaa vahvuutta. Password1! täyttää monimutkaisuussäännöt mutta on silti heikko. Priorisoi pituus, uniikkius, satunnaisuus ja tietovuotojen tarkistus.
Salasananliitoksen estäminen vaikeuttaa salasananhallintaohjelmien käyttöä ja ohjaa käyttäjiä kohti lyhyempiä, näppäiltäväksi helposti muistettavia salasanoja. Salli salasanan liittäminen ja automaattinen täyttö, ellei tätä kohtaan ole erityistä dokumentoitua turvallisuussyytä.
\nSalasanavihje paljastaa usein liikaa. Jos käyttäjä muistaa salasanansa vihjeestä, hyökkääjä voi arvata sen yhtä helposti. Käytä turvallisia palautusprosesseja vihjeiden sijaan.
\nJärjestelmissä ei koskaan saa tallentaa salasanoja selväkielisenä eikä käännettävästi salattuna. Salasanat suolataan ja hajautetaan nykyaikaisella, hitaalla algoritmilla kuten Argon2id, bcrypt, scrypt tai PBKDF2 riippuen järjestelmästä ja mahdollisista säädösvaatimuksista.
\nNopeat yleiskäyttöiset hajautusalgoritmit kuten MD5, SHA-1, SHA-256 tai SHA-512 eivät sovi yksinään salasanojen hajautukseen — ne on suunniteltu nopeiksi, mikä helpottaa offline-arvaushyökkäyksiä vuodetuista tietokannoista. Lue lisää aiheesta artikkelissamme salasanojen hajautuksen evoluutiosta.
\nSalasanoja ei saa lähettää sähköpostilla, chatissa, tukipyyntöinä, dokumenteissa tai kuvakaappauksina. Käytä salasananhallintaohjelmaa suojattuun jakamiseen ja pääsynhallintaan.
\nSalasanat eivät saa sisältää nimiä, syntymäpäiviä, yrityksen nimiä, näppäimistökuvioita, toistuvia merkkejä tai yleistyneitä korvausmerkkejä (kuten @ → a, 0 → o). Hyökkääjät testaavat näitä kaavoja ensin.
Käytä yksinkertaisia vaatimuksia:
\nYlläpitäjä-, palvelu- ja tuotantotilit kaipaavat tiukempaa suojaa. Vahvemmat salasanat, MFA, rajatut käyttöoikeudet, seuranta ja välitön vaihtaminen pääsyn muuttuessa.
\nVahvat salasanat eivät korvaa liiallisia käyttöoikeuksia. Käyttäjillä tulee olla pääsy vain niihin järjestelmiin ja tietoihin, jotka ovat heidän rooliinsa kuuluvia.
\nTunnista poikkeavat kirjautumismallit, mahdottomalta vaikuttavat matkustusliikkeet, toistuvat epäonnistuneet kirjautumisyritykset, kirjautumiset uusista maista tai epätavanomaiseen aikaan. Salasanapolitiikkaa tukee tehokkaimmin hyvä seuranta ja tapahtumiin reagoiminen.
\nKoulutuksen pitäisi painottaa salasanojen kierrätyksen vaaroja, tietojenkalastelua, vääriä kirjautumissivuja, MFA-väsymystä, turvallista jakamista ja epäillyn kompromissin ilmoittamista. Älä syyllistä käyttäjiä – tee turvallisesta toiminnasta mahdollisimman helppoa.
\nSalasanapolitiikan tulee olla selkeä. Jos ohje on liian pitkä, epäselvä tai ankara, ihmiset kiertävät sitä. Paras politiikka on sellainen, jota voidaan varmasti noudattaa ja valvoa.
\nKäytä alla olevaa pohjaa lähtöpisteenä. Muokkaa hakasuluissa olevat kohdat organisaatiollesi, järjestelmille, riskitasollesi sekä mahdollisille lainsäädäntövauatimuksille sopiviksi.
\nSalasanapolitiikka\n\nVersio: [1.0]\nOmistaja: [Tietoturva / IT-osasto]\nVoimaantulopäivä: [VVVV-KK-PP]\nTarkistusväli: [12 kuukauden välein]\n\n1. Tarkoitus\n\nTämä politiikka määrittää, kuinka [Organisaation nimi] luo, käyttää, tallentaa, jakaa ja vaihtaa salasanoja. Tavoitteena on vähentää luvattoman pääsyn, tunnistetietojen väärinkäytön, tilien haltuunoton ja tietojen menetyksen riskiä.\n\n2. Soveltamisala\n\nTämä politiikka koskee kaikkia työntekijöitä, alihankkijoita, tilapäishenkilöstöä, palveluntarjoajia sekä muita henkilöitä, joilla on pääsy [Organisaation nimi] järjestelmiin, sovelluksiin, verkkoihin, pilvipalveluihin tai tietoihin.\n\nPolitiikka kattaa normaali-, ylläpitäjä-, palvelu-, yhteistilit ja kaikki järjestelmät, joissa salasanoja käytetään tunnistautumiseen.\n\n3. Salasanojen luontivaatimukset\n\nKaikkien salasanojen tulee täyttää seuraavat vaatimukset:\n\n- Ihmiskäyttäjätilien salasanojen tulee olla vähintään 16 merkkiä pitkiä.\n- Salasanojen pitää olla uniikkeja eikä niitä saa käyttää uudelleen työ- tai henkilökohtaisissa tileissä.\n- Salasana ei saa sisältää nimiä, käyttäjänimiä, yrityksen nimiä, syntymäpäiviä, näppäimistökuvioita, toistuvia merkkejä tai muuta helposti arvattavaa tietoa.\n- Salasana ei saa perustua yleisiin fraaseihin, sitaatteihin, laulunsanoihin tai ennalta-arvattaviin korvausmerkkeihin.\n- Salasana ei saa esiintyä tunnetuissa tietovuotolistoissa tai yleisesti käytettyjen salasanojen listoilla.\n- Salasana voi sisältää välilyöntejä, symboleita, numeroita, isoja ja pieniä kirjaimia.\n- Passphraset ovat sallittuja, jos ne ovat tarpeeksi pitkiä, uniikkeja eivätkä perustu ennakoitaviin tai julkisiin fraaseihin.\n\n4. Salasananhallintaohjelmat\n\n[Organisaation nimi] edellyttää tai vahvasti suosittelee hyväksytyn salasananhallintaohjelman käyttöä salasanojen luomiseen, tallentamiseen ja jakamiseen.\n\nKäyttäjät saavat käyttää salasanojen generointia, automaattista täyttöä ja kopioi-liitä -toimintoa hyväksytystä salasananhallintaohjelmasta. Salasanoja ei saa tallentaa selaimiin, taulukoihin, tekstidokumentteihin, muistiinpanosovelluksiin, sähköpostiin, pikaviesteihin, kuvakaappauksiin tai muihin hyväksymättömiin työkaluihin.\n\n5. Monivaiheinen tunnistautuminen\n\nMonivaiheinen tunnistautuminen on otettava käyttöön aina kun se on teknisesti mahdollista, mukaan lukien mutta ei rajoittuen:\n\n- Sähköpostitilit\n- Etäkäyttöjärjestelmät\n- Salasananhallintaohjelmien tilit\n- Pilvipalvelut\n- Ylläpitotilit\n- Talous-, HR- ja muut korkean riskin järjestelmät\n- Kaikki järjestelmät, jotka on luokiteltu [luottamuksellisiksi / kriittisiksi]\n\nKäyttäjien tulee aina käyttää tietojenkalastelulle vastustuskykyistä MFA:ta, kuten passkey-tunnisteita, laiteavaimia tai alustan authentikaattoreita, jos saatavilla. Authenticator-sovellukset ovat suotavampia kuin SMS. SMS-pohjainen MFA on kielletty, jos mitään vahvempaa vaihtoehtoa on teknisesti saatavilla ja sallitaan vain jos vahvempia vaihtoehtoja ei ole.\n\n6. Salasanojen vaihto\n\nSalasanat on vaihdettava välittömästi jos:\n\n- Salasana on tiedossa tai epäillään joutuneen vääriin käsiin.\n- Käyttäjä syötti salasanan epäiltyyn tietojenkalastelusivuun.\n- Salasana jaettiin luvattoman henkilön kanssa.\n- Käyttäjän laitteilta on löydetty haittaohjelma tai tunnukseton pääsy.\n- Salasana löytyy tietovuodosta.\n- Ylläpitokäyttäjän rooli tai työsuhde muuttuu.\n- IT- tai tietoturvahenkilöstö määrää salasanan vaihdon.\n\nRutiininomainen salasanan vanhentuminen ei ole pakollista, ellei laki, sopimus, asetus tai järjestelmä sitä vaadi. Salasanaa ei saa vaihtaa tekemällä pieniä, ennalta-arvattavia muutoksia aiempaan salasanaan.\n\n7. Salasanojen jakaminen\n\nSalasanaa ei saa jakaa sähköpostilla, chatissa, tukipyyntöinä, dokumenteissa, kuvakaappauksina, puhelimitse tai suullisesti.\n\nYhteistunnukset ovat sallittuja vain, kun yksilölliset tilit eivät ole teknisesti mahdollisia tai kun [IT / tietoturva] on erikseen hyväksynyt. Hyväksytyt yhteistunnukset säilytetään ja jaetaan hyväksytyn salasananhallintaohjelman kautta, vain oikeutetuille käyttäjille.\n\n8. Ylläpitotilit\n\nYlläpitotilien on käytettävä uniikkeja salasanoja, joita ei käytetä missään tavallisessa käyttäjätilissä. Ylläpitotilien on käytettävä MFA:ta aina kun se on teknisesti mahdollista, ja niitä tarkistetaan säännöllisin väliajoin.\n\nYlläpitosalasanat pitää vaihtaa, kun ylläpitäjä poistuu organisaatiosta, vaihtaa roolia, ei enää tarvitse pääsyä, tai jos epäillään kompromissia.\n\n9. Palvelutilit ja ohjelmistoratkaisuissa käytettävät salaisuudet\n\nPalvelutilien salasanat, API-avaimet, tokenit ja ohjelmistojen salaisuudet tallennetaan hyväksyttyyn salaisuudenhallintajärjestelmään tai hyväksyttyyn salasananhallintaohjelmaan.\n\nPalvelutilin tunnuksia ei saa kovakoodata lähdekoodiin, konfiguraatiotiedostoihin, kuvatiedostoihin, dokumentaatioon tai skripteihin, ellei niitä suojata hyväksytyllä salaisuudenhallintaprosessilla.\n\n10. Salasanan palautus ja tilin palautus\n\nSalasanan palautusprosessissa on varmistettava käyttäjän henkilöllisyys ennen kuin käyttöoikeus palautetaan. Palautuslinkkien ja väliaikaisten salasanojen on oltava kertakäyttöisiä, nopeasti vanhentuvia ja toimitettava hyväksyttyjen kanavien kautta.\n\nKäyttäjille tulee ilmoittaa, kun heidän salasanansa on vaihdettu tai palautettu. Väliaikaiset salasanat on vaihdettava ensimmäisen kirjautumisen yhteydessä.\n\n11. Tekniset kontrollit\n\nJärjestelmien, jotka tallentavat tai käsittelevät salasanoja, tulee:\n\n- Ei koskaan tallentaa salasanoja selväkielisinä.\n- Hajauttaa salasanat hyväksytyllä suolatulla algoritmilla: PBKDF2, scrypt, bcrypt, tai Argon2.\n- Ei saa käyttää MD5, SHA-1, SHA-256, SHA-512 tai muita nopeita yleiskäyttöisiä algoritmeja salasanojen hajautukseen yksinään.\n- Suojata kirjautumispisteet nopeusrajoituksin tai vastaavin keinoin.\n- Hylätä yleisesti käytetyt, heikot ja tietovuodoista löytyvät salasanat.\n- Sallia käyttäjille salasanojen liittäminen salasananhallintaohjelmista.\n- Tukea järkevää salasanan pituutta, vähintään 64 merkkiä aina kuin teknisesti mahdollista.\n- Lokittaa turvallisuuteen liittyvät kirjautumistapahtumat.\n\n12. Epäillyn kompromissin ilmoittaminen\n\nKäyttäjien tulee ilmoittaa välittömästi epäillystä salasanan kompromissista, tietojenkalastelusta, epäilyttävistä kirjautumisista, vahvistuspyynnöistä, joita ei itse käynnistänyt, tai salasanan vahingollisesta paljastuksesta [Tietoturva / IT-yhteystiedot].\n\n13. Poikkeukset\n\nTähän politiikkaan liittyvät poikkeukset on dokumentoitava, riskinarvioitava, aikarajoitettava ja hyväksytettävä [Tietoturva / IT-johto]. Korvaavat kontrollit tulee ottaa käyttöön mahdollisuuksien mukaan.\n\n14. Valvonta\n\nTämän politiikan laiminlyönti voi johtaa käyttöoikeuksien poistoon, pakolliseen tietoturvakoulutukseen, kurinpidollisiin toimiin tai muihin toimenpiteisiin [Organisaation nimi] politiikkojen ja sovellettavan lain mukaisesti.\n\n15. Tarkistus\n\nTämä politiikka tarkistetaan vähintään vuosittain tai järjestelmiin, uhkakuviin, lainsäädäntöön tai liiketoimintaan liittyvien olennaisten muutosten jälkeen.\nVahvan salasanapolitiikan tarkoitus ei ole tehdä salasanoista tuskallisia. Tarkoituksena on kitkeä huonoja tapoja, tukea salasananhallintaohjelmia, käyttää monivaiheista tunnistautumista ja reagoida nopeasti, kun tunnistetiedot paljastuvat. Pidä politiikka käytännöllisenä, valvottavana ja keskity todellisiin uhkiin, kuten tietojenkalasteluun, tunnusten tavalliseen kierrätykseen sekä tilien kompromissiin.
","frontmatter":{"date":"May 07, 2026","slug":"password-policy-dos-donts-best-practices","title":"Salasanapolitiikka: suositukset, vältettävät asiat, parhaat käytännöt ja kopioitava mallipohja","description":"Opi, mitä nykyaikaisen salasanapolitiikan tulisi vaatia, mitkä vanhentuneet säännöt kannattaa jättää pois, ja kopioi käytännöllinen mallipohja organisaatiollesi.","author":"Sascha Pfeiffer","featuredImage":null}}},"pageContext":{"slug":"password-policy-dos-donts-best-practices","lang":"fi","langPathPrefix":"/fi"}},"staticQueryHashes":["2149092236","3128451518","3192060438"]}