Tietoturvan kvartaaliraportti Q2/2025
Tässä on yhteenveto Lemonsoftin tietoturvan nykytilasta, kehitystoimista ja poikkeamahallinnasta huhti–kesäkuussa 2025. Raportti on suunnattu asiakkaille ja tarjoaa ajankohtaisen katsauksen tietoturvatoimiimme. 1. Hallintajärjestelmän tila ja riskien muutokset
Lemonsoftilla on käytössä ISO/IEC 27001:2022 -standardin mukainen tietoturvallisuuden hallintajärjestelmä, joka kattaa ohjelmistotuotannon, asiakasdatan käsittelyn ja palveluiden hallinnan. Järjestelmä on otettu käyttöön konsernin laajuisesti kesäkuussa 2024 ja se on sertifioitu joulukuussa 2024 KPMG:n toimesta.
Kvartaalin aikana:
- Hallintajärjestelmää on ylläpidetty tietoturvan vuosikellon mukaisesti.
- Riskitilannekuvan vuosipäivitys tehtiin tammikuussa ja tämän jälkeen riskiarviointeja käsitelty uhkamallinnuksen ja poikkeamanhallinnan kautta.
- YT-menettelyn yhteydessä tietoturvaan kohdennettiin lisää 0,5 henkilötyövuotta, mikä vahvistaa hallintajärjestelmän ylläpidon jatkuvuutta ja resilienssiä.
Koulutus ja harjoitukset:
- Tammi-huhtikuussa järjestettiin tietoturvakoulutuksia ja pidettiin vuosittaiset tietoturvakokeet, joissa saavutettiin asetetut suoritustavoitteet.
- Toukokuussa toteutettiin Lemon CSIRTin harjoitus ja johdon jatkuvuusharjoitus.
2. Poikkeama- ja haavoittuvuushallinta
Merkittäviä tietoturvapoikkeamia ei ole tapahtunut.
- Tyypillisin poikkeama on sähköpostilla tehty kalasteluyritys, joita Lemonsoftin työntekijät osaavat koulutuksen ansiosta tunnistaa ja raportoida hyvin.
- Tietomurtoja tai tietovuotoa ei ole havaittu.
Maaliskuussa Lemonsoftin Kouvolan toimistoon kohdistui murtoyritys. Tekijät saatiin kiinni paikan päältä ja eikä toimistolta saatu varastettua mitään. Asiasta on tehty rikosilmoitus.
Käynnissä olevia toimenpiteitä:
- Lemon Desktopin ulkopuolinen murtotestaus suoritettiin kevään aikana. Osa löydöksistä on jo korjattu, ja loput on viety kehitystyöhön.
- Lemonsoftin häiriöhallinta toimii 24/7-valmiudessa ja Lemon CSIRT harjoittelee vuosikellon mukaisesti kyberuhkiin vastaamista.
3. Keskeiset kehitystoimet
Hallintajärjestelmän kehittäminen:
- DAST-automaatiota testattiin opinnäytetyön yhteydessä ja testauksen automaation kehittämistä suunnitellaan havaintojen perusteella.
- Tuotekohtaiset uhkatyöpajat käynnistettiin huhtikuussa ja niitä järjestetään jatkossa kolme kertaa vuodessa.
- Kehitämme SIEM- ja XDR-teknologioiden automaatio-ominaisuuksia erillisessä kybersuojaprojektissa.
Varautuminen asiakkaiden kyberhyökkäystilanteisiin:
- Asiakkaisiin liittyvissä tietoturvariskeissä on joissain tapauksissa rajoitettu asiakkaan käyttäjätilejä ennaltaehkäisevästi asiakkaan omasta pyynnöstä.
4. Yhteenveto
Lemonsoftin tietoturvan tila on vakaa ja hallittu. Kevään aikana on panostettu erityisesti koulutukseen, valmiusharjoitteluun sekä uhkamallinnukseen. Tietoturvan kehittäminen jatkuu suunnitellusti osana Lemonsoftin toimintakulttuuria ja ISO 27001 -hallintajärjestelmää.
Seuraava raportti julkaistaan Q3/2025 päättyessä.
