Lyhyesti: Tietoturvapainotteinen verkkosivuston huoltosopimus huolehtii siitä, etteivät päivitykset, varmuuskopiot ja valvonta ole sattuman varassa. Huollamme verkkosivustonne ja PHP-palvelimenne pysyvästi, pidämme tilan ajan tasalla, testaamme palautuksen ja toimimme sovitun kulun mukaan, kun uusi haavoittuvuus tulee tunnetuksi. Saatte säännöllisesti ymmärrettävän raportin.
Miksi tietoturva kuuluu verkkosivuston huoltosopimukseen
Monet huoltosopimukset kattavat CMS-päivitykset ja päättyvät siihen. PHP2Shell on osoittanut, ettei se riitä: haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 ovat itse PHP:ssä, eivät CMS:ssä. WordPress- tai Shopware-päivitys ei sulje niitä. Joka ylläpitää vain CMS:ää, ei näe varsinaista vaaraa.
Lisäksi tulee aikatekijä. php.netin ennakkoilmoituksen 20.10.2026 ja korjausten julkaisun 21.10. välissä oli yksi päivä, ja mediaraporttien mukaan ensimmäinen havaittu hyökkäysyritys oli jo 17.10. Tällaisissa tilanteissa auttaa vain etukäteen valmis kulku ja joku, jolla on pääsy ja joka tietää, mitkä järjestelmät ovat vaarassa. Joka vasta hätätilanteessa etsii tunnuksia, soittaa palveluntarjoajille ja selvittää vastuita, menettää juuri sen ajan, jonka hyökkääjät käyttävät.
Yksi seikka aliarvioidaan usein: varmuuskopiot, joita ei ole koskaan palautettu, ovat lupaus ilman todistetta. Vasta palautustesti osoittaa, onko kopio täydellinen ja kuinka kauan paluu toimintaan todella kestää.
Kenelle tietoturvahuoltosopimus kannattaa
Tietoturvapainotteinen huoltosopimus sopii erityisesti yrityksille, joiden verkkosivusto tai verkkokauppa on liiketoimintakriittinen mutta joilla ei ole omaa palvelin- ja PHP-ylläpitoa. Tyypillisiä ovat verkkokauppiaat, vastaanotot, lakitoimistot ja keskisuuret yritykset, joilla on asiakasportaaleja, mutta myös julkiset tahot, joilla on useita verkkopalveluita.
Yhtä järkevä se on silloin, kun vastuu on nykyisin jakautunut monille harteille: toimisto on rakentanut verkkosivuston, hosting-yritys tarjoaa palvelimen ja entinen työntekijä tunsi pääsyt. Tällaisissa kokoonpanoissa PHP2Shellin kaltaisessa tilanteessa nähdään nopeasti, ettei kukaan ole selvästi vastuussa. Sopimus luo kiinteän tahon, joka tietää ja saa toimia.
Yksittäiselle pienelle verkkosivustolle ilman lomakkeita tai asiakastietoja voi riittää kevyempi laajuus. Sen selvitämme kartoituksessa.
Mitä tietoturvahuoltosopimus sisältää
- Päivitykset: käyttöjärjestelmä, verkkopalvelin, PHP, CMS, laajennukset ja riippuvuudet kiinteällä rytmillä ja lisäksi kriittisten haavoittuvuuksien yhteydessä
- Uudelleenkäynnistys ja todiste: PHP-päivitysten jälkeen kaikkien workerien uudelleenkäynnistys ja tarkistus, ettei vanhoja prosesseja ole käynnissä
- Varmuuskopiot: 3-2-1-säännön mukaan, säännöllisellä palautustestillä. Perusteet löytyvät sivulta Varmuuskopiot 3-2-1-säännön mukaan.
- Valvonta: tiedostojen eheys, kirjautumiset, prosessit ja lokit, kuten sivulla Tietoturvavalvonta verkkopalvelimille on kuvattu
- Elinkaari: ennakoiva suunnittelu ennen kuin PHP-versio saavuttaa tukensa päätepisteen, esimerkiksi PHP 8.2 31.12.2026
- Hätätoimintamalli: sovitut askeleet hätätilanteeseen, pääsyt ja yhteyshenkilöt, jotka ovat poikkeamatilanteessa heti tiedossa
- Raportti: säännöllinen yhteenveto asennetuista päivityksistä, tapahtumista ja suosituksista
Kuka vastaa mistäkin?
Moni tietoturva-aukko ei synny teknisesti vaan organisatorisesti: jokainen luulee, että joku muu hoitaa asian. Siksi kirjaamme vastuut kirjallisesti. Tyypillinen esimerkki:
| Tehtävä | Hosting-yritys | Toimisto | PHP SOS | Te |
|---|---|---|---|---|
| Laitteisto, verkko, konesali | kyllä | |||
| Käyttöjärjestelmän ja PHP:n päivitykset | sopimuksen mukaan | kyllä | ||
| CMS ja laajennukset | kyllä | sopimuksen mukaan | ||
| Sisällöt ja käyttäjätilit | kyllä | |||
| Valvonta ja hätätoimintamalli | kyllä | hyväksynnät |
Todellinen jakauma riippuu sopimuksistanne. Erityisesti hallinnoiduilla palvelimilla kannattaa katsoa tarkasti, mitä palveluntarjoaja todella hoitaa, katso Hallinnoitu palvelin: vastuiden selvittäminen. Toimistot, joilla on paljon asiakassivustoja, löytävät sopivan mallin sivulta Tietoturvakumppani toimistoille.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitus: Kokoamme kaikki verkkosivustot, palvelimet, versiot, pääsyt, varmuuskopiot ja olemassa olevat sopimukset.
- Ensivarmistus: Avoimet päivitykset ja tunnetut heikkoudet suljetaan ensin, ennen kuin jatkuva huolto alkaa.
- Sopiminen: Kirjaamme laajuuden, rytmin, vastuut ja hätätoimintamallin kirjallisesti, myös sen, milloin teiltä kysytään ennen muutoksia.
- Jatkuva huolto: Päivitykset, varmuuskopiot, valvonta ja raportit suunnitelman mukaan, kriittisten haavoittuvuuksien yhteydessä lisäksi sovitun hätätoimintamallin mukaan.
- Vuosittainen tarkistus: Käymme yhdessä läpi, sopiiko sopimus yhä järjestelmäympäristöönne.
Mitä tarvitsemme ja mitä emme lupaa
Tarvitsemme pysyvät ylläpitäjän pääsyt, päätösvaltaisen yhteyshenkilön, yhteyden hosting-yritykseen ja toimistoon sekä tiedon sovellustenne suunnitelluista muutoksista. Pääsyt hallinnoimme erikseen asiakaskohtaisesti ja dokumentoimme, kenellä on pääsy. Jos suunnittelette muutoksia järjestelmiinne, esimerkiksi uutta verkkokauppaa, toista verkkosivustoa tai hosting-yrityksen vaihtoa, kertokaa meille ajoissa, jotta päivitykset, varmuuskopiot ja valvonta kasvavat mukana.
Emme lupaa, ettei järjestelmiinne koskaan hyökätä. Huoltosopimus pienentää riskiä ja huolehtii siitä, että hätätilanteessa toimitaan nopeasti ja järjestelmällisesti. Hintoja ja vasteaikoja emme ilmoita yleispätevästi vaan sovimme ne kartoituksen jälkeen tarjouksessa. Miten valmistaudutte hätätilanteeseen lisäksi organisatorisesti, kuvataan sivulla IT-hätäsuunnitelman laatiminen verkkopalvelimille.
Usein kysytyt kysymykset
Mitä tietoturvapainotteiseen verkkosivuston huoltosopimukseen kuuluu?
Vähintään palvelimen, PHP:n, CMS:n ja laajennusten päivitykset, säännölliset varmuuskopiot palautustestillä, tietoturvavalvonta ja selkeä sääntö hätätilanteisiin. Tärkeää on myös kirjata kirjallisesti, kuka vastaa mistäkin.
Korvaako huoltosopimus toimistoni tai hosting-yritykseni?
Ei välttämättä. Usein työskentelemme toimiston ja hosting-yrityksen kanssa ja otamme hoitaaksemme tietoturvaosuuden. Ratkaisevaa on, että vastuut on jaettu aukottomasti eikä mikään jää osapuolten väliin.
Mitä tapahtuu, kun kriittinen haavoittuvuus kuten PHP2Shell tulee tunnetuksi?
Silloin tarkistamme, mitkä järjestelmänne ovat vaarassa, asennamme päivitykset sovitun kulun mukaan tai otamme käyttöön väliaikaiset toimenpiteet ja kerromme teille tilanteesta. Kuinka nopeasti se tapahtuu, sovimme yhdessä sopimuksessa.
Onko olemassa kiinteä hinta?
Laajuus riippuu järjestelmienne määrästä ja tyypistä. Teemme kartoituksen jälkeen tarjouksen, joka kuvaa tarkasti, mitä siihen kuuluu.