ICT-turvallisuusteknikko - ammatti, työnkuva ja työnhaku

Turvallisuusteknikkona valvot, että tunkeutumiset, kalasteluviestit ja haittaohjelmat eivät pääse organisaation järjestelmiin. Jos jokin pääsee läpi, se pysäytetään ennen kuin vahinko laajenee. Päivän aikana käsittelet hälytysjärjestelmän eli SIEM:n ilmoituksia, päivität palomuurisääntöjä ja tarkistat käyttöoikeudet.

Lyhyesti

ICT-turvallisuusteknikkona vastaat tietoturvavalvonnasta, hyökkäysten torjunnasta ja perussuojausten päivittäisestä ylläpidosta. Työ sijoittuu Security Operations Centeriin (SOC) tai sisäiseen ICT-tiimiin. Analysoit hälytyksiä, ylläpidät palomuureja ja päätelaiteturvaa, hallitset käyttöoikeuksia ja käsittelet kalastelutapauksia. Sivulta saat kuvan rooliin sopivasta taustasta, sertifikaattipoluista ja siitä, miten tietoturvakokemus kannattaa esitellä hakemukseen. Ammatti kuuluu kategoriaan IT ja teknologia.

Millaista työtä ICT-turvallisuusteknikko tekee?

Päivä rakentuu hälytyksistä ja niiden tutkimisesta. SIEM (Microsoft Sentinel, Splunk, Elastic) tuottaa lokitiedoista hälytyksiä, joista turvallisuusteknikko tutkii epäilyttävimmät: epäilyttävä kirjautuminen, tunnukseen lisätty oikeus, harvinainen prosessi palvelimella, kalasteluviesti johtaja-asemassa olevalle. Toistuvia tehtäviä ovat haavoittuvuusskannien (Tenable, Qualys, Rapid7) tulosten priorisointi ja kriittisten patchien levittäminen.

L1 SOC -teknikon työ on usein vuoroissa ja keskittyy hälytysten triagointiin. L2 ottaa vaikeammat tapaukset ja tekee threat huntingia. Sisäisessä IT-organisaatiossa työtä on monipuolisemmin: identiteettienhallinnan ylläpitoa (Azure AD/Entra ID), Conditional Access -sääntöjen säätöä, Microsoft Defenderin määrityksiä ja käyttäjille suunnattua tietoturvakoulutusta.

selvitä, työskenteletkö SOC-tiimissä, sisäisessä ICT:ssä vai konsulttina
tarkista käytetyt työkalut: Sentinel, Splunk, Defender, CrowdStrike, Carbon Black
kysy, kuuluvatko penetraatiotestit, threat hunting tai forensiikka tehtäviin
huomioi vuorotyö (24/7 SOC) ja päivystysvelvollisuus

Kenelle työ sopii?

Hyvä turvallisuusteknikko on uteliaisuudeltaan etsiväntyyppi: jokainen hälytys on rikos, joka pitää selvittää loppuun. Tehtävässä viihtyy henkilö, joka pitää lokitiedon kaivamisesta, hyökkäyksen rekonstruoinnista ja siitä, että samaa polkua ei saa kahdesti käyttää. Pitkäjänteisyys auttaa, koska iso osa hälytyksistä osoittautuu false positiveiksi - mutta sen yhden todellisen joukosta pitää erottaa.

Rooliin siirrytään tyypillisesti ICT-teknikon, järjestelmäasiantuntijan tai verkkoteknikon tehtävistä, kun kiinnostus kääntyy turvallisuuteen. Myös puolustusvoimien viestiala, poliisin kybertutkinta tai itseopittu CTF-harrastus (Capture the Flag) ovat hyviä pohjia.

Osaaminen, koulutus ja luvat

Tausta on tyypillisesti tietotekniikan tradenomi tai insinööri, mutta vahva itseopiskelu ja sertifikaatit pärjäävät usein paremmin kuin pelkkä tutkinto. Aloittelijalle suositellut sertifikaatit ovat CompTIA Security+ ja CySA+, kokeneemmille ISC2 SSCP, Microsoft SC-200 (Security Operations Analyst) ja CCSP. Etiseen hakkerointiin suuntautuville OSCP ja CEH avaavat ovia.

Englanti on välttämätön työn ydinkieli, koska threat intelligence -raportit, hyökkäystekniikoiden kuvaukset (MITRE ATT&CK) ja toimittajadokumentaatio tulevat englanniksi. Suomi auttaa kotimaisten viranomaistilanteiden hoidossa.

Missä työympäristöissä ICT-turvallisuusteknikko työskentelee?

Tyypillisiä työnantajia ovat MSSP-toimittajat (managed security service provider) kuten Truesec, F-Secure ja Nixu, sisäiset SOC-tiimit isoissa yrityksissä (pankit, energia, teleoperaattorit), julkishallinnon kyberorganisaatiot (Traficom, Kyberturvallisuuskeskus) ja konsulttitalot. Vuorotyö on tavallista, koska hyökkäykset eivät tule virka-aikaan.

Kysyntä on kova. Huhtikuussa 2025 voimaan tullut kyberturvallisuuslaki (NIS2) velvoittaa yhä useamman organisaation jatkuvaan tietoturvavalvontaan, ja alan välitön osaajatarve arvioidaan Suomessa 6 000-10 000 henkilöksi. Se tarkoittaa hyviä työnäkymiä myös aloittelijalle.

Miten osaaminen kannattaa sanoittaa hakemuksessa?

Konkreettiset esimerkit tutkituista hälytyksistä, käytetyistä työkaluista ja onnistuneesta tapausselvittelystä erottavat hakijat. Mainitse tyypillinen tapahtumamäärä viikossa, käytetty SIEM, omat löydökset (esim. estetty kalasteluyritys, jonka olisi muuten pitänyt onnistua) ja se, oletko tehnyt threat huntingia tai phishing-simulaatioita. CTF-pisteet ja TryHackMe/HackTheBox-rooliprofiilit ovat hyödyllisiä erityisesti junior-hakijoille.

Palkka ja työehdot

Junior-tason SOC-analyytikon palkka liikkuu 2 800-3 800 euron tienoilla, kokenut senior 4 500-6 500 euron tasolla. Vuorolisät nostavat ansiotasoa merkittävästi 24/7-tiimeissä. MSSP-puolella palkka on usein hieman korkeampi mutta tahti tiukempi. Etuihin kuuluvat tavallisesti laaja työterveys, koulutusbudjetti sertifikaatteihin ja erityislaitteiden käyttö (sertifikaattilaitteet, virtuaalilabraympäristöt).

Mitä seuraavaksi kannattaa tehdä?

Vertaa rooliin sopivia ICT-teknikon, tietoliikenneteknikon ja ICT-toipumisasiantuntijan tehtäviä, jotta näet, kuinka eri rooleissa turvallisuus painottuu. Avoimet tehtävät löydät työpaikkoja-sivulta, ja jos sijainti on tärkeä, Helsingin, Espoon ja Jyväskylän sivut näyttävät tietoturvayhtiöiden ja kybersektorin tarjontaa.

Usein kysytyt kysymykset

Mikä erottaa turvallisuusteknikon ja tietoturva-arkkitehdin?

Turvallisuusteknikko on operatiivinen rooli: hän valvoo, reagoi ja ylläpitää suojauksia päivittäin. Tietoturva-arkkitehti suunnittelee suojausten kokonaisuuden, valitsee tuotteet ja määrittää, miten ratkaisut toteutetaan. Käytännössä urapolku kulkee yleensä teknikon kautta arkkitehtiin.

Pitääkö osata hakkeroida tietoturvateknikon työssä?

Ei välttämättä. Defensiivisessä työssä riittää, että ymmärtää hyökkäysten kulkua ja tunnistaa merkit. Punatiimitus ja eettinen hakkerointi (red team / pen testing) ovat oma erikoisalansa, johon siirrytään yleensä siniseltä puolelta lisäkoulutuksen kautta.

Kannattaako aloittaa MSSP- vai sisäisestä SOC-tehtävästä?

MSSP tarjoaa monipuolisemmat asiakasympäristöt ja tahti on nopeampi, mikä karttuttaa kokemusta ripeästi. Sisäisessä SOC:ssa pääsee syvemmälle yhden organisaation prosesseihin ja on vähemmän painetta. Useimmat aloittavat MSSP:llä ja siirtyvät myöhemmin sisäiselle puolelle.

Mitä kanavia kannattaa seurata pysyäkseen ajan tasalla?

Kyberturvallisuuskeskuksen viikkotiedotteet, MITRE ATT&CK -kehys, Krebs on Security, BleepingComputer ja toimittajien threat intel -blogit (Microsoft, Mandiant, CrowdStrike). Suomalaiset Cyber Security Nordic, Disobey ja T2 Infosec ovat hyödyllisiä konferensseja verkostoitumiseen.