Kyberuhat eivät ole muuttuneet täysin uusiksi, mutta niiden nopeus on muuttunut. Mitä Microsoft Digital Defense Report 2026 kertoo kehityksestä?
Microsoft on jälleen julkaissut vuosittaisen Digital Defense Reportin, jossa käsitellään kyberturvallisuuden nykytilaa ja kehityssuuntia Microsoftin analyysien pohjalta.
Vuosi sitten kirjoitin Microsoft Digital Defense Report 2025 -raportin keskeisistä havainnoista. Tuolloin raportissa korostuivat erityisesti identiteettien suojaaminen, tekoälyn kaksijakoinen rooli, pilvipalveluihin kohdistuvat hyökkäykset, toimitusketjuriskit sekä organisaatioiden resilienssi.
Vuoden 2026 raportti osoittaa, että osa edellisvuoden kehityssuunnista on ottanut seuraavan askeleen. Kuten aikaisempien raporttien perusteella saattoikin jo ennakoida, kehitys ei ole hidastumassa, vaan vauhti kiihtyy. Tekoälyn kehitys tuo uusia uhkia mutta myös mahdollisuuksia kyberpuolustukseen. Alla viisi keskeistä havaintoa raportista:
Vuoden 2025 raportissa tekoälyn kehitys näkyi kaksiteräisenä miekkana. Toisaalta hyökkääjät hyödynsivät generatiivista tekoälyä esimerkiksi tietojenkalastelussa, haavoittuvuuksien löytämisessä, haittaohjelmien kehittämisessä ja sosiaalisessa manipuloinnissa. Samaan aikaan AI tarjosi puolustajille uusia mahdollisuuksia uhkien nopeaan tunnistamiseen ja reagoinnin automatisointiin.
Vuonna 2026 kehitys on edennyt askeleen pidemmälle. Nyt AI muuttaa perusteellisesti kyberturvallisuutta: aiemmin lähinnä huipputoimijoiden ja tiedustelupalveluiden käytössä olleet kyvykkyydet ovat nyt myös tavallisten kyberrikollisryhmien ulottuvilla. Hyökkäysten tekeminen on nopeampaa ja halvempaa, ja samalla niiden monimutkaisuus ja mittakaava kasvavat. AI-agentit mahdollistavat hyökkäysten yhä laajemman automatisoinnin ja orkestroinnin.
AI:n käyttö hyökkäyksissä kasvattaa puolustajiin kohdistuvaa painetta, sillä se mahdollistaa uusia työskentelymalleja ja tekee vanhoista menetelmistä nopeampia, halvempia ja skaalautuvampia. Keinoälyn hyödyntäminen hyökkäysten torjunnassa on jo välttämätöntä, ja raportin mukaan tulevaisuudessa onkin yhä yleisempää että sekä hyökkäykset että niiden havainnointi ja torjunta tapahtuu tekoälyn mahdollistamalla nopeudella.
Identiteetin merkitys kyberturvallisuudessa on ollut jo vuosien ajan puolustuksen keskiössä. Identiteettien suojaus on edelleen tärkeässä roolissa, mutta on tärkeää huomata että identiteetit eivät tarkoita enää vain ihmiskäyttäjiä.
Työntekijöiden käyttäjätunnusten lisäksi organisaatioiden IT-ympäristöissä toimii sovellustason tunnuksia, automaatiotunnuksia ja vuosina 2025-2026 myös agenttiset identiteetit ovat yleistyneet voimakkaasti. Microsoft korostaa, että ageinteilla tulee olla omat tunnistettavat identiteettinsä. Agentteja ja niiden käyttöoikeuksia täytyy pystyä valvomaan ja hallitsemaan ihmiskäyttäjien identiteettien tavoin. Tämä tuo organisaatioille uuden hallintahaasteen. Kuka omistaa agentin? Mihin dataan sillä on pääsy? Mitä toimintoja se saa suorittaa? Mitä tapahtuu, jos sen käyttötarkoitus muuttuu, mutta vanhat oikeudet jäävät voimaan?
Raportin mukaan agenttien määrän kasvaessa riskinä ovat erityisesti hallitsematon agenttien määrä, tarpeettoman laajat käyttöoikeudet sekä epäselvä vastuu agenttien toiminnasta. Organisaatioiden tulisi nyt suunnitella identeettien päivitetty hallintamalli, joka huomioi myös agenttiset identiteetit.
Vuonna 2025 ClickFix oli yksi raportin näkyvimmistä trendeistä. Vuoden 2026 raportissa tilanne on moninaistunut: perinteinen sähköpostitse tapahtuva phishing, käyttäjän suorittamat haitalliset komennot ja vuonna 2026 yleistyneet trendit muodostavat hyökkääjille rinnakkaisia reittejä organisaatioihin.
Vuoden 2026 raportissa uusina voimakkaina ilmiöinä nousivat mm vishing (voice phishing) sekä quishing (QR phishing). Myös AiTM eli adversary-in-the-middle -hyökkäykset ovat jatkaneet kasvuaan.
Identiteettien vahva turvaaminen on edelleen yksi kyberturvallisuuden kulmakivistä. Vaikka perinteinen MFA on edelleen tärkeä osa suojausta, se ei ole enää yksistään riittävä. Organisaatioiden onkin tärkeää siirtyä phishing-resistant -tunnistautumiseen (esimerkiksi Passkey -todennus) ja kouluttaa käyttäjiä havaitsemaan tietojenkalastelun uudet muodot.
Perinteisessä mielikuvassa kyberhyökkäys tarkoittaa haittaohjelmaa, jonka tietoturvaratkaisu pyrkii tunnistamaan ja pysäyttämään. Todellisuudessa hyökkääjän ei kuitenkaan aina tarvitse tuoda ympäristöön mitään uutta. Jos hyökkääjä saa haltuunsa käyttäjän identiteetin tai pystyy hyödyntämään organisaation jo käyttämiä työkaluja ja palveluita, haitallinen toiminta voi näyttää pitkään täysin normaalilta.
Microsoft nostaa vuoden 2026 raportissa esiin hyökkääjien kasvavan kiinnostuksen laillisten työkalujen, pilvipalveluiden ja olemassa olevien käyttöoikeuksien hyödyntämiseen. Haittaohjelman sijaan hyökkääjä voi hyödyntää esimerkiksi varastettua käyttäjätiliä, sallittua etähallintatyökalua tai pilvipalvelun normaaleja hallintatoimintoja. Puolustajan kannalta ongelma on ilmeinen: miten hyökkäys voidaan tunnistaa, jos hyökkääjän toiminta näyttää teknisesti samalta kuin tavallisen käyttäjän tai ylläpitäjän toiminta?
Tämä muuttaa myös puolustamisen lähtökohtaa. Pelkkä haittaohjelmien tunnistaminen tai päätelaitteiden suojaaminen ei riitä, vaan organisaation täytyy pystyä tunnistamaan poikkeava toiminta yhdistämällä identiteeteistä, päätelaitteista, pilvipalveluista, sovelluksista ja verkosta saatavia tietoja. Juuri tästä syystä Microsoft nostaa eri tietoturvasignaalien yhdistämisen yhdeksi vuoden 2026 keskeisistä puolustuksen painopisteistä.
Viime vuoden raportissa resilienssi nostettiin tärkeäksi osaksi kyberturvallisuuden suunnittelua, ja vuoden 2026 raportissa sen merkitys korostuu entisestään. Lähtökohtana ei enää ole pelkästään hyökkäysten estäminen, vaan organisaation kyky jatkaa toimintaansa myös silloin, kun hyökkäys läpäisee suojaukset.
Tämä muuttaa kyberturvallisuuden tavoitetta. Hyvä tietoturva ei tarkoita vain mahdollisimman vahvoja suojauksia, vaan myös kykyä havaita hyökkäys nopeasti, rajata sen vaikutukset, palautua hallitusti ja ylläpitää kriittisiä toimintoja häiriön aikana. Mitä nopeammin hyökkäykset kehittyvät, sitä tärkeämpää on, että organisaation turvallisuus ei voi perustua oletukseen kaikkien hyökkäysten ennalta estämisestä.
Kyberturvallisuuden suunnittelussa onkin tärkeää arvioida pystyykö organisaatio häiriön tapahtuessa jatkamaan toimintaansa, rajaamaan vahingot ja palautumaan normaalitilaan nopeasti. Kyberturvallisuus ja liiketoiminnan jatkuvuus kytkeytyvät näin entistä tiiviimmin toisiinsa.
1. Nosta kyberriskien hallinta johdon agendalle
Kyberturvallisuus on liiketoimintariski, jota pitää johtaa samalla tavalla kuin muitakin organisaation keskeisiä riskejä. Liikejohdolla tulee olla näkyvyys muun muassa organisaatioon liittyviin kyberturvallisuusriskeihin, kriittisiin riippuvuuksiin, mahdollisiin hyökkäyspolkuihin sekä organisaation palautumiskykyyn.
2. Aseta identiteettien suojaaminen etusijalle
Identiteetti on yksi modernin tietoturvan tärkeimmistä kontrollipisteistä. Microsoft suosittelee passkey-menetelmien ja phishing-resistant MFA:n hyödyntämistä, käyttöoikeuksien vähentämistä sekä ihmisten että agenttisten identiteettien hallintaa.
3. Rakenna tekoälylle hallittavuus, näkyvyys ja suojaus
Organisaation pitää tietää, mitä hyväksyttyjä AI-työkaluja, palveluita ja agentteja ympäristössä käytetään, mutta samalla tunnistaa myös luvaton tai hallitsematon käyttö. AI-järjestelmien pääsyä dataan tulee hallita käyttöoikeuksien, tiedon suojaamisen ja hallintakäytäntöjen avulla.
4. Vähennä ulkoista hyökkäyspintaa
Internetiin näkyvät palvelut ja laitteet muodostavat merkittävän osan organisaation hyökkäyspinnasta. Microsoft suosittelee niiden jatkuvaa tunnistamista, priorisoituja päivityksiä sekä kattavaa lokitusta. Verkkotason näkyvyyttä tulisi lisäksi rikastaa uhkatiedolla.
5. Yhdistä eri tietoturvasignaalit toisiinsa
Yksittäinen tietoturvahälytys kertoo harvoin koko tarinaa. päätelaite-, identiteetti-, pilvi-, sovellus-, sähköposti- ja verkkosignaaleja yhdistämällä hyökkäyksiä voidaan tunnistaa aikaisemmin ja hyökkäysketjuista muodostaa kokonaiskuva. Tämä auttaa puolustajia ennakoimaan myös hyökkääjän seuraavia mahdollisia kohteita.
6. Siirry jatkuvaan uhkien ja haavoittuvuuksien hallintaan
Perinteisen pistemäisen haavoittuvuuksien tarkastelun sijaan Microsoft suosittelee jatkuvaa mallia, jossa yhdistetään näkyvyys ympäristön resursseihin, haavoittuvuuksien tunnistaminen, uhkien havaitseminen sekä AI-avusteinen analyysi. Tavoitteena on ylläpitää tilannekuvaa, missä organisaation merkittävimmät todelliset riskit sijaitsevat.
7. Testaa todellista altistumista ennakoivasti
Kontrollien olemassaolo ei vielä tarkoita, että ne toimivat tositilanteessa. Organisaatioiden tulisi hyödyntää assume-breach-ajatteluun perustuvia harjoituksia erityisesti pilvipalveluiden, SaaS-ratkaisujen, API-rajapintojen ja automaatiotyökalujen ympärillä. Testauksessa kannattaa priorisoida ympäristöt, joissa käsitellään tai yhdistellään organisaation arvokkainta dataa.
8. Suojaa ohjelmistot ja niiden riippuvuudet
Ohjelmistojen toimitusketju on osa organisaation hyökkäyspintaa. Organisaatioiden pitäisi ylläpitää näkyvyyttä käyttämiinsä ohjelmistoihin ja riippuvuuksiin sekä varmistaa niiden alkuperä. Lisäksi tarvitaan kykyä reagoida nopeasti, jos jokin riippuvuus osoittautuu vaarantuneeksi.
9. Osallistu yhteiseen kyberpuolustukseen
Kyberuhkia ei torjuta yksin. Microsoft kannustaa jakamaan käyttökelpoisia uhkatietoja ja indikaattoreita luotettujen kumppaneiden ja viranomaisten kanssa. Yhteistyö tukee hyökkääjien infrastruktuurin tunnistamista, tutkintaa ja häirintää tavalla, joka ei ole yksittäiselle organisaatiolle mahdollista.
10. Valmistaudu pidemmän aikavälin teknologiamuutoksiin
Kaikki tietoturvariskit eivät ole välittömiä. Microsoft nostaa esiin erityisesti tarpeen kartoittaa organisaation käyttämät kryptografiset ratkaisut ja valmistautua kvanttiturvalliseen salaukseen. Samalla tulevaisuuden suunnitteluun kuuluu AI-hallintamallin kehittäminen teknologian ja käyttötapojen muuttuessa.