Piilossa olevat haavoittuvuudet
Kiinnitetään huomio edelliseen kappaleeseen. Löydettyjen haavoittuvuuksien määrä on nousussa. Löydettyjen CVE-haavoittuvuuksien määrä vuonna 2026 vuoteen 2025 verrattuna on kasvanut, ja arviot kasvusta ovat muuttuneet vuoden aikana. Se ei siis itsessään tarkoita, etteikö haavoittuvuuksia olisi ollut merkittävästi jo aiemmin. Haavoittuvuuksia vain ei ole löydetty ja raportoitu yhtä tehokkaasti kuin tänä päivänä. On totta, että myös haavoittuvuuksien määrä on nousussa, mutta ensimmäinen haaste ei ole niiden korjaaminen vaan niiden tunnistaminen omasta ympäristöstä.
Tekoäly työstää molempia puolia
Miksi haavoittuvuuksien havaitseminen on ollut sitten vuonna 2026 niin isosti esillä? Ja mistä määrän suuri kasvu johtuu?
Tekoäly ei ole ainoastaan nopeuttanut ohjelmistokehitystä, vaan myös lisännyt uusia sovelluksia tuottavien ihmisten määrää. Niin kutsutussa vibe-koodaamisessa ohjelmisto muodostuu tekoälylle annettujen ohjeiden ja sen tuottamien ratkaisujen kautta. Nopeus muuttuu riskiksi silloin, kun ohjelmiston toimintaa, riippuvuuksia ja turvallisuutta ei enää tunneta riittävän hyvin. Jos tuotettua koodia ei katselmoida ja testata järjestelmällisesti, haavoittuvuudet voivat päätyä tuotantoon yhtä nopeasti kuin ohjelmistokin.
Samaan aikaan tekoäly nopeuttaa myös haavoittuvuuksien etsimistä. Project Glasswing on tästä tunnettu esimerkki: kun löydöksiä voidaan tuottaa aiempaa nopeammin, yrityksen haasteeksi ei jää enää vain haavoittuvuuksien tunnistaminen. Haasteeksi muodostuu se, miten löydökset priorisoidaan, korjataan ja viedään hallitusti tuotantoon.
Tekoäly siis kasvattaa samanaikaisesti sekä uusien haavoittuvuuksien syntymisen että niiden löytämisen nopeutta. Yrityksille tämä tarkoittaa ennen kaikkea kasvavaa tarvetta hallita korjausprosessia järjestelmällisesti sen sijaan, että vastuu jäisi yksittäisten asiantuntijoiden tai satunnaisten toimenpiteiden varaan.
Kohti paikatumpaa ympäristöä – Vastuu pois yksittäisen tekijän harteilta
Organisaatioissa ei monesti ole ongelmana löytää tietoa haavoittuvuuksista. Tätä tietoa on tarjolla suuria määriä eri lähteistä. Tämä ohjaakin itse ongelmaan: kun tietoa on niin suuri määrä, miten tieto saadaan tärkeysjärjestykseen. Lisäksi kaikki löydökset eivät ole yhtä merkityksellisiä. Kun järjestys on muodostettu, tarvitaan resurssi tekemään korjaavia toimia. Nyt ollaan tilanteessa, jossa resurssi tekee korjauksia järjestyslistan mukaan, sillä kaikkea ei voi korjata heti.
Tämä haaste on tyypillinen ja toistuva. Ennalta määrätty määrä resursseja, mutta ennalta määräämätön määrä korjattavaa. Resurssin valjastaminen tällaiseen työhön kuormittaa yritystä, koska työmäärä vaihtuu alati, eikä sitä voi varata muuhun työhön. Uusia haavoittuvuuksia julkaistaan viikoittain, uusia palveluita tulee käyttöön ja yrityksen prioriteetit saattavat muuttua. Lisäksi kriittisimmät korjaukset ovat myös riippuvaisia resurssista ja sen työajoista.
Voisiko organisaation korjauksia automatisoida, jos korjaukset ovat kerran jo saatavilla? Yleisellä tasollahan tämä kuulostaa yksinkertaiselta: löydetään haavoittuvuus, korjataan haavoittuvuus. Mutta tällöin jonkun tehtäväksi jää todentaa tehdyt korjaukset.
Miten korjausprosessi voidaan toteuttaa niin, ettei organisaation turvallisuuden taso ole riippuvainen yksittäisistä asiantuntijoista?
Vulnerability & Exposure Management (VEM) – Kun löydöksistä tulee toimintaa
Haavoittuvuuksien hallinnan isoin haaste ei ole uusien haavoittuvuuksien löytäminen. Haaste muodostuu, kun löydökset pitää pystyä yhdistämään organisaation ympäristöön, priorisoimaan ne yrityksen liiketoimintavaikutuksen perusteella ja muuttamaan ne toteutettaviksi toimenpiteiksi.
Perinteisesti tämän ketjun saattaa muodostaa useampi asiantuntija tai tiimi, joista yksi löytää haavoittuvuuden, toinen korjaa ja kolmas selvittää, onko korjaus onnistunut. Vulnerability & Exposure Management pyrkii yhdistämään koko elinkaaren yhdeksi jatkuvaksi prosessiksi:
-
Näkyvyys – mitä haavoittuvuuksia ympäristöstä löytyy?
-
Priorisointi – mitkä löydökset aiheuttavat suurimman riskin liiketoiminnalle?
-
Korjaaminen – miten löydökset muutetaan toteutettaviksi toimenpiteiksi?
-
Seuranta ja todentaminen – miten varmistetaan, että korjaukset on todella tehty ja riski poistunut?
Käytännössä VEM pyrkii muuttamaan haavoittuvuustiedon jatkuvaksi toimintamalliksi.
Sen sijaan, että löydökset jäisivät raportteihin tai yksittäisten henkilöiden vastuulle, ne voidaan tunnistaa, priorisoida, korjata ja todentaa osana yhtä hallittua prosessia.
Tähän toimintamalliin myös Advanian VEM-palvelu perustuu.
VEM-palvelun avulla haavoittuvuuksien korjaus ei tapahdu enää etukäteen sovittujen huoltoikkunoiden aikana kuten perinteisessä haavoittuvuuksien hallinnassa. Mitä nopeammin löydös muutetaan korjatuksi, sitä lyhyemmäksi jää aikaikkuna, jonka aikana haavoittuvuutta voidaan hyödyntää.
Lähteitä:
https://epoch.ai/data-insights/cve-severity-spike-july-2026
https://www.anthropic.com/research/glasswing-initial-update
