1.
Verkkopankissa ongelma - mikä on valvojan
rooli
Rahamuseo 15.11.2022
Markku Koponen
Toimistopäällikkö
Finanssivalvonta
14.11.2022
Julkinen
1

2.
Finanssivalvonta
• Finanssivalvonta työskentelee sen puolesta, että
asiakkaat voisivat Suomessa asioida pankkien,
vakuutusyhtiöiden ja muiden alan yrityksien
kanssa luottavaisin mielin
• Noin 1 000 valvottavaa
• Osallistumme sääntelyn valmisteluun ja autamme
sääntelyn tulkinnassa
• Valvontatyö, tarkastukset, valvottavien riskien
arviointi
• Toimiluvat ja rekisteröinnit
• Päätöksenteossa itsenäinen viranomainen –
hallinnollisesti osa Suomen Pankkia
• Suurimpia luottolaitoksia valvotaan yhteistyössä
EKP:n kanssa
14.11.2022
Julkinen
2
Laki Finanssivalvonnasta, 1 §
Finanssivalvonnan toiminnan
tavoitteena on finanssimarkkinoiden
vakauden edellyttämä luotto-,
vakuutus- ja eläkelaitosten ja
muiden valvottaviksi säädettyjen
vakaa toiminta, vakuutettujen etujen
turvaaminen sekä yleinen luottamus
finanssimarkkinoiden toimintaan.

3.
Tilastoja verkkopankin käytöstä
14.11.2022
Julkinen
3

4.
Verkkopankin käyttö Euroopassa 2021
Julkinen
14.11.2022 4

5.
Verkko- ja mobiilipankin käyttö Suomessa
Julkinen
14.11.2022 5

6.
Verkko- ja mobiilipankin käyttö Suomessa
Julkinen
14.11.2022 6

7.
Maksamiseen ja verkkopankkitoimintaan liittyviä lakeja,
määräyksiä ja ohjeita
14.11.2022
Julkinen
7

8.
Laki luottolaitostoiminnasta (8.8.2014/610) 9 luku 16§
• Luottolaitoksella on oltava riittävät, turvalliset ja toimintavarmat maksu-, arvopaperi- ja
muut tietojärjestelmät.
• Luottolaitoksella on oltava varautumis- ja jatkuvuussuunnitelmat liiketoiminnan vakaviin
häiriöihin varautumiseen, toiminnan jatkuvuuden turvaamiseen sekä häiriötilanteissa
aiheutuvien vahinkojen rajoittamiseen.
Julkinen
14.11.2022 8

9.
Finanssivalvonnan määräykset ja ohjeet
• Valvottavan hallituksen on varmistettava, että valvottavalla on toiminnan luonteeseen ja
laajuuteen nähden riittävät ja asianmukaisesti järjestetyt tietojärjestelmät.
• Valvottavan yleisen tietoturvallisuuden tason ja eri tietojärjestelmien turvatasojen on
oltava riittävät valvottavan toiminnan luonteeseen ja laajuuteen, tietojärjestelmien uhkien
vakavuuteen sekä yleiseen tekniseen kehitystasoon nähden.
• Maksujenvälitysjärjestelmien tulee olla toimintavarmoja ja turvallisia. Valvottavan tulee
huolehtia, että maksujen välityksessä esiintyy mahdollisimman vähän häiriöitä ja
viivästyksiä. Pankkien välisen maksuliikenteen hoitamiseksi on oltava riittävät
varajärjestelyt.
Julkinen
14.11.2022 9

10.
Finanssivalvonnan määräykset ja ohjeet
• Valvottavan hallitus vastaa siitä, että valvottavan keskeisillä liiketoiminnoilla on
ajantasaiset ja riittävät jatkuvuussuunnitelmat.
• Valvottavan tulee kartoittaa ja priorisoida tärkeimmät liiketoimintaprosessinsa. Niille tulee
määritellä toipumisajat eli pisin sallittu katko, joka ei vielä häiritse liiketoimintaa.
• Priorisoiduille prosesseille on suunniteltava vaihtoehtoiset toimintamallit ja
toipumismenettelyt toiminnan katkosten varalta. Erityisesti on varmistettava, että
liiketoiminnan toipumisen kannalta tärkeät tiedot ovat palautettavissa ajan tasalle.
• Tietojärjestelmille tulee laatia toipumissuunnitelmat, joissa kuvataan, kuinka eri
tietojärjestelmät saadaan toimintakuntoon vakavassa häiriötilanteessa tai katastrofissa.
Julkinen
14.11.2022 10

11.
Finanssivalvonnan määräykset ja ohjeet
• Valvottavan tulee tehdä ensi-ilmoitus Finanssivalvonnalle asiakkaille tarjotuissa
palveluissa sekä maksu- ja tietojärjestelmissä esiintyneistä merkittävistä häiriöistä ja
virheistä viipymättä niiden ilmaannuttua.
• Maksujenvälityksessä ja korttimaksamisessa merkittäviksi häiriöiksi katsotaan esimerkiksi
suurta määrää asiakkaita koskeva häiriö tai viivästys. Merkittävä häiriö on myös verkko-
ja tietoturvallisuuteen liittyvä häiriö tai poikkeama sekä häiriö, jossa asiakastietoja on
joutunut ulkopuoliselle taholle.
• Finanssivalvonnalle tulee ilmoittaa viipymättä myös sellaiset häiriöt ja virheet, jotka
haittaavat tai vaarantavat valvottavan kykyä jatkaa liiketoimintaansa tai vastata
velvoitteistaan.
Julkinen
14.11.2022 11

12.
Finanssivalvonnan määräykset ja ohjeet
• Valvottavan tulee tehdä Finanssivalvonnalle täydentävä ilmoitus häiriön tarkemmista
yksityiskohdista mahdollisimman pian ensimmäisen ilmoituksen tekemisen jälkeen ja
loppuraportti, kun häiriön varsinainen syy on selvitetty.
• Ilmoitus tulee tehdä ainakin seuraaviin ryhmiin kuuluvista häiriöistä:
− murtautuminen tietojärjestelmään
− tietojen paljastuminen asiattomille
− tietoturvaloukkaus
− haittaohjelman levittäminen tietojärjestelmään
− palvelunestohyökkäys
Julkinen
14.11.2022 12

13.
Finanssivalvonnan määräykset ja ohjeet
• Ilmoitus tulee tehdä myös seuraavista häiriöistä, jos ne vaikuttavat asiakkaiden saamaan
palveluun:
− ohjelmistovirhe
− tietoliikennehäiriö
− järjestelmän käyttökatkos
− laiterikko
− viivästykset maksujenvälityksessä
Julkinen
14.11.2022 13

14.
Millaisia häiriöitä verkkopankeissa ja maksujärjestelmissä
voi olla ja mistä ne tyypillisesti johtuvat?
14.11.2022
Julkinen
14

15.
Verkkopankeissa ja maksamisessa esiintyviä häiriöitä
• Finanssivalvonnalle tulee vuosittain satoja häiriöilmoituksia
• Ilmoituskynnys on matala, mikä on hyvä asia
• Tyypillisiä häiriöilmoituksia
− Maksujenvälityksessä lyhyehkö viive. Palkat, eläkkeet ja toistuvaissuoritukset myöhässä.
− Verkko- tai mobiilipankkiin kirjautumisessa katko
− Verkko- tai mobiilipankki on hidas
− Tietosuojaongelma: esim. asiakkaalle tarkoitettu kirje mennyt väärään osoitteeseen tai ei ole
tullut perille
• Harvinaisempia tapauksia
− Palvelunestohyökkäys (aiheuttaa hitautta tai kirjautumisen estymisen verkkopankissa)
− Pidempi viive maksujenvälityksessä tai verkko- tai mobiilipankkiin kirjautumisessa
− Vakava ohjelmistovirhe, joka aiheuttaa tietoturvaongelman
Julkinen
14.11.2022 15

16.
Syitä häiriöille, esim.
• Kapasiteettiongelma jossain laitteessa (palvelin, tietoliikennelaite, tietokanta)
• Inhimillinen virhe
• Prosessivirhe, esim. tehtävien suorittaminen väärässä järjestyksessä tai eräajojen
käynnistäminen kahdesti
• Ohjelmistovirhe (sovellus- tai varusohjelmistovirhe)
• Laiterikko
• Palvelunestohyökkäys
• jne.
Julkinen
14.11.2022 16

17.
Kuinka häiriöitä voi ehkäistä ennalta?
14.11.2022
Julkinen
17

18.
Pankin toimet
• Kriittisten komponenttien kahdentaminen, varajärjestelyt
• Järjestelmien huolellinen testaaminen ennen niiden käyttöönottoa
• Jatkuvuus- ja toipumissuunnitelmien laatiminen ja testaaminen
• Järjestelmiin ja toimintoihin liittyvä riskien arviointi ja riskin hallintakeinojen toteuttaminen
• Tietoturva-auditoinnit ja huolellinen testaaminen
• Tietoturvatestaukset
• Huolellinen alihankkijoiden valinta ja niihin liittyvien riskien hallinta
• Henkilöstön ohjeistus ja koulutus
Julkinen
14.11.2022 18

19.
Finanssivalvonnan toimet
• Sääntely: määräykset ja ohjeet: vaikuttaminen siihen että valvottavan toimintamallit ja
riskienhallinta ovat asianmukaiset.
• Valvottavien merkittävien uusien tuotteiden, palvelujen ja merkittävien
järjestelmähankkeiden läpikäynti valvottavien kanssa. Huomioiden esittäminen
läpikäynneissä.
− Finanssivalvonta ei muodollisesti hyväksy uusia tuotteita, palveluja ja järjestelmiä, vaan vastuu
näiden luotettavasta ja turvallisesta toiminnasta on pankilla itsellään.
• Riskiarviot valvottavasta ja huomioiden esittäminen niissä.
• Valvontakäynnit, tarkastukset, teema-arviot eri alueilla.
• Omat jatkuvuussuunnitelmat valvottavien vakavien häiriöiden varalta.
• Yhteistoiminta ja harjoittelu muiden finanssisektoria valvovien viranomaisten kanssa.
• Valvojien EU-tason yhteistyö, yhteistyö EKP:n kanssa. Yhteistyöryhmät ja parhaiden
käytäntöjen omaksuminen.
Julkinen
14.11.2022 19

20.
Toimintamallit ja vastuut häiriötilanteissa
14.11.2022
Julkinen
20

21.
Pankin vastuut häiriötilanteessa
• Häiriön aiheuttaneen ongelman korjaaminen
• Varmistaa, että vastaavanlaista häiriötä ei enää tapahdu
• Häiriöstä ja sen korjaamisen etenemisestä tiedottaminen asiakkaille
• Häiriöstä ja korjaustoimenpiteiden etenemisestä ilmoittaminen pikaisesti
Finanssivalvonnalle
• Mediayhteydenottoihin vastaaminen
• Vakavan tai pitkäkestoisen häiriön, sen syiden ja korjaustoimien läpikäynti
Finanssivalvonnan kanssa
• Asiakkailta tulleiden mahdollisten korvaushakemusten käsittely
Julkinen
14.11.2022 21

22.
Finanssivalvonnan tehtävät häiriötilanteessa
• Häiriöilmoitusten vastaanottaminen ja läpikäyminen
• Häiriöilmoituksen vaatiminen jos sitä ei ole oma-aloitteisesti lähetetty
• Korjaustoimien etenemisen seuranta
• Jos häiriö pitkittyy, säännöllisen raportoinnin edellyttäminen pankilta korjaustoimien
etenemisestä
• Mediayhteydenottoihin vastaaminen
• Jos häiriö on pitkäkestoinen, koskee useaa toimijaa tai on erityisen vakava viestinnän
koordinointi toimijan ja muiden viranomaisten kesken
• Jos häiriö on ollut vakava tai pitkäkestoinen sen syiden ja korjaustoimien läpikäynti
valvottavan edustajien ja tarvittaessa sen johdon kanssa
• Jos häiriö on ollut erityisen vakava tarvittaessa sanktioharkinta
Julkinen
14.11.2022 22

23.
Mitä asiakas voi tehdä häiriötilanteessa?
• Tarkista pankin tiedotteet sen omilta verkkosivuilta. Pankit myös ilmoittavat
huoltokatkoista etukäteen eri kanavissa.
• Yleensä katkot ovat lyhyitä ja verkko- tai mobiilipankki toimii jonkin ajan kuluttua.
• Jos epäilet joutuneesi huijauksen kohteeksi, ota heti yhteyttä pankin asiakaspalveluun.
• Älä mene verkko- tai mobiilipankkiin Googlen tai sähköpostilinkkien kautta ja pidä tarkkaa
huolta verkkopankkitunnuksistasi – älä luovuta niitä muille.
• Fine (Vakuutus- ja rahoitusneuvonta) voi auttaa korvausasioissa ja tarjoaa muutenkin
neuvontaa, jos on ongelmia pankin kanssa.
Julkinen
14.11.2022 23

24.
Yhteistoiminta muiden viranomaisten kanssa vakavissa
häiriötilanteissa
14.11.2022
Julkinen
24

25.
Yhteistyö muiden viranomaisten kanssa
• Muiden finanssimarkkinoita valvovien viranomaisten kanssa on sovittu
yhteistoimintamallista ja viestintäkanavista vakavissa kyber- tai maksujärjestelmiin
liittyvissä tilanteissa.
• Vakavia häiriötilanteita harjoitellaan muiden viranomaisten kanssa (mm. TIETO ja FATO-
harjoitukset).
• Finanssivalvonta on mukana huoltovarmuusorganisaation eri työryhmissä
Julkinen
14.11.2022 25

26.
Kiitoksia mielenkiinnosta! Kysymyksiä, kommentteja?
14.11.2022
Julkinen
26