Järjestön tietoturvan taso ja kehityskohteet

Abstract

Opinnäytetyön kohdeorganisaatio on suomalainen järjestö, joka valvoo jäsentensä etua valtakunnallisella tasolla. Järjestössä työskentelee noin 20 henkilöä, joista osa on vaihtuvia projektityöntekijöitä. Järjestön IT-palvelut on ulkoistettu noin neljä vuotta sitten. Nyt oli aika tarkastella järjestön tietoturvallisuuden tasoa ulkopuolisen asiantuntijan toimesta.

Työssä selvitettiin, millainen on järjestön tietoturvallisuuden taso tällä hetkellä sekä mitkä ovat keskeiset tietoturvallisuuden kehityskohteet. Työ on toiminnallinen opinnäytetyö, jossa tiedonkeruumenetelminä käytettiin kirjallisuuskatsausta, haastatteluja, havainnointia ja auditointia. Teemoittelua käytettiin tiedon analysointimenetelmänä.

Opinnäytetyön tulosten perusteella järjestön tietoturvallisuuden hallinta oli tarve kehittää. Järjestölle suositeltiin tietoturvapolitiikan ja tietoturvaohjeiden laatimista sekä henkilöstön perehdyttämistä politiikkaan ja ohjeisiin. IT-palvelusopimusta suositeltiin päivitettäväksi organisaation tietoturvapolitiikan perusteella. Lisäksi suositeltiin, että IT-palvelutalolta tilattai-siin säännöllinen raportointi tietoturvallisuuden tilasta. Järjestölle suositeltiin, että tietoturvallisuuteen liittyvät vaarat tunnistetaan ja riskit arvioidaan. Tämän lisäksi suositeltiin, että henkilöstölle järjestetään säännöllistä, riskiperusteista tietoturvakoulutusta.

Opinnäytetyöhön sisältyy ehdotus järjestön tietoturvapolitiikaksi sekä ehdotus tietoturvan ja tietosuojan huoneentauluksi.

The target organisation of the thesis is a Finnish union which looks after the interests of the members at the national level. In the union there are about 20 employees, some of which are project workers. The IT services were outsourced approximately four years ago. Now is the time to assess the level of the information security in the organisation by an external expert.

The aim of the study was to assess the present level of the information security in the union and also to identify the future development areas. In this functional thesis the data collection methods were literature review, interviews, observation and auditing. Thematisation was used as the data analysis method.

The results of the study show that the IT security management of the union is inadequate. It is recommended that the union will establish the IT security policy and the guidelines and, moreover, the union will educate the personnel on the policy and the guidelines. It is also recommended that the IT service agreement will be updated on the basis of the union’s IT security policy. Furthermore, it is recommended that regular reporting on the status of information security will be ordered from the IT service company. In addition, hazards associ-ated with information security should be identified and risks should be evaluated. Moreover, regular risk-based IT security training should be organized for the personnel of the union.

The thesis includes the proposal of the union’s IT security policy as well as the proposal of the house rules on data security and data protection.