Tietoturva-auditoinnin jälkeiset toimenpiteet tietoturvan parantamiseksi

Abstract

Työssä tutkimme aiemmin tehdyn tietoturvakartoituksen jälkeistä tilannetta ja tietoturvan tasoa kohdeyrityksessä. Tutkimustulosten perusteella selvitämme tarvittavia toimenpiteitä tietoturvatason nostamiseksi.

Ensimmäinen osa selvittää tietoturvan ja riskienhallinnan perusperiaatteita sekä pohjustaa seuraavissa osissa käsiteltäviä aihealueita.

Toisessa osassa käsitellään laadullista tutkimusta, haastattelututkimuksen tekemistä sekä ensimmäisen tietoturvakartoituksen jälkeisen tietoturvatason kartoittamista. Tilanteen kartoittaminen tapahtui haastattelun avulla, joten haastattelukysymysten koostaminen on merkittävä osa työssämme.

Kolmannessa osassa käsitellään toimenpiteitä haastattelututkimuksesta saatujen tulosten perusteella. Lisäksi toimenpiteitä pohjustetaan teoreettisella tiedolla. Viimeinen osa koostuu erikseen tehtävän tietoturvakoulutuksen teoriaosuudesta.

Tietoturvakoulutus aloitettiin tekemällä yksinkertainen ohjeistus työntekijöitä varten. Ohjeistus on ohjevihkonen siitä, miten tulisi toimia erilaisissa tilanteissa ja miten uhkia voi havaita. Teimme myös koulutusvideon, jonka avulla työntekijöitä opetetaan hauskalla tavalla tarkemmin varautumaan erilaisiin tietoturvauhkiin. Video tullaan näyttämään jokaiselle nykyiselle työntekijälle ja tulevaisuudessa uusille työntekijöille perehdytyksessä.

Alustavan tietoturvakartoituksen, -politiikan ja tämän opinnäytetyön johdosta luotiin yritykselle tietoturvapohja ja heräteltiin yrityksen johtoa asian tärkeydestä. Tutkimuksemme myötä kohdeyrityksen tietoturvan kehittäminen helpottuu, ja yleinen tietämys tietoturvasta parantaa jokaisen yksilöllistä suoritusta.

The purpose of this thesis was to investigate the current level of the information security in the client company. Based on the research we developed the necessary measures to raise the level of information security in the company.

The first section explains basic principles of information security and risk management.

The second part deals with qualitative research, doing an interview study and mapping the level of information security, after the first information security audit.

The third part deals with the measures on the basis of the results of the interview study. In addition, measures are discussed and proposed by applying theoretical knowledge. The last part consists of a separate task of the theory about information security training.

The information security training for the client company was carried out by creating a guide with simple guidelines for employees. The guide is a booklet of instructions about what to do in different situations and how security threats can be detected. An educational video was created which allows employees to be taught in a fun and educational way to be prepared for various information security threats. This video will be shown to every current employee and to future employees during their orientation to the company.

The information security mapping, the information security guide and now this thesis, have created a base for information security and help corporate management increase their awareness of it. From now on, it is easy for the company to keep improving their information security.