ISO/IEC 27001 -standardi ja tietoturvallisuuteen sitoutuminen

Abstract

Tämän opinnäytetyön tarkoituksena oli koota yhteen ISO/IEC 27001 vaatimuskokoelma. Ajatus työstä lähti toimeksiantaja yritykseltä, joka on Suomalainen kansainvälisesti toimiva rahalaitos. Yritys haluaa selvitettävän ISO/IEC 27001 tietoturvasertifikaatin hankkimiseen liittyviä hyötyjä sekä siihen sitoutumiseen vaatimia resursseja. Tässä opinnäytetyössä käydään läpi sertifikaatin saamiseen liittyvää prosessia sekä muita tietoturvallisuuden hallintajärjestelmiä.

Teoreettisen viitekehyksen lisäksi haastateltiin Inspecta Sertifiointi Oy:n pääarvioija Jyrki Lahnalah-tea sekä suppeana kyselytutkimuksena kahdeksan eri yrityksen tietoturvasertifikaatista vastuussa olevia henkilöä. Haastatteluiden avulla haettiin kokemuksia sekä mahdollisia ongelmakohtia ja toisaalta myös onnistumisia, joita yritykset kohtasivat sertifiointiprosessissa. Yksi tavoite oli myös selvittää sertifikaatin etuja kehittäessä yrityksen tietoturvallisuutta, yrityksen imagon kohottamisessa ja asiakashankinnoissa. Työssä käydään läpi standardin hyödyllisyyttä yritykselle, joka ei myy it-palveluita, mutta jolla tietotekniikka ja tietoturva ovat erittäin suuressa roolissa. Toimiva ja ajanmukainen tietoturva on tärkeä osa yrityksen toimintaa ja siihen myös pyritään panostamaan toimeksiantaja yrityksessä.

The purpose of this thesis is to go through the ISO/IEC 27001 information security management system. Motive for the thesis originates from a Finnish assignment company that operates internationally in the monetary sector. Assignment company seeks to investigate the pros and cons of ISO/IEC 27001 information security certificate and the resources needed if committed to the process. This thesis will go through the process involved in acquiring the ISO/IEC 27001 information security certificate as well as other similar information security management systems.

In addition to the theoretical framework the head evaluator from Inspecta Certification Jyrki Lahnalahti was interviewed. In addition, eight different companies with the ISO/IEC 27001 certificate were also interviewed. The interview was targeted to the person responsible for the information security certificates. The purpose of the interviews was to acquire information and details regarding the certification process and to discover how different companies succeeded in the process. Target was to find out about the benefits of the certificate when developing information security, how to improve the image of the company and gain advantage attaining new clients. Goal is to study how the ISO/IEC 27001 information security standard benefits a company that does not function in the it-sector but where technology and information security play a big role. Well-functioning and up-to-date information security is a vital component in the organizations daily operations and the assignment company has invested in it heavily.