Preventing data leaks caused by employee error in organizations

Abstract

The purposes of this thesis is to investigate the effect of employee errors as a cause for data leaks occurring in organizations, and the preventive methods that can be used to reduce the likelihood of these errors occurring. The importance of securing a company’s immaterial assets is motivated through analyzing the potential consequences of a leak, which in turn serves as the motive for im-plementing information security awareness programs. But what methods should a company im-plement to increase employee awareness about information security risks? Which methods are ef-fective?

The theoretical solutions for improving information security awareness in companies are evaluated and analyzed in order to determine in what way the theory could be implemented in practice to reduce the likelihood of a threat to a company’s information assets being compromised.

Nokia Corporation was the target for a case study, where four managers were interviewed and a focus group of 25 randomly selected individuals at the Nokia Corporation headquarters in Kara-portti participated in an information security survey. In order to produce conclusions and solutions to the research questions, the survey and interviews were cross referenced to establish what ex-pectations there are on the ability of employees of Nokia to handle information in their daily work, and how the awareness level of the employees correlates with the expectations of the manage-ment.

The results of the thesis suggest that although Nokia is doing well in their processes of controlling information security measures within the company and benchmark it well among other companies through certification, the process of determining which employees may face challenges with in-formation security remains a challenge. Therefore, different suggestions for how the current in-formation security awareness level in the company could be improved in the future are discussed.

Tämän opinnäytetyön tarkoituksena on tutkia työntekijöitten virheistä johtuvien tietovuotojen vai-kutukset organisaatioon ja tutkia ehkäiseviä menetelmiä, joita voidaan käyttää vähentääkseen näiden virheiden sattumisen todennäköisyyttä. Yhtiön aineettoman omaisuuden turvaamisen tär-keyttä motivoidaan analysoimalla mahdollisia tietovuotojen negatiivisiä seurauksia, joilla voidaan puolestaan perustella tarvetta toteuttaa ohjelmia tietoturvatietoisuuden parantamiseksi yrityksessä. Mutta mitä menetelmiä yrityksen tulisi käyttää parantaakseen työntekijöiden tietoisuutta tietoturva-riskeistä? Mitkä näistä menetelmistä ovat tehokkaita?

Teoreettiset ratkaisut tietoturvallisuustietoisuuden parantamiseksi yrityksissä arvioidaan ja analysoi-daan jotta voidaan määrittää miten teoreettiset ratkaisut voidaan toteuttaa käytännössä vähentääk-seen todennäköisyyttä että yrityksen aineeton omaisuus vaarantuu.

Nokia Oyj oli kohteena tapaustutkimukselle jossa neljää johtajaa haastateltiin ja järjestettiin 25 satunnaisesti valitulle yksilölle kysely tietoturvallisuudesta. Kohderyhmä kyselyä varten valittiin Nokia Oyj:n pääkonttorista Karaporttissa. Kyselyn ja haastatteluiden tulokset verrattiin toisiinsa selvittääkseen mitä odotuksia on Nokian työntekijöiden taitoon käsitellä tietoa päivittäisessä työssä jotta voitaisiin tehdä johtopäätöksiä ja ehdottaa ratkaisuja tutkimusta varten esitettyihin kysymyk-siin, ja selvittääkseen miten työntekijöitten nykyinen tietoisuus tietoturvariskeistä korreloi johdon odotuksiin nähden.

Opinnäytetyön tulokset viittaavat siihen, että vaikka Nokia Oyj:llä on selkeät turvatoimet yrityksen tiedon suojaamiseksi ja suoriutuu hyvin verratessa toisiin yhtiöiden nähden sertifioinnin kautta niin yksittäisten työntekijöiden tietoturvallisuuden liittyvien haasteiden havaitseminen yrityksessä on edelleen haaste. Siksi tutkimuksessa ehdotetaan erilaisia ratkaisuja miten nykyistä tietoturvallisuus-tietoisuuden tasoa voidaan parantaa tulevaisuutta nähden.