Tietoturvallisuus opiskelijajärjestöissä

Abstract

Tietoturvallisuuden huomioonottaminen ja tietoturvallinen toiminta on tärkeää kaikkien organisaatioiden toiminnassa. Insinöörityön tavoitteena oli toteuttaa tietoturvasuunnitelma Wiipurilaiselle Osakunnalle. Toimeksiantajalla oli tarve toipumissuunnitelmalle, mutta tietoturvallisen toimintamallin puuttuessa päätettiin työn aiheeksi ottaa tietoturvasuunnitelma, johon sisällytettiin toipumissuunnitelma.

Teoreettinen viitekehys perustuu kirjallisuuteen ja Internet-lähteisiin tietoturvallisuudesta yritys- ja järjestötoiminnassa sekä tietoturvadokumenteista ja niiden toteuttamisesta. Työn konteksti koostuu Wiipurilaisesta Osakunnasta järjestönä ja tietoturvallisen toiminnan nykytilasta.

Työ toteutettiin soveltamalla yrityksien tietoturvallisen toiminnan ja dokumentoinnin malleja opiskelijajärjestötoimintaan. Tietoturvasuunnitelman todettiin pohjautuvan riskikartoitukseen ja tietoturvapolitiikkaan, joten ne toteutettiin ennen tietoturvasuunnitelmaa. Työssä hyödynnettiin myös järjestöjen tietoturvaan liittyvää teoriaa jäsenrekistereistä.

Suurimmiksi tietoturvapuutteiksi todettiin jäsenrekisterin ylläpito, käyttäjätilien kirjautumistietojen säilytys ja epätietoisuus käytettyjen ulkopuolisten palveluiden tietoturvapoikkeuksista. Tärkeänä ja riskejä pienentävänä tekijänä koettiin myös järjestön toimijoiden perehdytys virkailijoiden vaihtuessa vuosittain.

Lopputuloksena tuotettiin tietoturvasuunnitelma, jossa kuvataan tietoturvan nykytilaa tietoturvan osa-alueittain ja ohjeistetaan jokapäiväisessä toiminnassa. Tietoturvasuunnitelma sisältää myös tiedot, miten tietoturvallista toimintaa voidaan kehittää, ja toimet, jotka ovat suunnitteilla toteuttaa tulevaisuudessa. Dokumentin lopussa on toipumissuunnitelma, joka ohjeistaa, miten toimia eri riskien realisoituessa.

Työ toteutettiin onnistuneesti saavuttamalla asetetut tavoitteet. Työn haasteina olivat toteutuksen rajaus ja aikataulu, mutta hyödyllinen dokumentti saatiin toteutettua toimeksiantajan tarpeisiin lopulta ajallaan.

Information security must be taken into consideration in day to day processes of all organizations. The aim of this thesis was to implement an information security plan for a Finnish student nation, Wiipurilainen Osakunta. The client had a need for a recovery plan but in the absence of a proper model for information secure processes it was decided to create the information security plan in which the recovery plan was included.

The theoretical framework is based on literature and Internet sources about information security in business and volunteer organizations, as well as how to plan and execute the documents. The context of the study consists of Wiipurilainen Osakunta as an organization and the current state of information security in the processes used.

The study was carried out by applying the models of information security activities and documentation of companies to student organizations. The information security plan was found to be based on risk mapping and information security policy of a company, so they were done before the information security plan. The theory of member registers of organizations was also integrated to the study.

The biggest information security vulnerabilities were found in the management of the membership register, in the management of user account login information and in the lack of knowledge about possible security abstractions of the external services in use. Proper familiarization processes were considered as an important and risk-reducing factor.

The result was a security plan that describes the current state of information security and has instructions for every day operations. The information security plan also includes information on how to improve information security in the organization and actions planned to be implemented in the future. The paper also includes a recovery plan that guides how to act when different incidents occur.

The study was carried out successfully by achieving the goals set. The challenges were the framing and schedule of the implementation, but a useful document was finally completed on time for the needs of the client.