Tietoturvaohjeistus : Case: LAMK

Abstract

Opinnäytetyön tarkoituksena oli tuottaa riskienhallintaa käsittelevä tietoturvaohjeistus Lahden ammattikorkeakoululle yleisten tietoturvaohjeiden tueksi sekä tutkia kuinka EU:n tietosuojauudistus vaikuttaa koulun toimintaan henkilötietojen suojauksen osalta. Ohjeistus toteutettiin tutustumalla olemassa oleviin ohjeisiin ja sääntöihin sekä kirjallisuuteen, jonka pohjalta se tehtiin.

Teoriaosassa käsiteltiin tietoturvallisuutta, siihen liittyvää riskienhallintaa ja EU:n tietosuojauudistusta yleisellä tasolla. Teoria toimi pohjana tietoturvaohjeistukselle. Teoriaosuus pohjautui aiheeseen liittyvään kirjallisuuteen sekä muuhun sähköiseen materiaaliin.

Tutkimusosuus toteutettiin haastattelemalla Lahden ammattikorkeakoulun henkilöstöä. Haastattelut toteutettiin teemahaastatteluina, joissa oli puolistrukturoituja kysymyksiä. Haastattelut tallennettiin ja litteroitiin referoiden. Haastateltavilla oli myös mahdollisuus lisätä tai muuttaa vastauksiaan jälkikäteen sähköpostin välityksellä. Tutkimuksella kartoitettiin henkilöstön ymmärrystä tietoturvallisuudesta ja uudesta tietosuoja-asetuksesta sekä siitä, miten muutoksiin on jo mahdollisesti varauduttu.

Tutkimuksessa selvisi, että henkilötietojen suojaus on hyvällä tasolla Lahden ammattikorkeakoulussa. Parantamisen varaa löytyi dokumentoinnista ja koulun on alettava tekemään tietosuoja-asetuksen vaatimia muutoksia. Suurin osa haastateltavista ymmärsi, millaisia muutoksia tietosuoja-asetus vaatii ja tiesi pääosin, miten näihin on varauduttu. Osa ei ollut kuullut koko tietosuojauudistuksesta.

The purpose of the thesis was to produce an information security guidance protocol for risk management for Lahti University of Applied Sciences and to study how the EU data protection regulation affects the University’s way to protect personal data. The security guidance protocol was based on existing instructions, rules and literature related to the topic.

The theoretical part of the thesis deals with information security, risk management and the EU data protection regulation on a general level. The theoretical part acts as a basis for the information security guidance and it based on literature and other online material.

The study was conducted by interviewing staff members of Lahti University of Applied Sciences. The interviews were theme based and they involved semi-structured questions. Interviews were recorded and the main points transcribed. Participants were given the opportunity to add or change their answers afterwards via email. The study surveyed the staff members’ understanding of information security, the new data protection regulation and how the University has prepared for these changes.

The study finds that personal data protection is on a good level at Lahti University of Applied Sciences. Documentation needs to be improved and the University has to start making the changes the EU data protection regulation requires. Most of the participants understood what kind of changes the data protection regulation requires and knew for the most part how the University has prepared for them. Some participants, however, had not even heard about the regulation.