Kyberturvallisuuden kehittäminen ja henkilöstöosaamisen kartoitus finanssialan yrityksessä

Abstract

Opinnäytetyön tarkoituksena on tutkia, millaisia kyberturvallisuuden uhkia finanssialan yritys kohtaa vuonna 2017, sekä parantaa yrityksen kyberturvallisuutta henkilöstöosaamisen kautta. Opinnäytetyö toteutettiin toiminnallisena opinnäytetyönä, joka suoritettiin kansainvälisen finanssialan yrityksen suomalaisessa tytäryhtiössä. Opinnäytetyön päätutkimuskysymyksenä on ”Miten yritys voi kehittää kyberturvallisuutta henkilöstön osaamisen ja -tietoisuuden parantamalla?” Opinnäytetyössä käytettiin laadullista tutkimusmenetelmää, sillä aihealueista ei ole olemassa entuudestaan teoriaa tai historiatietoa. Tutkimuskysymykseen vastaamiseen käytettiin useita tutkimusmenetelmiä, joita olivat kirjallinen aineistoanalyysi, havainnointi ja henkilöstökysely.

Opinnäytetyössä avataan vuoden 2017 kyberturvallisuuden näkymiä esittelemällä Bangladeshin pankin ryöstö vuonna 2016, sekä kiristysohjelmien räjähdysmäinen leviäminen niin yksityisten henkilöiden päätteille, kuin yritystenkin työasemille. Lisäksi opinnäytetyössä näytetään käytännössä, miten voidaan tehdä yritykseen kyberturvallisuuden henkilöstökysely, jolla voidaan kerätä tietoa henkilöstön kyberturvallisuuden osaamisesta ja toimintatavoista, mutta toimii samalla myös opettavaisena ja mielenkiintoa herättävänä työkaluna. Samalla opinnäytetyössä on tiivistetty ISO/IEC 27001:2013, Katakrin ja VAHTI-ohjeiden sisällöt henkilöstöosaamisen kannalta, josta yritys voidaan ottaa mallia suunnitellessa omia strategioita henkilöstöosaamisen takaamiseksi.

Kiristysohjelmien nousu yhdeksi suuremmaksi turvallisuusuhkaksi on omiaan nostattamaan jokaisen työntekijän tärkeyden kyberturvallisuusuhkien torjunnassa. Niistä tuorein esimerkki on WannaCryn räjähdysmäinen leviäminen toukokuussa 2017. Tutkimuksen lopputuloksessa selvisi, että työntekijöiden osaamistasot ovat muuten hyvät, mutta epäselvää oli varsinkin yrityksen avainhallinnan ja verkkokäyttäytymisen koskevat säännöt. Henkilöstökyselystä selvisi myös, että alle puolet henkilöstö piti osaa kyberturvallisuusosaamista riittävänä ja monet olivat halukkaita saamaan säännöllisempää koulutuksia, sekä toivoivat yrityksen antavan säännöllisiä uutisiskuja uusimmista turvallisuusuhkista, mitkä ovat esillä mediassa, sekä antavan konkreettisia esimerkkejä niiden torjunnassa.

Tutkimuksen perusteella yritykselle ehdotettiin muun muassa kyberturvallisuuskoulutusten säännöllistämistä, koulutusten saatavuuden parantamista, sekä koulutuksen antaminen myös sidosryhmän jäsenille, joilla on pääsy yrityksen verkkoihin. Yritykselle ehdotettiin myös valvonnan tehostamista halutun lopputuloksen saavuttamiseksi.

Tutkimuksen lopussa todettiin, että henkilöstökysely on hyvä työkalu selvittämään henkilöstöosaamista myös kyberturvallisuuden puolella. Opinnäytetyö antaa yhden esimerkin henkilöstökyselyn tekemiseen, mutta antaa myös kehitysehdotuksia sen parantamiseen. Henkilöstökyselystä saadut tulokset ovat yrityskohtaisia, mutta itse kysely on hyvin hyödynnettävissä pienellä muokkauksella myös muille organisaatioille.

The objective of this thesis is to research what threats financial institutions face in 2017, and how to improve cybersecurity in a company through employee awareness. This thesis is a functional study, and it was carried out in a Finnish subsidiary of an international financial institution. The study answers the question of how to improve cybersecurity in a company by improving employees’ awareness and skills. Qualitative research was used in this thesis, because there is not any published theory in this area of research. Different research methods were used, including literature review, observation, and employee survey.

This thesis starts by elaborating the cybersecurity field in 2017 by presenting the Bangladesh Bank robbery in 2016, and ransomware that could infect both private and corporate computers. Additionally, this thesis describes how to build a cybersecurity survey for corporate use. The objective of the survey was to collect information about employees’ cybersecurity skills and knowledge, and at the same time it was used for educational purposes. The thesis also includes an analysis of the ISO/IEC 27001:2013, Katakri, and VAHTI instructions. The thesis also depicts what requirements organizations have for employees’ skills and knowledge. The company can use the results presented in the thesis when planning the strategies to ensure proper training for its employees.

Ransomware is one of the biggest threats in cybersecurity, and this ongoing issue further emphasises the importance of employees in stopping such attacks, as with the most recent ransomware wave in May 2017, called the WannaCry ransomware. The results from the research showed that the employees have a good understanding of cybersecurity. However, access control and web behaviour policies were still unclear for many, who answered the survey. Only about half of the employees, who answered the survey, thought that they have adequate cybersecurity skills and knowledge required for their job, and many wished for more frequent cybersecurity training. There were also demands for regular updates of latest cybersecurity threats, and concrete instructions on how to counter those threats.

Suggestions on how to improve cybersecurity in the company were given based on the research, and methods suggested included regular cybersecurity training for all internal and external employees, who have access to the company’s internal networks, among other things. It was also suggested that the company should enhance supervision to achieve the set goals.

The research showed that employee survey is a working tool for a company to determine employee skills and knowledge about cybersecurity. This thesis provides one example on how to build such a survey, but it also gives suggestions on how to improve it. The results from this employee survey represent only one company, but with small adjustments, the survey itself can benefit other organizations as well.