Palveluntuottajan tietoturvallisuustietoisuuden kehittäminen organisaatiossa

Abstract

Tässä opinnäytetyössä tutkitaan palveluntuottajan tietoturvatietoisuuden nykytilaa, palveluntuottajan tietoturvaosaamisen kehittämiseksi. Tavoitteena on löytää tietoturvallisuuden kehityskohteita ja tunnistaa palvelun ulkoistamisen aiheuttamia tietoturvallisuuden kehittämishaasteita kohdeorganisaatiolle.

Opinnätetyössä on käytetty kvalitatiivista tapaustutkimusta, joka sisältää kirjallisuuskatsaksen, kyselytukimuksen kohdeorganisaation palveluntuottajan henkilöstölle ja havainnointi osuuden. Palveluntuottajan tietoturvatietämystä ei ole ennen tutkittu.

Kyselytutkimus koostui kuudesta osa-alueesta; yleinen osio, ohjeet ja koulutus, työasemien turvallisuus, tietoaineisto, viestintä sekä muut hälytykset. Kysely lähetettiin palveluntuottajan vakituiselle henkilöstölle yhteensä 15 henkilölle. Kyselyyn vastasi 10 henkilöä. Tulokset käsiteltiin anonyymisti vastausten yhteenvedosta massatietona, eikä niitä voida yksilöidä vastaajiin.

Tutkimustulosten perusteella suurimmiksi kehityskohteiksi osoittautuivat koulutuksen puute, palveluntuottajan kohdeorganisaation tietoturvaohjeiden tuntemuksen puute sekä viestintä. Tutkimuksen tuloksien perusteella analysoitiin palveluntuottajan ja kohdeorganisaation yhteistyöllä toteutetun koulutuksen olevan tehokkain keino parantaa palveluntuottajantietoturvallisuudessa havaittuja kehittämiskohteita.

This thesis investigates the state of service providers' information security awareness in a target organization, so that the level of service providers' information security knowledge can be improved. The objective is to find areas of information security that need improvement and to recognize the challenges that outsourcing generates to the organization.

In this thesis qualitative case study was used as a method; the study consists of literary material, a questionnaire for the service providers' personnel and personal observations within the target organization. The level of service providers' information security awareness hasn't been studied before.

The questionnaire consists of six sections: general information, guides and training, workstation security, data, communications and other alarms. The questionnaire was sent to the service providers' staff that operates the service within the organization, in total 15 persons. 10 persons answered. The results were analyzed anonymously from the summary of answers and participants can not be identified.

The results of the study indicate that the areas that need the most improvement in information security were insufficient information security education, lack of knowledge about the target organization's instructions and communications. According to the results the most effective way to improve all three areas that needed to be improved was to arrange information security education in cooperation with the service provider and the target organization.