TIETOTURVATASON KEHITTÄMINEN PK-YRITYKSISSÄ

Abstract

Opinnäytetyön toimeksiantaja oli CyberWI-tietoturvahanke, jonka kansallisena koordinaattorina toimii Centria-ammattikorkeakoulu. Opinnäytetyön aiheena oli tietoturvallisuuden kehittäminen pienissä ja keskisuurissa yrityksissä. Työn tavoitteena oli laatia tietoturvapolitiikka ja tietoturvaohjeet hankkeen asiakasyritykselle. Lisäksi tavoitteena oli muodostaa asiakasyritykseen laadittujen ohjeiden pohjalta kehys tietoturvaohjeiden laatimiseen. Tätä kehystä voitaisiin hyödyntää hankkeessa muissakin asiakasyrityksissä.

Työn teoriaosuudessa käsiteltiin aluksi tietoturvallisuuden peruskäsitteitä ja osa-alueita sekä tietoturvallisuutta ohjaavia lakeja ja standardeja. Tämän jälkeen tarkasteltiin pienten ja keskisuurten yritysten näkökulmasta yritysjohdon tärkeimpiä tehtäviä ja työkaluja tietoturvallisuuden kehittämisessä. Lopuksi selvitettiin, miten henkilökunta voi omalla toiminnallaan vaikuttaa tietoturvallisuuden toteutumiseen.

Esitetyt periaatteet todennettiin opinnäytetyön käytännön osiossa tekemällä hankkeen asiakasyritykselle tietoturvapolitiikka ja tietoturvaohjeet. Tietoturvapolitiikan laadinnassa käytettiin valmista kehystä, mutta sisältö muokattiin vastaamaan yrityksen tarpeita. Laaditut dokumentit liitettiin osaksi yrityksen laadunhallintajärjestelmää. Lisäksi opinnäytetyöprojektin tuloksena tietoturvahankkeen käyttöön muodostui muokattava tietoturvaohjepankki, jonka avulla tietoturvaohjeiden laatiminen tuleville asiakasyrityksille on tulevaisuudessa helpompaa.

This thesis was commissioned by CyberWI –cyber security project which is coordinated by Centria University of Applied Sciences. The theme of this thesis was to develop cyber security in small and medium sized enterprises. The aim of the thesis was to create information security policy and instructions to the client company of the project. The target was also to create a common template for customer specific security instructions which could be utilized in the other companies.

The theory section of the thesis firstly introduces the basic terms and subareas of information security and also information security laws and standards. After that the thesis discusses the most important tasks and tools of company management for improving infor-mation security in small and medium sized companies. Finally, the thesis describes how employees can affect a company's cyber security by their own way of working.

In the practical part of the thesis information security policy and instructions were created for the client company. The information security policy was modified from a ready made framework to meet the client’s specific needs. The created documents were attached as a part of the client’s quality management system. Another task carried out in the practical part was creating a common modifiable information security instructions pool which could be utilized while creating client specific information security instructions in the future.