Tietoturvasuunnitelma mikroyritykselle

Abstract

Tämän työn tarkoitus on tutkia mikroyritysten mahdollisia puutteita ja tuoda käytettävää hyötyä tietoturvan parantamiseksi. Tässä työssä ei yritetty saavuttaa täydellisyyttä, vaan sen on tarkoitus toimia pohjana pienemmille yrityksille. Työssä tutkittiin mielikuvituksellisen alle 10 työntekijän mikroyrityksen tietoturvaa. Yrityksen tietoturvatarpeet keksittiin käyttämällä paikallisen yrityksen osittaisia tietoja pohjana, jonka päälle rakennettiin ongelmia. Parannusehdotukset tehtiin työssä määritellyn yrityksen ongelmien mukaan.

Fyysistä tietoturvaa käsiteltiin enemmän laitteiden suojaamisen ja huoltamisen kannalta. Fyysisten riskien ehkäisyä pyrittiin myös huomioimaan. Vesivahingot ja sähkökatkokset nähtiin mahdollisina infrastruktuurin riskitekijöinä tietoturvan kannalta. Ihmisten tekemät virheet ja mahdolliset varkaudet nähtiin myös mahdollisina riskitekijöinä.

Digitaalisen tietoturvan osalta yrityksen yhteyksien turvaaminen oli tärkeä osa tätä työtä. Yhteyksiä turvattiin hankkimalla oikeat ja tarvittavat laitteet. Hyväksi ratkaisuksi tähän tehtävään määriteltiin olevan uuden palomuurilaitteen hankkiminen vanhan modeemin/reitittimen jatkeeksi. Kunnollisten varmuuskopioiden puute nähtiin myös suurena riskitekijänä tietoturvan jatkuvuuden osalta. Tätä korjattiin hankkimalla tarvittavat laitteet kahta uutta varmuuskopiota varten. Yritykselle luotiin myös salasanapolitiikka, jota yrityksessä ei ennen ollut.

Tietoturvaa käsiteltiin suhteellisen laajasti ja työssä käsiteltiin mikroyrityksille sopivasti liittyviä asioita. Tässä työssä ei tutkittu mikroyritykselle liian monimutkaisia ratkaisuja. Työssä yritettiin pysyä tärkeissä ja loogisissa tietoturvaa parantavissa vaihtoehdoissa. Hintaa yritettiin myös ottaa osaksi yrityksessä tehtäviin muutoksiin.

The purpose of this work was to study possible information security shortcomings in micro enterprises and give usable advice to improve their security. This work does not try to achieve perfection, but it’s supposed to act as a basis for smaller companies. In this work, I studied information security of an imaginary micro enterprise with less than 10 employees. The company and all its problems were thought up by using a local micro enterprises information as a basis. All the improvement recommendations to information security were based on the imaginary enterprise’s needs.

Physical information security was dealt with more in the protection and maintenance of equipment. Physical risk prevention was also considered. Water damages and electric outages were considered as potential infrastructure risk factors to information security. Errors made by employees and possible thefts were also under consideration.

Creating secure connections were an important part of information security in this work. Connections were secured by getting proper and necessary equipment. New firewall device was a good solution to complement the company’s old modem/router. The lack of proper backups was also a major risk factor for data continuity. This was fixed by getting two new devices for backups. Password policies also did not exist so they were created.

Information security was studied quite broadly and everything was thought out by keeping micro enterprises needs in mind. This work does not study complicated solutions for a micro enterprise and study was based more on important and logical solutions for information security for a micro enterprise. Price was also partially taken into consideration as part of implementation of this plan for the company.