Tietoturvapalveluiden kehittäminen oppimisympäristölle : case the FIRMA

Abstract

Opinnäytetyön aiheena oli tietoturvapalveluiden kehittäminen Turun ammattikorkeakoulussa toimivalle ICT-alan oppimisympäristölle, the FIRMAlle. Opinnäytetyössä analysoitiin tietoturvayritysten tarjoamia tietoturva- ja tietosuojapalveluita sekä sovellettiin niitä toimeksiantajan toimintaympäristöön. Opinnäytetyössä myös tutkittiin, mitä hyötyä opiskelijat saavat osallistumalla tietoturvaprojekteihin.

Tietoturvapalveluita kartoittaessa tutkittiin lähinnä suomalaisia tietoturvayrityksiä sekä muutamaa ulkomaista. Palveluita analysoitiin pitäen mielessä niiden toteutettavuutta toimeksiantajalle. Opinnäytetyö tehtiin case-tutkimuksena, sekä siinä käytettiin konstruktiivisia ja normatiivisia metodeja. Palveluista kartoitettiin niissä käytettyjä viitekehyksiä, kuten standardeja. Viitekehyksistä saa hyvän lähtökohdan palveluiden soveltamiseksi toimeksiantajalle.

Toimeksiantaja pystyy toteuttamaan lähes jokaisen analysoidun palvelun. Tietoturvapalveluiden toteuttaminen on kokonaan opiskelijoiden vastuulla, minkä vuoksi on myös tärkeää harjoitella erilaisia tietoturvatehtäviä. Riskianalyyseissa käytetään hyödyksi ISO 27000-standardiperhettä ja siitä vielä erityisesti ISO 27005-standardia. Penetraatiotestauksessa koko prosessi toteutetaan PTES-standardin mukaisesti. Tietoturvakoulutusten sisältö jää tietoturvaosastolla toimivien opiskelijoiden suunniteltavaksi.

Tietoturvaosastolla olevat opiskelijat saavat projekteissa mukana olemalla hyvän pohjan työelämään, mikäli osallistuvat aktiivisesti erilaisiin tietoturvaprojekteihin. Tarkoituksena on käyttää samoja viitekehyksiä ja työkaluja tietoturvaprojekteissa kuin tietoturvayritykset omissa projekteissaan käyttävät. Tietoturvaprojekteista saa myös paljon hyötyä muihinkin ICT-alan työtehtäviin, sillä niin verkkosovellusten kehittämisessä kuin järjestyksenvalvojan roolissa, tietoturva on erittäin lähellä.

This thesis was about developing information security services for a learning environment in Turku University of Applied Sciences, called the FIRMA. This thesis analyses information security and data protection services provided by information security organizations and implementing them for the commissioner while keeping in mind the commissioner’s operational environment. This thesis also studies what students gain from participating in information security projects.

The thesis surveyed information security services provided by mostly Finnish information security companies and a few of foreign companies. The services were analyzed while keeping in mind implementing these services for the thesis’ commissioner. This thesis is a case-study and uses constructive and normative methods. The services’ frameworks, for example standards, were highlighted from the analyzed service descriptions. Frameworks provide a good basis for adapting the analyzed services for the thesis’ commissioner.

The thesis’ commissioner is able to provide almost every analyzed service. The provided information security services depend completely on the students, which is why practicing different information security assignments is important. The risk analysis’ should utilize the ISO 27000 standard family, especially the ISO 27005 standard. The whole penetration testing process should be done according to the PTES standard. The contents of information security training sessions for clients will be designed by information security students,

By being part of different information security projects, the students gain a great kickstart to their careers. The aim is to use the same frameworks and tools in information security projects that information security companies use in their own projects. Students can acquire new skills from there that will also benefit them in other areas in ICT, because information security is present in, for example, web development as well as in system administration.