Henkilöstön tietoturvakoulutus EU:n tietosuojauudistuksen yhteydessä

Abstract

Tämän opinnäytetyön tarkoituksena oli luoda tietoturvakoulutus, joka vähentäisi henkilöstöön liittyviä tietoturvauhkia. Henkilöstön koulutus on osa prosessia, jolla voidaan osoittaa, että yritys on ottanut toiminnassaan huomioon EU:n tietosuoja-asetuksen vaatimukset. Opinnäytetyön toimenantaja oli Smartum Oy.

Viitekehyksenä koulutuksessa käytettiin toimintatutkimusta. Toimintatutkimus on tutkimuksen suuntaus, missä tutkimuksen tekijä pyrkii vaikuttamaan suoraan organisaation toimintaan. Opinnäytetyön tietoperusta sisälsi kirjallisuutta liittyen tietoturvaohjeistuksiin, tietosuoja-asetukseen sekä toimintatutkimukseen.

Tietoturvakoulutus pidettiin koko henkilöstölle luentomuotoisena esityksenä. Koulutuksen materiaali löytyy yrityksen tietoturvasivuilta. Koulutusmateriaalin sisältö oli suunniteltu niin, ettei sen ymmärtämiseksi tarvitse minkäänlaista teknistä ymmärtämistä.

Toimenantajan antama palaute oli positiivista. Koulutuksen teemat oli valittu hyvin ja esitys eteni loogisesti ja oli kuulijan kannalta selkeästi ymmärrettävässä muodossa. Koulutuksen konkreettista vaikutusta oli kuitenkin vaikeaa mitata. Tulevaisuudessa koulutustilaisuuksia varten voitaisiin luoda testi tai kysely, jolla koulutuksen vaikutuksesta saataisiin parempi kuva.

The purpose of this thesis was to produce an information security training program for the personnel of Smartum Oy. The objective was to reduce the threats that could be caused by the personnel of the company. Training the personnel was a part of the process; with it the company can show that it has taken into account the required actions demanded by EU’s general data protection regulation.

The framework used for this thesis was action research. Active research is usually done by actively participating in the situation that needs a change, while simultaneously doing research. The knowledge base used for this thesis consists mainly of literature on information security, general data protection regulation and action research.

The information security training program was held to the whole organisations personnel as a lecture. The material produced for the lecture can be found on the organisations intranet. The material for the lecture was written in a way that in can be understood without any kind of technical background.

The feedback given by the employer was positive. The themes chosen for the lecture were chosen well and the presentation was easy to follow. It was hard to evaluate the impact that the lectures had without any reference material. For the future lectures, it could be useful to create a test or a survey, that the employees could take after the lecture to measure the real influence.