Tietoturvan kehittäminen organisaatiossa X

Abstract

Tässä opinnäytetyössä tietoturvan kehittämistä tarkastellaan tutkimus – ja kehittämisprojektin näkökulmasta. Tutkimusprojekti ja kehitysprojekti voivat kohdistua samaan sisältöön eri tavoittein ja tuloksin. Tutkimusprojektilla tavoitellaan sovelluskelpoisen tiedon löytämistä tai uuden tiedon luomista erityisen epävarmoilla alueilla ilman ennakkotietoa siitä, saadaanko tutkimuksen perusteella tuloksia tai hyötyä.

Valtioneuvosto on tehnyt periaatepäätöksen tietoturvatyön kehittämisestä, jossa johdon vastuulle linjataan tietoturvatyön resurssien ohjaaminen. Vahti -ohjeistuksen mukaan organisaatiolla tulisi olla tietoturvan hallintajärjestelmä, joka on kiinteä osa organisaation prosesseja, johtamis – ja hallintarakenteita. Tietoturvan arviointi tulisi olla normaalia johdon vastuulla olevaa johtamiseen ja tulosohjaukseen liittyvää päätöksentekoa.

Opinnäytetyössä tutkittiin, millainen on organisaatiolle X soveltuva tietoturvallisuuden hallintajärjestelmä. Tavoitteen tukemiseksi tutkittiin mahdollisuutta kehittää sovelluspohjainen tietoturvan hallintajärjestelmä organisaatiolle X. Alustana opinnäytetyön yhteydessä kokeiltiin Office 365 -ympäristössä toimivia online -pilvipalveluja. Opinnäytetyön tuloksena luotiin hahmotelma tietoturvan hallintajärjestelmästä Ms Planner -projektityökalulla, jossa ympäristö on toteutettu projekti-maiseen muotoon ja on siten helposti muunneltavissa tietoturvan kehittämisprosessin etenemisen mukaan.

Opinnäytetyön tuloksena nousi esille tutkimusprojektin keinoin kysymyksiä, mahdollisuuksia sekä ongelmia liittyen tietoturvan hallintaan, tarkoituksena pohtia niiden yleisempää merkitystä organisaation X tietoturvan kannalta. Halusin hyödyntää tutkimuksessa suurimman osan VAHTI ohjeistuksesta, jotta saisin työn tukemiseksi laaja-alaisen ja kattavan kuvan valtiohallinnon tietoturvallisuuden ohjeistosta sekä VAHTI -ryhmän merkittävästä työstä tietoturvallisuuden kehittämiseksi.

In this thesis, the development of information security is examined from the point of view of a research and development project. A research project and a development project can focus on the same content with different objectives and results. A research project seeks to map useful information or create new knowledge in particularly uncertain areas without any prior knowledge of the research results or benefits.

The Finnish Government has drawn up the Government Policy Decision on Information Security in the State Government offices, in which allocating resources of information security work is the responsibility of the management. According to the VAHTI instructions, an organization should have an information security management system, which is a fixed part of the processes of the organization and the organization’s management and control structures. Evaluation of information security procedures should be a part of normal leadership and a responsibility of the management-related decision-making process and should lead to management by results.

The thesis investigated what type of an information security management system would be suitable for Organization X. The development of an application-based information security management system for Organization X was explored. As a template, online cloud services in the Office 365 environment were tested. The result of the thesis was an outline of the information security management system using the Microsoft Planner project tool, where the environment has been carried out in a project form and thus can be easily modified according to the progress of the information security development process.

As a result of the thesis, possibilities and problems were reported with the methods of research project information security management. Most of the VAHTI guidelines were exploited in the research, and it resulted in a comprehensive picture of the government administration information security guidelines and the VAHTI -group´s seminal work for information security.