Tietoturvallisuuden hallintajärjestelmän auditointi

Abstract

Insinöörityön tavoitteena oli kartoittaa kohdeyrityksen tietoturvallisuuden hallintajärjestelmän nykyinen tila. Tavoitteena oli myös selvittää tarvittavat toimenpiteet ISO 27002 -standardin mukaisen sertifioinnin saavuttamiseksi. Insinöörityö tehtiin yrityksen sisäisiä resursseja hyödyntäen.

Työssä tutustuttiin aluksi tietoturvallisuuden perusperiaatteisiin, minkä jälkeen perehdyttiin ISO 27000 -standardiperheeseen. Tämän jälkeen perehdyttiin kohdeyrityksen tietoteknisiin järjestelmiin ja sen nykyiseen tietoturvallisuuden hallintajärjestelmään sekä kartoitettiin, kuinka hyvin se toteuttaa ISO 27001- ja ISO 27002 -standardit.

Nykyisen tietoturvallisuuden hallintajärjestelmän dokumentoinnin puutteellisuuden perusteella päätettiin luoda kyselypohja ISO 27002 -standardin pohjalta. Kyselypohjan tavoitteena oli kartoittaa kohdeyrityksen nykyisiä tietoturvallisuuskäytäntöjä. Kysely käytiin läpi yrityksen tietoturvasta vastaavien henkilöiden kanssa.

Kyselyn vastauksia analysoimalla pystyttiin luomaan yritykselle kehityssuunnitelma tietoturvallisuuden parantamiseksi. Kehityssuunnitelman lopullinen tavoite oli yrityksen haluaman ISO 27002 -standardin mukaisen sertifioinnin saavuttaminen.

Insinöörityössä luotu kyselypohja oli hyvä aloituskohta tietoturvallisuuden hallintajärjestelmän kehittämiseen. Kyselypohja antoi hyvän kokonaiskuvan yrityksen tietoturvallisuuden nykytilasta. Kysymykset kuitenkin osoittautuivat liian yleisluontoisiksi ja vaikeaselkoisiksi. Insinöörityön löydösten pohjalta yritys ryhtyi konkreettisiin toimiin tietoturvallisuuden parantamiseksi.

The aim of the thesis was to find out the current state of the information security management system of the target company and to identify the necessary measures to achieve ISO 27002 certification. The thesis was made using the company's internal resources.

The first part of the thesis introduced the basic principles of information security, after which an introduction was made to the ISO 27000 standard family. Subsequently, the target company and its IT systems were introduced. Next, the target company's current information security management system was examined and mapped out to see how well it is currently implementing ISO 27001 and ISO 27002 standards.

Based on the lack of documentation on the current information security management system, it was decided to create a questionnaire based on the ISO 27002 standard. The purpose of the questionnaire was to map out the target company's existing information security practices. The survey was conducted with those responsible for the company’s information security.

By analyzing the answers to the questionnaire a plan of action was created for the company to improve their information security. The goal of the action plan was for the company to achieve the ISO 27002 certification.

The questionnaire created in the thesis was a good starting point for developing an information security management system. The survey provided a good overview of the company's current security situation. However, the questions turned out to be too generic and difficult to understand. Based on the findings of the bachelor's thesis, the company took concrete steps to improve information security.