Improvement of Information Security Management System in Media X Corporation

Abstract

This Master`s thesis was carried out as a result of Media X Corporation (anonymized) ISMS, Information Security Management System improvement project. The topic of the thesis was accepted in JAMK, University of Applied Sciences in September 2017. Some of the material of this document has been declared as company confidential by original assignor and is not available in this document.

The purpose of this thesis was to provide a current state analysis for the existing Media X Corporation Information Security Management System and to give guidance for the existing model improvement work.

In the beginning of this thesis, the business areas of Media X Corporation and their organization as well as their technical functions are explained. In the theory part of this thesis several popular and world-wide Security Frameworks are introduced and compared and their main characteristics and suitability for Media X Corporation purpose is evaluated as well as discussed shortly the pros and cons of the Frameworks to be utilized as a basis of ISMS. ISO/IEC 27001 standard was found as the most suitable framework for Media X.

In the practical current state analysis work the ISO 27001 standard and ISO 27002 best practices were used as main criteria for the evaluation and assessment of the exiting ISMS.

The evaluation results revealed several security controls area gaps and results are presented in current state analysis report, which was provided to Media X Corporation.

Tämä opinnäytetyö tehtiin Media X Oy:lle (nimi muutettu) tehdyn tietoturvan hallintajärjestelmän parannus -projektin perusteella.

Tavoitteena oli suorittaa nykytila-analyysi Media X Oy:n nykyiselle tietoturvan hallintajärjestelmälle sekä löydösten ja havaintojen perusteella tehdä parannusehdotuksia nykyisiin tietoturvajärjestelyihin.

Opinnäytetyössä on esitelty lyhyesti Media X Oy:n toiminnot ja arvioitu erilaisten tietoturvan viitekehysten soveltuvuutta nykytilan arviointiin.

Soveltuvimmaksi todettiin ISO 27001-standardin mukainen järjestely. Nykytila-analyysi tehtiin kyseisen ISO-standardin määritysten mukaisesti ja organisaatiossa havaittiin puutteita eri alueiden tietoturvakyvykkyyksissä. Analyysin tuloksena dokumentaatioon, prosesseihin, IT-omaisuuden hallintaan, henkilöstön tietoturvallisuusosaamiseen ja -tietoisuuteen sekä tietoturvallisuusriskienhallintaan ehdotettiin parannuksia.

Nykytila-analyysin tulokset toimitettiin Media X Oy:lle erillisellä raportilla. Varsinainen nykytila-analyysiraportti on julistettu luottamukselliseksi Media X Oy:n toimesta ja ei näin ollen ole mukana opinnäytetyön julkisessa versiossa.

Opinnäytetyön lopussa on arvioitu projektia kokonaisuutena sekä nykytila-analyysin havaintoja ja löydöksiä yleisemmin sekä parannusehdotuksia Media X Oy:n kannalta.