Kyberturvallisuuskoulutuksen suunnittelu ja toteuttaminen yrityksen johdolle

Abstract

Kyberturvallisuuden osaamisen merkitys suomalaiselle tietoyhteyskunnalle, yksityisille henkilöille, yrityksille ja kansantaloudelle on todella merkittävä ja ajankohtainen. Kyberturvallisuudessa globaali internet on keskiössä, mistä yhteiskunnan kriittinen infrastruktuuri, palvelut, teknologia ja kaikki yritykset ovat riippuvaisia.

Erittäin laajan kyberturvallisuuden aihealueen kokonaisuuden ymmärtäminen, tietoisuuden lisääminen ja aiheen kouluttaminen yritysjohdolle on haastava tehtävä, mihin tarvitaan innovatiivista, motivoivaa ja osallistavaa yritysvalmennusta. Koulutusmateriaalin sisällön on vastattava yrityksen tarpeisiin ja kriittinen liiketoiminta on turvattava kaikissa kyberhäiriötilanteissa.

Opinnäytetyön tarkoituksena oli kyberturvallisuuskoulutusmateriaalin sisällön tuottaminen, koulutuksen suunnittelu ja toteuttaminen pienen ja keskisuuren yrityksen johdolle. Tavoitteena oli, että koulutusmateriaalia voidaan hyödyntää yritysjohdon koulutuksen toteuttamisessa. Materiaalia voi soveltuvin osin käyttää eri toimialoilla, suuremmissa yrityksissä ja viranomaisorganisaatioissa. Koulutusmateriaali tuli toiminimen, Kyberkapteeni, käyttöön. Itse koulutusmateriaali ei ole julkinen liite, mutta keskeisen viitekehyksen materiaalille muodostaa luku kaksi.

Koulutusmateriaalin sisällön rakentamiseen luvussa kaksi käytettiin pääosin dokumenttianalyysiä tutustumalla laajaalaisesti kotimaisiin ja ulkomaisiin lähteisiin sekä hyödynnettiin kirjoittajan 33 vuoden kokemusta ICT- ja tietoturvallisuusalalta, kansallisilta ja kansainvälisiltä messuilta ja alan työpajoista.

Työssä käytettiin sekä kvantitatiivisia (määrällisiä) että kvalitatiivisia (laadullisia) tutkimusmenetelmiä, kuten havainnointia, haastatteluja sekä tutustuttiin eri tahojen tekemiin kvantitatiivisiin kyselytutkimuksiin. Yritysjohtajien puolistrukturoidut haastattelut ja yrityksiin kohdistuvat turvallisuuskartoitukset toteutettiin helmikuussa 2018 ennen koulutuspilotteja. Koulutuksen suunnitteluun ja toteuttamiseen liittyvien kokeilevien pilottien yhteydessä menetelminä käytettiin systeemiajattelua, valmennusta ja aivoriihiä sekä muita osallistavia opetusmenetelmiä.

Perusteellisella taustatutkimuksella, hyvin suunnitelluilla ja toteutetuilla haastatteluilla, kyselyillä ja piloteilla saatiin toteutettua yritysjohdolle koulutusmateriaali, jonka avulla voidaan parantaa yrityksen kyberturvallisuuden johtamista, johdon kyberturvallisuustietoisuutta ja yrityksen kilpailukykyä sekä turvata yrityksen maine ja liiketoiminnan jatkuvuus. Johdon palautteet piloteista olivatkin todella positiivisia esimerkiksi innovatiivisen ja motivoivan kyberturvallisuuden johtamisen opeista.

The significance of cyber security expertise for the Finnish community of information, private individuals, businesses and the economy is truly significant and timely. Global internet is in the heart of cyber security, from where critical infrastructure, services, technology and all businesses are dependent.

Understanding the scope of cybersecurity topics, increasing awareness and training for business management are a challenging tasks, for which innovative, motivating and participatory business training are needed. The content of the training material must be in response to the company's needs, and critical business must be safeguarded in all cyberdisturbances.

The purpose of the thesis was to produce the content of the cyber-safety training material. This includes design and implementation of the training for the small and medium-sized enterprise. The aim was to use training material in corporate management training. The material can be used in different industries, large companies as well as government organizations. The training material was made for the company called Kyberkapteeni. The training material itself is not a public appendix, but the material of the key framework is in the chapter two.

Documents analysis methodology was used in developing the educational materials. Domestic and foreign sources were widely explored. The author utilizes his 33-year experience in ICT and information security, national and international fairs and attending workshops in the field.

Data for the thesis were collected through quantitative and qualitative research methods, observation and interviews. Quantitative research conducted by different organizations was used in the thesis. Semi-structured interviews with business executives and security surveys on companies were carried out in February 2018 before pilot training. Systems thinking, coaching and brainstorming as well as other participatory teaching methods were used as experimental pilots in the planning and implementation of training.

With a thorough background study, well-designed and conducted interviews, surveys and pilots, training materials were developed for corporate management to improve the company's cyber safety management, cyber security awareness and company competitiveness to safeguard the company's reputation and business continuity. The management's feedback from the pilots was positive, for example, from innovative and motivating cyber security learning.