Yrityksen prosessien tietoturvariskien hallintamalli

Abstract

Tämän suunnittelutieteellisen tutkimuksen tarkoituksena on suunnitella, rakentaa ja arvioida tietoturvariskien hallintamalli kohdeyrityksen eri prosesseille. Tutkimuksen tuloksena saadaan yritykselle tietoturvariskien hallintamalli, jossa näkökulmana on liiketoiminta ja sen luomat vaatimukset prosessin tietoturvan tasolle. Hallintamallia käyttämällä voi prosessin omistaja omatoimisesti arvioida prosessiin liittyviä uhkakuvia ja päättää käytettävistä turvamekanismeista. Viitekehyksenä hallintamallissa on käytetty soveltaen ISO 27001 ja 17799 standardeja. Kansainvälisesti hyväksyttyjä standardeja käyttämällä voidaan todistaa yrityksen eri prosessien sidosryhmille tietoturvan tason vastaavan niitä vaatimuksia, joita standardissa esitetään. Tutkimuksessa haluttiin myös testata kuinka hyvin ISO standardien käyttö soveltui pienen organisaation tietoturvariskien hallintamallin suunnitteluun ja luontiin.

Tietoturvallisuus on ennen kaikkea yrityksen johdon asia ja se tulisikin olla mukana, kun suunnitellaan liiketoimintastrategioita. Yhä enemmän tulevaisuudessa esitetään yrityksien yhteistyökumppanien, esimerkiksi viranomaisten tai vakuutusyhtiöiden tahoilta, vaatimuksia prosessien tietoturvan suhteen. Silloin hyvin hoidettu prosessien riskienhallinta korostuu kilpailtaessa markkinoilla muiden toimijoiden kanssa. Johdon sitoutuminen tietoturvallisuuteen alkaa yrityksen tietoturvapolitiikan luonnilla, jolla luodaan perusta organisaation tietoturvan hallintajärjestelmälle. Prosessikartat ja –kuvaukset, sekä vastuiden selkeä jako, antavat hyvän pohjan riskianalyysin tekemiselle ja valvontatavoitteiden määrittämiselle. Tietoturvariskien arvioinnissa tulisi arvioida erityisesti liiketoiminnan jatkuvuuden kannalta kriittisiä uhkakuvia ja niiden toteutumisen todennäköisyyttä.

Tutkimuksessa luotua tietoturvariskien hallintamallia testattiin kohdeyrityksen pää- ja tukiprosesseihin. Tutkimustuloksissa todettiin, että tietoturvariskien hallinnalle oli selkeä tilaus organisaatiossa. Jo testausvaiheessa huomattiin tietoturvan osalta useita puutteita testauksen kohteena olevissa prosesseissa. Hallintamallia tullaan käyttämään organisaatiossa jatkossa prosessikuvausten laadinnassa ja uusia hankintoja suunniteltaessa. Prosessien omistajat koulutetaan hallintamallin käyttöön ja jatkokehitysehdotuksena tullaan yrityksen eri prosesseille laatimaan sekä toipumis- että jatkuvuussuunnitelmat. Kohdeorganisaation tietoturvatyön tavoitteena on sitouttaa koko yrityksen henkilöstö tietoturvariskien hallintaan omassa työssään.

Model for managing security risks in a company’s processes

The purpose of this design science research is to plan, construct and evaluate a model of managing the security risks in a case organization’s processes. As a result of this research the company obtains the management model focusing on business and the demands what it creates for the process security level. By using the created management model, the owner of the process is self-capable of evaluating the security threats and to decide which control requirements are used in the process. The management model’s frame of reference uses ISO 27001 and 17799 standards. By using internationally certified standards, the case company can prove to its business partners that the level of security exceeds standards requirements. During this research, tests were performed against the ISO standards to ascertain the suitability and usability for a small organization.

Security is first and foremost the responsibility of the company’s management and it must be considered when business strategies are planned. Increasingly in the future the different business partners demand a certain security level from the company’s operations. For example, insurance companies and authorities have their own demands for security in different processes. Well designed and analysed security risk management is an asset when competing in the marketplace. The commitment of the company’s management towards security work starts with the creation of the security policy. The security policy defines the framework and the targets for the whole information security management system of the company. Defining the process maps and charts and the clear division of responsibilities makes a solid foundation for risk analysis and determining the security control objectives. When evaluating the security risks, the emphasis should be on the critical risks from a business continuity point of view and must ascertain how plausible the risks are.

The constructed risk management model was tested for a case company’s main and support processes. The test results proved that there was an urgent need for security management within the organization. Security flaws for the processes were recognised early in the test runs. As a conclusion of the research the case company decided to use a created management model in all the process descriptions to analyze and evaluate the security risks. The process owners are instructed to use the management model and as a future development proposal disaster recovery and business continuity plans will be made for all the processes. The goal of the security work in the case organization is to commit the whole personnel to manage security risks in their own work tasks.