Kotikäyttäjän tietoturva : case eräs Nordean yksikkö

Abstract

Tutkielman aineena oli käsitellä kotikäyttäjän tietoturvaa erään Nordean yksikön kautta. Tutkimuksessa perehdyttiin siihen, mikä on erään Nordean yksikön tietämys tämän ajan käsitteistä, jotka liittyvät oman kotitietokoneeseen kohdistuviin uhkiin sekä mikä oli kohderyhmän suhtautuminen tähän liittyvään roskapostiin. Tutkimuksessa tutkittiin lisäksi, osaako kohderyhmä huolehtia kotikoneensa tietoturvasta. Työ ei ollut toimeksianto.

Verkkorikollisuus on paitsi lisääntynyt myös muuttanut muotoaan. Viitekehyksessä käsitel-tiin teoriatasolla haittaohjelmista virusta, matoa, takaovea, troijalaista, rootkitia sekä bottia ja bottiverkkoa. Hyökkäysmalleista olivat tarkasteltavissa roskaposti eli spam sekä palvelunestohyökkäys. Social engineering -hyökkäyksissä käytetään hyväksi lähinnä käyttäjän omaa herkkäuskoisuutta. Näitä ovat phising- eli khalastelu ja pharming. Edellä oleviin liittyy myös torjunta. Siitä käsiteltiin palomuuria, virustentorjuntaohjelmaa, päivityksen merkitystä sekä lyhyesti eri käyttöjärjestelmiä sekä selaimia.

Tutkimus toteutettiin kvantitatiivisena survey-tutkimuksena. Kyselyn kohderyhmässä oli 89 henkilöä. Heille lähetettiin syyskuussa vuonna 2009 Webropolilla toteutettu kyselylomake.

Tutkimustulokset analysoitiin tavallisten käyttäjien ja jonkin verran ammattilaisten vertailuna sekä ikäryhmävertailuna. Rinnakkaisvertailua tietämyksen ja ikäryhmien kesken ei kyetty tekemään pienen kohderyhmän takia. Vastaajien yksilönsuojaa haluttiin suojella. Ammattilaiseksi itsensä luokitellut jätettiin analysoinnista pois.

Tuloksista voitiin päätellä, että kohderyhmä on melko valveutunutta. Phising ei ollut kaikille tuttu käsite, vaikka näin olisi voinut kuvitella johtuen sen liittymisestä tämän alan uutisointiin Nordeasta. Vastaajien suhtautuminen saada pahanlaatuinen virus omalle koneelle oli joko neutraali tai sitten todennäköisyyttä ei pidetty suurena. Tulokset osoittivat, että suurin osa vastaajista näytti poistavan roskapostin avaamatta sitä. Torjunnan osalta kävi ilmi, että kaikilla ei ollut palomuuria. Virustorjuntaohjelma oli lähes kaikilla. Vastaajista kaikki olivat suurimmaksi osaksi ottaneet automaattiset päivitykset käyttöön liittyen virustorjunnan turvapäivityksiin. Roskapostin suodatus oli hoidettu huonommin.

Suosituksena on se, että kaikki käsitteet käydään läpi kohderyhmän kanssa. Hyvä on myös muistuttaa, mikä on roskapostiin suhtautumisen merkitys.

The purpose of this thesis was to find out whether the target group (i.e. the employees of a business unit at Nordea Bank Finland) knows the concepts of malware and social engineering and related terms that threat computers and how the target group reacts to spam. In addition, the aim was to clarify how well the target group knows computer protection related to data security. The study concentrated on computer security from a home user’s perspective.

The thesis was carried out as follows: a Webropol-questionnaire was sent to the target group via e-mail. The target group consisted of 89 people working in one of the units at Nordea Bank Finland. The query included questions about the subject with various alternatives to choose from. Furthermore, it included some open questions. The questions in the query were based on the theoretical part of the thesis. The results were analyzed based on the respon-dents’ level of their previous knowledge of technical issues. The other aspect was to analyze the results comparing different age groups.

The thesis indicated that the target group is aware of the threats of malware. Phising was one of the asked concepts and it should have been known to the bank employees. The results showed that it was not as well-known as predicted. Furthermore, the thesis showed that the opinion of having malware on one’s own computer was either neutral or the probability was not regarded as a considerable one. Moreover, the study revealed that the majority of the target group did delete their spam mail without opening it. Additionally, what comes to the data security, not all respondents had a firewall in their computers. However, most of them had some kind of virus protection program.

The thesis concludes that even though the results did not show anything alarming, training should be provided to the target group. Additionally, those employees who do not maintain their own computer should be encouraged to do so.