Tietoturvallisuuden sertifiointi ISO/IEC 27001 -tietoturvallisuusstandardilla : case: Autovahinkokeskus Oy

Abstract

Tämän opinnäytetyön aiheena on tutkia tietoturvallisuutta liiketoiminnassa, tietoturvallisuuden hallintajärjestelmän toteuttamista ja ylläpitoa, riskien arviointia sekä tietoturvallisuuden sertifiointivaatimuksia ISO/IEC 27001 -tietoturvallisuusstandardilla. Työssä tutkitaan myös, miten tietoa käsitellään tietoturvallisesti ja miten sitä kuuluu suojata.

Autovahinkokeskus Oy on vakuutusyhtiöiden lunastaminen ajoneuvojen realisointia harjoittava yritys, joka työllistää tällä hetkellä 49 henkilöä. Lähes jokainen henkilö käyttää tietojärjestelmiä työssään, minkä vuoksi tietoturvallisuuteen on aiheellista kiinnittää paljon huomiota. Autovahinkokeskus Oy:n tavoitteena oli selvittää tietoturvallisuuden sertifiointivalmiudet ISO/IEC 27001 -tietoturvallisuusstandardin mukaisesti.

Tutkimuksessa selvitettiin käytettävien tietojärjestelmien ja tietoteknisen infrastruktuurin nykytila ISO/IEC 27001 -tietoturvallisuusstandardin vaatimusten mukaan. Tutkimus osoitti tietojärjestelmien ja menettelytapojen olevan hyvää tasoa. Parannettavaa löytyi jonkin verran sekä teknisistä ratkaisuista että toimintatavoista, mutta eniten huomiota tulee kiinnittää dokumentointiin, tapahtumien seurantaan sekä tietojärjestelmien valvontaan.

Työssä tutkittiin myös henkilökunnan tietoisuutta käytössä olevien tietojärjestelmien tietoturvallisuudesta, yleisistä tietojenkäsittelypalvelujen käyttötottumuksista, ohjeistuksista ja koulutuksista. Tutkimuksessa paljastui tässä olevan suurin haaste lähitulevaisuudessa. Ohjeistusta ja koulutusta tarvitaan sekä tietoturvallisuuden että ohjelmistojen käyttöön.

Työn tuloksena on Autovahinkokeskus Oy:n tietojärjestelmien, toimintatapojen ja henkilöstön tietoturvatietoisuuden nykytilakartoitus sekä korjaus- ja parannusehdotuksia sertifioinnin aloittamista varten.

The subject of this Bachelor's Thesis is to research into information security in business. Other questions are how to achieve and support an Information Security Management System, manage risks and survey requirements of the ISO/IEC 27001 standard. How to manage and secure this information is also the subject of this study.

Autovahinkokeskus Oy is specialized on realizing vehicles redeemed by insurance companies. The company employs 49 persons at the moment. The information systems are important tools in everyday work done by everyone. That makes it very important to focus on information security. The field of activity of the company was looking for facilities in order to certify the information security with the ISO/IEC 27001 standard.

In this study information systems and technological infrastructure with requirements of the ISO/IEC 27001 standard were analyzed. The research found information systems and procedures to be at a good level. There is some need to improve both the technical solutions and ways of working, but the main focus should be on the documentation, on the surveillance of the things that are happening at the moment and on the supervision of the data system as a whole.

The study took also under the investigation the security of the information system currently in use, the general usage of the data services, and the training in use. The research result here was that the biggest challenge is just this. Advice and training is needed, both concerning the data security and the use of software.

The result of the thesis is a survey of the current state of the information systems, practices and knowledge about the information security. There are also recommendations for improvements and development for the beginning of the certification process.