Tietoriskien hallinta pk-yrityksen digitalisoitumisessa

Abstract

Opinnäytetyön toimeksiantaja oli Centria-ammattikorkeakoulun tietoturvan kehittämishanke. Opinnäytetyön tarkoituksena oli laatia digitalisoituvien pk-yritysten tarpeisiin kolme riskienkartoituskuviota eri tilanteisiin. Tavoitteena oli selvittää, minkälaiset tietoriskit yrityksiä uhkaavat ja kuinka niitä vastaan voidaan varautua.

Opinnäytetyön teoriaosuudessa käsiteltiin digitalisaatiota sekä sen vaikutuksia yritysten toimintaan ja sen mahdollistamiin uusiin toimintatapoihin. Tämän lisäksi teoriaosuudessa käsiteltiin tietoturvaa, tietosuojaa sekä riskienhallintaa erityisesti tietoriskien näkökulmasta.

Käytännön osuus toteutettiin teoriaosion sekä kirjallisuuden ja sähköisten artikkeleiden pohjalta. Opinnäytetyön tuloksena selvisi, että tietoturva on enemmän riippuvaista hallinnollisista toimenpiteistä kuin teknisistä. Tärkeintä on henkilöstön osaaminen ja tietoturvakäytänteiden laatiminen. Tarvittaessa tilaamalla järjestelmät toimittajalta, pk-yritykset eivät tarvitse niin paljon omaa järjestelmä osaamista ja voivat sen avulla suojautua myös tietoriskeiltä.

This thesis was commissioned by the information security development project of Centria University of Applied Sciences'. The purpose of the thesis was to form three risk mapping figures for small and medium-sized enterprises to different situations. The aim was to examine what kinds of information risks threaten companies and how to prepare for them.

The theoretical part of the thesis discusses digitalization and its effects on the operations of companies and the new ways of operating made possible by it. In addition to this, the theoretical part discuss data security, data protection and risk management, especially from the perspective of data risks.

The practical part was executed on the basis of the theoretical part as well as literature and electronic articles. As a result of the thesis, it became clear that information security is more dependent on administrative measures than on technical ones. The most important thing is the competence of the personnel and the development of information security practices. If necessary, by ordering the systems from a supplier, small and medium-sized enterprises do not need so much expertise of their ownand can also protect themselves against data risks.