When should an organisation start vulnerability management?

Abstract

Haavoittuvuuksien hallinnan aloittaminen voi olla suuri haaste monille organisaatioille, mutta näillä organisaatioilla on vaatimuksia tehdä haavoittuvuuksien hallintaa esimerkiksi standardien, regulaatioiden tai bisnessuhteiden kautta. Tutkimuksen tavoitteena oli tuottaa helposti ymmärrettävä dokumentaatio kyberturvallisuudesta, joka avustaa organisaatioita haavoittuvuuksien hallinnan aloittamisessa. Kyberturvallisuuden tueksi haavoittuvuuksien hallinnan aloittamiselle tarvittiin vertailua eri kyberturvallisuusviitekehyksistä, kyberturvallisuuden kypsyysmalleista ja haavoittuvuuksien hallinnan käyttöönottoprosesseista. Tutkimus aloitettiin etsimällä sopivia tutkimuskohteita kyberturvallisuusviitekehyksistä, kyberturvallisuuden kypsyysmalleista ja haavoittuvuuksien hallinnan käyttöönottoprosesseista. Löydettyihin tutkimuskohteisiin perehdyttiin ja niiden ominaisuuksia vertailtiin analyyttisesti. Tutkimuskohteiden vertailussa tutkimuskohteista löydettiin niiden vahvuuksia ja heikkouksia sekä ominaispiirteitä. Tutkimuksen johtopäätöksenä voitiin todeta, että lopullista kaikille organisaatioille sopivaa kyberturvallisuuden viitekehystä, kyberturvallisuuden kypsyysmallia tai haavoittuvuuksien hallinnan käyttöönottoprosessia ei löytynyt. Voidaan kuitenkin todeta, että tutkimus tuotti riittävän dokumentaation organisaatioiden kyberturvallisuuden rakentamiselle ja haavoittuvuuksien hallinnan aloittamiselle.

Organisations may find vulnerability management very difficult to start conducting, but they are obligated to perform vulnerability management due to various requirements which may come from standards, regulations or business relationships. The objective of the research was to compile an easy to understand document about cyber security program for an organisation which allows them to begin vulnerability management. To support this cyber security program a strong base for vulnerability management cyber security frameworks and cyber security maturity models needed to be compared and presented. The research started by searching good research subjects for cyber security frameworks, cyber security maturity models and vulnerability management implantation processes. Once these research subjects were studied and similar features were compared analytically. The comparison results and analysis found some strengths and weaknesses of the research subjects. As the conclusion for the research there was no definite answer for all organisations, about cyber security frameworks, cyber security maturity models or vulnerability management models. The research should provide decent support for organisations to build strong basis for their cyber security program and beginning the vulnerability management.