Tietoturvan näkökulma vaatimusmäärittelyssä ja järjestelmäsuunnittelussa

Abstract

Tietoturvan merkitystä ohjelmisto- ja järjestelmäsuunnittelulle erityisesti sekä tietoyhteiskunnalle yleisesti ei voi korostaa liiaksi. Yksityisen ja luottamuksellisen tiedon suojaaminen on paitsi toiminnan edellytys yrityksille ja muille organisaatioille, myös kansallisten lakien ja kansainvälisten sopimusten velvoittama käytännön vaatimus.

Tämän opinnäytetyön keskeisenä tutkimuskysymyksenä oli, miten tietoturvan näkökulma tulisi huomioida jo hankkeen vaatimusmäärittely- ja suunnitteluvaiheissa, jotta vältyttäisiin ongelmilta järjestelmän elinkaaren myöhemmissä vaiheissa. Ensisijaisena tutkimusmenetelmänä oli aineistotutkimus, jossa pääasiallisesti tarkastelin Valtionhallinnon tietoturvallisuuden johtoryhmän julkaiseman Sovelluskehityksen tietoturvaohjeen lukua Sovelluskehityksen vaiheet ja tietoturvatasojen vaatimukset. Täydentävinä aineistoina tarkastelin soveltuvin osin mm. Microsoftin Tietoturvakehityksen elinkaaren mallia, OWASP-tietoturvahankkeita sekä muita asiayhteyteen sopivia menetelmiä.

Loppupäätelmä on, että jokaisessa organisaatiossa ja kehityshankkeessa on ymmärrettävä, että tietoturvassa on kyse ohjelmisto- ja järjestelmäsuunnittelun kannalta keskeisestä, elintärkeästä osa-alueesta eikä suinkaan valinnaisesta lisäominaisuudesta. Puutteet järjestelmien tietoturvassa asettavat paitsi yksittäisten ihmisten yksityisyydensuojan uhanalaiseksi, niin ne voivat johtaa myös huomattaviin liiketoiminnallisiin tappioihin sekä vaarantaa jopa kansallisen turvallisuuden.

The significance of information security for software and systems design, as well as for the information society in general, cannot be overstated. The protection of private and confidential information is not only vital for corporations and other organisations, but it is also a mandatory requirement based on national laws and international treaties.

The research question of this thesis is how the information security perspective should be acknowledged during requirements specification and design phases, in order to avoid problems in the later stages of a system’s life cycle. This thesis strives to provide an answer by means of material research. The primary source is the information security guideline, published by the Finland’s Ministry of Finance. Additional sources include Microsoft’s Secure Development Lifecycle, OWASP Application Security Verification Standard, OWASP Web Security Testing Guide and other contextually relevant literature.

The conclusion of the thesis is that all organisations and development projects must understand that information security is a vital, integral part of software and systems design. It is not an optional, additional feature. Failures in information security compromise not only individual privacy, but may also result in significant financial liabilities, and even jeopardize national security.