Tietoturvallisuuden hallinnan suunnittelu ja toteutus : Projektimalli ja -opas valtionhallintoon

Abstract

Tämän kehittämistehtävän tavoitteena oli laatia menetelmä (vaiheistus, tehtävät ja lopputulokset), jonka avulla organisaatio voi kehittää tietoturvallisuutta sellaisina kokonaisuuksina, joissa sitä on aikaisempaa helpompi hallinta projektin avulla. Menetelmän tueksi laadittiin projektiopas, jossa kerrotaan vaiheittain, miten tietoturvallisuuden kehittämishanketta voidaan viedä eteenpäin.

Projektimalli- ja opas laadittiin työelämälähtöisesti, perustuen käytännön kokemukseen ja yhteistyöhön tietoturvallisuuden asiantuntijoiden kanssa. Kehittämistyössä käytettiin suunnittelutieteeseen kuuluva konstruktiivista tutkimusmenetelmää. Toteuttamisvaihe perustui rinnakkaiseen spesifiointi- ja implementointiprosessiin.

Projektimalli ja – oppaan rakenne tukevat tietoturvallisuuden kokonaisuuden hallintaa keräten tietoturvallisuuden politiikat, linjaukset, ohjeistukset sekä käytänteet yhteen. Rakenne mahdollistaa kokonaisuuden laajentamisen ja syventämisen. Kokonaisuuteen voidaan liittää olemassa olevia politiikkoja, linjauksia, ohjeistoa, dokumenttipohjia, työkaluja ja muuta tietoturvallisuuden hallintaa tukevaa materiaalia. Näin asiantuntija löytää kuhunkin tehtävään tukea aikaisempaa helpommin.

Sekä menetelmä, että projektiopas otettiin vaiheittain käyttöön, ensin kuuden valtionhallinnon organisaation yhteishankkeessa. Tämän jälkeen menetelmää sovellettiin valtiovarainministeriössä ja lopuksi se otettiin oppaineen käyttöön laajemmin Valtiovarainministeriön tietoturvallisuusasetuksen toimeenpanohankkeessa (Asettamispäätös VM 047:15/2007). Sekä projektimalli, että projektiopas ovat vapaasti organisaatioiden käytössä ja projektiopas on veloituksetta ladattavissa mm. www.tietoturvatalkoot.fi –sivustolla.

The task of this thesis was to create a project model and guide to help with planning and im-plementing an information security management system. In the project guide it is practically advised how to execute different tasks. The guide was based on a practical experience and co-operation with several information security experts.

In the development work for project model and guide constructive method was used during the development. The project model and guide was based on concurrent processes of specification and implementation.

The project model and the structure of the project guide collect various guides and tools together into pre organized collection. Existing policies, regulations, document models, tools and other materials which support information security management can also be connected to the entity. This way, it is easier to find support for different tasks.

The results of the dissertation were estimated and were utilized at the first stage in the joint venture of six organizations coordinated by the Government IT Shared Service Centre at the State Treasury Finland. After this the project model and guide were used organization-specifically, among others, in the development of the internal information security of ministry of finance.