Tietoturvallisuuden kehittäminen yrityksessä

Abstract

Tietoturvallisuus on nykyaikana elintärkeä osa turvallista ja tehokasta yritystoimintaa. Verkkorikollisuus ja tietomurrot ovat arkipäivää, joten yritykset ovat valmiita tekemään kaikkensa suojatakseen liiketoiminnan kannalta arvokkaita tietoja ja resursseja.

Tietoturvallisuuden toteutuminen on aina kiinni ihmisistä. Parhaatkaan tekniset ratkaisut eivät hyödytä jos tietoturvallisuuden pelisääntöjä ei tiedetä. Yrityksellä on siis oltava selkeä tietoturvapolitiikka ja tietoturvaohjeet, jotka toimivat tietoturvallisen toiminnan perustana.

Asiakasyrityksenä toimivasta SGN Group Oy:stä annettiin tehtäväkseni uuden tietoturvapolitiikan sekä ohjeistuksen laatiminen. Tällä tavoin toimeksiantajan henkilökunnan tietoturvatietoisuutta ja –osaamista voidaan kehittää. Tietoturvapolitiikka sekä ohjeistus on suunniteltu mahdollisimman yleisluontoisiksi, jolloin niiden muokattavuus säilyy ja ne toimivat pohjana tarkemmille ohjeille.

Opinnäytetyössä käsitellään tietoturvallisuutta yritystoiminnan näkökulmasta tarkasteltuna. Teoriaosuudessa esitellään tietoturvallisuuden yleismääritelmää, tärkeimpiä standardeja, tietoturvapolitiikkoja, tietoturvallisuuden johtamis- ja hallintajärjestelmää sekä tietoturvaohjeita.

Tulokset on koottu opinäytetyön loppuun kolmeksi eri liitteeksi.

Information security is today a vital part of safe and efficient business. Cybercrime and hacking are an everyday problem, so companies are willing to do everything to protect valuable business information and resources.

Implementation of information security always depends on how people act. Even the best technical solutions are not beneficial if the knowledge of the safety rules is unclear. The company must therefore have a clear security policy and security guidelines, which operate as a basis for secure actions.

This thesis was commissioned by SGN Group Ltd., assigning a new information security policy as well as guidelines to be prepared. In this way, security skills and awareness of the personnel of the target company can be developed. Security policy and guidelines are designed to be generic in order to maintain their malleability and at the same time they serve as a basis for more precise instructions.

This thesis addresses information security from a business perspective. The theoretical section presents a general definition of information security, the most important standards, security policies, information security management, control system and security guidelines.

The results are compiled into three different annexes at the end of this thesis.