Tietoturvallisuuden hallintajärjestelmä : sisältö ja kehittäminen valtionhallinnon organisaatiossa

Abstract

Työn tavoitteena oli tutkia tietoturvan ja tietoturvallisuuden hallinnan teoriaa, yleisiä käytäntöjä, lainsäädäntöä, standardeja sekä erityisesti valtionhallinnon organisaatiolle kohdennettuja tietoturvavelvoitteita, -suosituksia ja -ohjeita.

Työn tavoitteena oli lisäksi selvittää miten valtionhallinto ohjaa alaisiaan organisaatioita tietoturvan hallintajärjestelmän sekä siihen liittyvän hallintaprosessin rakentamisessa, ylläpidossa ja kehittämisessä. Tavoitteena oli myös kuvata Suomen metsäkeskuksen tietoturvallisuuden hallinnan nykytila ja arvioida hallintajärjestelmään liittyviä kehittämistarpeita.

Työn teoreettinen tausta muodostuu lähtötilanteen viitekehyksen määrittelystä, johon sisältyvät keskeisinä osioina tietoturvallisuuden yleiset periaatteet, normiohjaus, standardit ja toimintamallit sekä tietoturvallisuuden johtaminen osana organisaatioturvallisuutta. Työssä käytetään viitekehyksenä pääasiassa valtiovarainministeriön antamia Vahti-tietoturvaohjeita sekä muita ministeriön linjauksia. Vahti-ohjeiden lisäksi työssä hyödynnetään muuta tietoturvadokumentaatiota ja -aineistoa, joka soveltuu käytettäväksi valtionhallinnon organisaation tietoturvatyössä ja joka tuo edelleen työvälineitä Suomen metsäkeskuksen tietoturvallisuuden kehittämistyöhön.

Valtionhallinnon organisaation tietoturvallisuuden hallintaa ohjaavat useat lait, asetukset, määräykset ja ohjeet, jotka sisältävät organisaatiota koskevia tietoturvavelvoitteita. Työssä selvitetään tämän kokonaisuuden hallinnan periaatteita ja miten ne viedään edelleen organisaatiota hyödyttäväksi tavoitteelliseksi tietoturvatoiminnaksi, mikä on tietoturvallisuuden hallintajärjestelmän sekä siihen liittyvän hallintaprosessin kehittämisen keskeinen päämäärä.

Työssä selvitetään tietoturvallisuuden hallintajärjestelmän sisältö, käydään läpi tarvittavat toimenpiteet tietoturvallisuuden hallintajärjestelmän luomiseksi sekä tuodaan esille hallintajärjestelmän kehittämisprosessin menetelmät tietoturvallisuuden jatkuvan toiminnan varmistamiseksi.

Työssä kuvataan Suomen metsäkeskuksen tietoturvallisuuden hallinnan nykytila ja arvioidaan tietoturvallisuuden hallintaan liittyviä kehittämistarpeita. Kehittämistarpeiden arvioinnissa otetaan huomioon Suomen metsäkeskuksen toiminnalliset tavoitteet, lainsäädäntö ja valtionhallinnon ohjaus sekä MMM:n hallinnonalalleen asettamat tavoitteet tietoturvallisuuden hallinnassa ja kehittämisessä.

The objective of this work was to study the theory and control of information security and information security management, general practices, legislation, standards and especially information security obligations, recommendations and instructions that have been focused on the organization of central government.

The aim was also to find out how the government controls the subordinate organizations information security management system, as well as related management process building, construction, maintenance and development. The objective was furthermore to describe the present state of control of information security in Finnish Forest Centre and to estimate development needs which are related to the management system.

The theoretical background and start situation in this work consists of the definition of the frame of reference, which includes general principles of information security, norm control, standards and operation models and management of information security as a part of organization safety. Mainly the Vahti-government information security directives given by the Ministry of Finance and other definitions of policy are used as a frame of reference in the work. The work also utilize another collection of information security documentation and data which is suitable to be used in information security work of the organization of central government and which brings additional tools needed to be used in development of information security in Finnish Forest Centre.

Government organization's information security management is guided by a number of laws, regulations, orders and instructions, which include security obligations concerning the organization. This work clarifies the wholeness of management principles and how they are re-exported to benefit the organization as an objective information security activity, which is key targets for the development of information security management system, as well as the associated management process.

In the work the contents of information security management system were clarified, the necessary measures for the creation of information security management system were gone through and the methods of the developing process of management system for securing the constant operation of information security were brought out.

In the work the present state of the control of information security in Finnish Forest Centre is described and development needs which are related to the control of information security are estimated. In the evaluation of development needs of the functional objectives of Finnish Forest Centre, legislation and the control of the government and the objectives appointed by the Ministry of Agriculture and Forestry to its branch of administration were taken into consideration in the control and developing of information security.