Syvyyssuuntainen puolustus – Suurin uhka tulee sisältä

Abstract

Syvyyssuuntainen puolustus (Security in Depth) on suojausmenetelmä, jolla yritys voi vähentää yrityksen toimintaan kohdistuvia turvallisuusriskejä. Tämän tutkielman tarkoituksena on selvittää yrityksen syvyyssuuntaista puolustusta suunniteltaessa huomioon otettavia asiakokonaisuuksia. Tutkielmassa tarkastellaan keskeiset turvajärjestelyjen osa-alueet, joilla on merkitys yrityksen syvyyssuuntaisen puolustuksen kokonaisuuteen, ja annetaan aihealueittain suosituksia keskeisten asioiden huomioimiseksi suunniteltaessa ja kehitettäessä yrityksen turvajärjestelmää. Tutkielma käsittelee turvajärjestelyjen (Security) näkökulmasta syvyyssuuntaista puolustusta. Tutkielmassa haetaan kirjallisuusselvityksen menettelyin vastauksia, miten turvajärjestelyjen hallinto, yrityksen fyysinen ympäristö, tekniset valvontajärjestelmät ja turvaorganisaatio vaikuttavat syvyyssuuntaisen puolustuksen muodostumiseen. Tut-kielmakysymyksiin haetaan vastauksia International Atomic Energy Agencyn (IAEA) laatimista ohjeista, Säteilyturvakeskuksen (STUK) määräyksistä ja ohjeista sekä aihealueeseen liittyvistä tutkimusmateriaaleista ja julkaisuista. Aihealuetta tarkasteltaessa käsiteltyä aineistoa on sovellettu yleistäen sitä, jotta se soveltuisi käytettäväksi laajemmin yritysmaailman käyttöön. Tarkastelun kohteena oleva lähdedokumentaatio on pääosin tarkoitettu ydinlaitosten turvallisuuden varmistamiseen, mutta sen perusteella esitetyt menettelyt voidaan soveltaa kaikille toimialoille ja kaikkiin yrityksiin. Tutkielman tuloksena havaittiin, että tehokkaan syvyyssuuntaisen puolustuksen raken-taminen edellyttää koko organisaation osallistumista turvajärjestelyjen toteuttamiseen ja turvallisuusajattelun muodostumiseen yrityksessä. Turvajärjestelyt muodostuvat hyvin järjestetystä hallinnollisesta, fyysisestä, teknisestä ja operatiivisesta toiminnallisesta kokonaisuudesta. Erityisesti sisäiset Insider-uhat muodostavat vaikeusasteen turvajärjestelyjen toteuttamiselle siitä syystä, että Insider voi toimia yrityksessä missä tahansa tehtävässä ja voi aiheuttaa uhan millä tahansa syvyyssuuntaisen puolustuksen vyöhykkeillä.

Security in Depth is a security method by which a company can reduce the security risks to its operations. The purpose of this study is to find out the issues to be considered when planning a company's Security in Depth practices. The study examines the key aspects of security arrangements that are relevant to the company's Security in Depth defence as a whole and makes thematic recommendations for taking key issues into account when designing and developing a company's security system. The study deals with Security in Depth from the point of view of security arrangements. The study seeks answers through the literature review procedures on how the management of security arrangements, the physical environment of the company, technical security control systems and the security organization affect the formation of Security in Depth defence. Answers to the study questions are sought from the guidelines prepared by the International Atomic Energy Agency (IAEA), the regulations and guidelines of the Finnish Radiation and Nuclear Safety Authority (STUK), and research materials and publications related to the topic. When considering the topic, the material discussed has been applied in a general way in order to make it more suitable for use in the business world. The source documentation under review is mainly intended to ensure the safety of nuclear installations and sites, but the practices presented can be applied to all industries and all companies. As a result of the study, to building an effective Security in Depth defence requires the participation of the entire organization in the implementation of security arrangements and the formation of security culture in the company. Security arrangements consist of a well-organized administrative, physical, technical and operational functional entity. Insider’s threats pose a difficulty in implementing security arrangements, because Insider can operate in any position in the company and can pose a threat in deep in defence zones.