CASE:Yritys-X Tietoturvakartoitus

Abstract

Tämä opinnäytetyö käsittelee tietoturvakartoituksen tuottamista. Tarkoituksena oli selvittää kohdeyrityksen tietoturvan nykytaso, sekä antaa kohdeyritykselle tietoa, miten se voisi parantaa tietoturvaansa ja millaisilla työkaluilla tietoturvan tasoa voidaan mitata. Teoriaosuudessa käsitellään tietoturvaa yleisesti, sekä tarkastellaan, mitä hallinnollisen tietoturvan tulisi sisältää. Teoriaosassa käydään läpi myös suojattavat kohteet, sekä tiedon luokittelu. Teoriassa esiintyvät taulukot perustuvat laadukkai-siin ja tunnettuihin tietoturvan ISO-standardeihin. Empiirisessä osuudessa pureudutaan kohdeyrityksen tietoturvan nykytilaan ja tarkastellaan sitä teorian pohjalta. Empiriassa kartoitetaan mm. yrityksen suojattavat kohteet, henkilöstön tietoturvan tietämyksen tasoa, sekä määritellään kohdeyrityksen merkittävimpiä uhkia ja arvioidaan niiden aiheuttamaa haittaa, sekä toteutumisen todennäköisyyttä. Loppu päätelmissä todetaan, että yrityksen tietoturva on hyvällä tasolla. Yritys voisi kuitenkin haluttessaan parantaa tietoturvaansa entisestään pienilläkin muutoksilla. Loppu päätelmissä todettiin myös, että henkilöstöllä oli hyvä tietoturvan perustietämys. Päätelmissä tuotiin esille myös yritykselle annetut työkalut, joilla se voi helposti tarkastella tietoturvansa tilaa. Seuraava askel yrityksellä olisi tuottaa tietoturvasuunnitelma. Viimeisessä luvussa, tietoturvan tulevaisuus pohditaan, miltä tietoturvan tulevaisuus yleisesti yrityksissä näyttää.

This thesis deals with information security inspection to company X (name hid- den). The purpose of the study was define current level of information security in company X. Secondary purpose was give information, how company could make their information security better and tools for measuring it levels. The theoretical part determines what is information security. Also look a bit closer administrative security and what it should contain. Theory part also delves what should be protected and how to categorize information. The empiricism part sinks into the company X current condition of information security. It determines targets that contains important information and requires protection. Also determine the highest threats and evaluate the cons caused by them and also the probability that it come true. In summary we can say that company X has decent information security level. Company X could easily increase its information security level with small effort. We can also summarize that employees have good basic level concerning information security. Next step for company is to create information seciurity plan. Last we look what will be future of information security and how it going to look and effect in companies.