Järjestelmän tietoturvan ja tietosuojan seurannan kehittäminen

Abstract

Järjestelmien tietoturva ja tietosuoja on yrityksen tärkeimpiä vastuita toimialasta riippumatta. Järjestelmien tietoturvaan ja tietosuojaan on kiinnitettävä huomiota jo siinä vaiheessa, kun järjestelmän hankintaa suunnitellaan. Opinnäytetyön asiakasorganisaatiossa oltiin hankkimassa uusi lainajärjestelmä, jonka osalta haluttiin erityisesti huomioida tietoturva ja tietosuoja sekä hankintavaiheessa että jatkuvissa palveluissa. Opinnäytetyön tavoitteena oli käydä läpi asiakasorganisaation uuteen lainajärjestelmään kohdistuvia vaatimuksia tietoturvan, tietosuojan ja prosessien osalta. Vaatimusten jälkeen tavoitteena oli selvittää, miten laajasti eri tietoturva- ja tietosuojanäkökulmat on määrittelyissä huomioitu. Tavoitteena oli myös pohtia, miten asiakasorganisaation prosessinomistajien työtavat järjestelmään liittyen saataisiin turvallisemmiksi. Opinnäytetyössä käytiin läpi määrittelyjen pohjalta myös toimintatapa järjestelmän tietoturvan ja tietosuojan seurannan osalta jatkuvissa palveluissa. Opinnäytetyö tehtiin asiakasorganisaation hankintaprojektin rinnalla. Siinä ei kuvattu vanhaa järjestelmäkokonaisuutta vaan keskityttiin uuteen järjestelmäkokonaisuuteen. Opinnäytetyöhön ei myöskään kuulunut järjestelmäprosessin tekninen kuvaus eikä asiakasorganisaation hankintaprosessin läpikäynti. Tutkimus aloitettiin maaliskuussa 2021 ja päätettiin elokuussa 2021. Opinnäytetyön menetelmäksi valittiin tapaustutkimus, koska työssä haluttiin tuoda kehitysehdotuksia ja ideoita järjestelmän jatkuvien palvelujen seurannalle tietoturvan ja tietosuojan osalta. Tutkimuksessa haluttiin selvittää, mitä vaatimuksia uuden järjestelmän tietoturvalle ja tietosuojalle pitää asettaa, jotta se olisi mahdollisimman tietoturvallinen. Lisäksi haluttiin selvittää, mitä asioita pitää huomioida järjestelmän varautumissuunnitelmassa ja mitä asioita pitää huomioida tietoturvan ja tietosuojan kehittämisessä jatkuvissa palveluissa. Tutkimuksen lopputuloksena syntyi kehys järjestelmän varautumissuunnitelmalle ja jatkuvien palvelujen järjestelmäkohtaiselle toimintamallille tietoturvan ja tietosuojan raportointiin ja seurantaan.