Tietoturvakartoitus yritys X:lle

Abstract

Tässä työssä keskityttiin tietoturvallisuuden aihepiiriin. Tutkimuksen teoreettisena tavoitteena oli selvittää, mitä on tietoturva, mitä ovat tietoturvatasot ja millaiset ovat perustason tietoturvavaatimukset sekä miten tietoturvakartoitus tehdään konsultin näkökulmasta katsoen. Käytännön tavoitteena oli kartoittaa kohdeyrityksen tietoturvallisuuden nykytila ja kartoituksen perusteella parantaa yrityksen tietoturvallisuutta.

Tutkimus tehtiin toimeksiantona liiketoiminnan kehityspalveluita tarjoavalle yritykselle.

Tutkimuksen teoriaosassa tutkittiin tietoturvallisuuden käsitteistöä. Tietoturvallisuus prosessiin luotiin katsaus jossa esiteltiin tietoturvakartoitus sekä tietoturvatasot. Tietoturvallisuuden perustason vaatimukset selvitettiin ja katselmoitiin yrityksen tietoturvallisuuden kannalta tärkeimpiä dokumentteja. Tietoturvakartoitusta avattiin konsultin näkökulmasta katsoen.

Empiirinen tutkimus jaettiin kahteen osaan. Ensimmäisessä osassa selvitettiin kohdeyrityksen tietoturvan nykytila kyselytutkimuksella. Toisessa osassa arvioitiin yrityksen liiketoimintaprosesseja. Valitulle ydinprosessille tehtiin suppea riskikartoitus. Kartoituksen pohjalta annettiin suosituksia ja korjausehdotuksia tietoturvallisuuden parantamiseksi yrityksessä.

The theoretical objective of this thesis was to clarify the concept of information security. The study focused on looking into what information security levels are and what the information security demands of the basic level are like and how the information security assessment is made from a consultant's point of view. The practical objective was to assess the present state of the information security of the target company and to improve the information security of the company on the basis of the assessment. The study was assigned by a company that offers development of business services for other companies.

In the theoretical part of the study, the concepts of the information security were studied. A view to the information security process, including information security assessment, was created. In addition, the information security levels were defined.

Furthermore, the demands for the basic level of the information security were clarified and the most important documents from the point of view of the information security of the company were inspected. The information security assessment was investigated from the consultant's point of view.

The empiric part of the study was divided into two parts. In the first part, the target company’s present state of the information security was clarified with a questionnaire survey. In the second part, the business processes of the company were evaluated. Additionally, a small risk survey was carried out to a chosen core process.

Based on the completed information security assessment, recommendations and correction proposals were given to improve the information security in the target company.