Tietoturvakartoitus yritys X:lle

Abstract

Tässä työssä keskityttiin tietoturvallisuuden aihepiiriin. Tutkimuksen teoreettisena ta-voitteena oli selvittää, mitä on tietoturva, mitä ovat tietoturvatasot ja millaiset ovat pe-rustason tietoturvavaatimukset sekä miten tietoturvakartoitus tehdään konsultin näkö-kulmasta katsoen. Käytännön tavoitteena oli kartoittaa kohdeyrityksen tietoturvallisuu-den nykytila ja kartoituksen perusteella parantaa yrityksen tietoturvallisuutta. Tutkimus tehtiin toimeksiantona liiketoiminnan kehityspalveluita tarjoavalle yritykselle. Tutkimuksen teoriaosassa tutkittiin tietoturvallisuuden käsitteistöä. Tietoturvallisuus prosessiin luotiin katsaus jossa esiteltiin tietoturvakartoitus sekä tietoturvatasot. Tieto-turvallisuuden perustason vaatimukset selvitettiin ja katselmoitiin yrityksen tietoturvalli-suuden kannalta tärkeimpiä dokumentteja. Tietoturvakartoitusta avattiin konsultin nä-kökulmasta katsoen. Empiirinen tutkimus jaettiin kahteen osaan. Ensimmäisessä osassa selvitettiin kohdeyri-tyksen tietoturvan nykytila kyselytutkimuksella. Toisessa osassa arvioitiin yrityksen lii-ketoimintaprosesseja. Valitulle ydinprosessille tehtiin suppea riskikartoitus. Kartoituk-sen pohjalta annettiin suosituksia ja korjausehdotuksia tietoturvallisuuden parantami-seksi yrityksessä. Asiasanat

The theoretical objective of this thesis was to clarify the concept of information securi-ty. The study focused on looking into what information security levels are and what the information security demands of the basic level are like and how the information secu-rity assessment is made from a consultant's point of view. The practical objective was to assess the present state of the information security of the target company and to improve the information security of the company on the basis of the assessment. The study was assigned by a company that offers development of business services for oth-er companies. In the theoretical part of the study, the concepts of the information security were stud-ied. A view to the information security process, including information security assess-ment, was created. In addition, the information security levels were defined. Furthermore, the demands for the basic level of the information security were clarified and the most important documents from the point of view of the information security of the company were inspected. The information security assessment was investigated from the consultant's point of view. The empiric part of the study was divided into two parts. In the first part, the target company’s present state of the information security was clarified with a questionnaire survey. In the second part, the business processes of the company were evaluated. Ad-ditionally, a small risk survey was carried out to a chosen core process. Based on the completed information security assessment, recommendations and cor-rection proposals were given to improve the information security in the target compa-ny.