Tietoturvatyö PK-yrityksessä

Abstract

Tässä opinnäytetyössä perehdyttiin aluksi yleisesti tietoturvakartoitukseen, sekä sen hyötyihin että haasteisiin. Tutkimme, miten tietoturvakartoitus yleensä tehdään yritykselle. Tästä siirryttiin kartoittamaan kohdeyrityksen tietoturvan tilaa, niin sen hallinnollista kuin teknologistakin puolta, jotta pystyttiin määrittelemään miten sitä voitaisiin parantamaan juuri kohdeyritykselle sopivalla tavalla. Kartoituksen jälkeen alettiin etsimään sopivia keinoja, joilla havaittuja heikkoja kohtia voitaisiin päivittää ja parantaa. Uudistuksissa tulee perehtyä huolellisesti erilaisiin tietoturvaratkaisuihin, jotta muutokset toteutuvat kustannustehokkaasti ja toimintavarmasti.

Jo työn alussa meille tehtiin selväksi tyytymättömyys nykyisen sopimuksen tilaan ja tämä johti palveluntarjoajan vaihtamiseen. Toisen valtakunnallisen palveluntarjoajan lisäksi etsimme tarjouksen myös yksityiseltä yritykseltä, jotta tarjouksia voitaisiin vertailla ja siten valita kohdeyritykselle niistä sopivin. Yksityiseltä tullut tarjous oli samankaltainen aiemman sopimuksen kanssa, joten valtakunnalliselta saatu tarjous oli enemmän toimeksiantajamme mieleen.

Tietoturvakartoitus poikkeaa normaalin kartoituksen käytännöistä sillä tavoin, ettemme opinnäytetyön resurssien puitteissa kyenneet totetuttamaan esille tulleita parannuksia, vaan annoimme vain ehdotuksen siitä mitä kohennettavaa kohdeyrityksen tietoturvassa on.

The goal of the thesis was to provide an information security survey to a midsized company which wasn’t sure how their business was being handled in the matter. First thing done was to get familiar with the basics of the security survey by studying it vastly. Next we carried out a small investigation to the company’s local office to see the main things to improve are, whether it’s the management style or some sort of technological issue that could bring the whole company at risk. In this manner we discovered our objectives and how to start the work.

The report of the thesis starts with a short introduction to the main issue and continues with general knowledge about information security, the security survey and their content. After the introduction responsibilities and objectives that make up information security are sift through. This covers things such as information security plan, risk plan, and instructions for data security. The rest discusses the main subject; information security upgrading plan, it’s usefulness for the target company, how things are currently handled and what could be done better. Last two chapters consist of deliberations and summary.