Henkilöstön tietoturvakoulutuksen toteuttaminen valtionhallinnossa

Abstract

Tässä opinnäytetyössä tutkittiin henkilöstön tietoturvakoulutuksen suunnittelua ja toteutusta valtionhallinnossa sekä verkkokoulutusta koulutusmuotona. Tavoitteena oli tunnistaa tietoturvakoulutuksen suunnitteluun ja toteutukseen liittyviä vaiheita, niihin vaikuttavia tekijöitä sekä arvioida verkkokoulutuksen soveltuvuutta tietoturvakoulutukseen.

Opinnäytetyö on muodoltaan tapaustutkimus, jonka tulokset on kerätty kvalitatiivisilla tutkimusmenetelmillä kirjallisuuskatsaus ja haastattelu. Kirjallisuuskatsauksen avulla laadittiin teoreettinen kehys tietoturvakoulutuksesta sekä verkosta opetuksen välineenä. Tämän jälkeen haastateltiin kolmea valtionhallinnon organisaatiota tietoturvakoulutuksen järjestämisestä. Haastattelut olivat muodoltaan teemahaastatteluja, joiden kysymykset laadittiin teoreettisen kehyksen pohjalta.

Tutkimuksen lopputuloksena syntyi tietoturvakoulutuksen suunnittelua ja toteutusta kuvaava prosessimalli. Prosessimallissa kuvataan tietoturvakoulutuksen vaiheet ja vaiheisiin vaikuttavat tekijät. Keskeisimmät tietoturvakoulutuksen suunnitteluun ja toteutukseen vaikuttavat tekijät ovat koulutuksen tavoite ja kohderyhmä, käytössä olevat resurssit, viestintä, motivointi sekä johdon tuki.

Teoreettisen kehyksen sekä haastattelujen perusteella verkkokoulutuksen voidaan katsoa soveltuvan tietoturvakoulutuksen toteuttamiseen. Tulosten perusteella voidaan todeta, että kohderyhmän ollessa laaja tulisi verkkokoulutusta käyttää enemmänkin työntekijän valittavissa olevana vaihtoehtona muille koulutusmuodoille. Verkkokoulutus soveltuu parhaiten pienille kohderyhmille ja uusien työntekijöiden perehdyttämiskoulutukseen.

This thesis investigates the design and implementation of information security training in state administration and online training as a form of education. The objectives were to identify stages relating to the design and implementation of information security training and factors affecting the stages. In addition, the objective was to evaluate the suitability of online environment for information security training.

The thesis is a case study, the results of which have been collected by using qualitative research methods: literature review and theme interviews. The theoretical basis of the research was established by a literature review of information security training and network as a teaching environment. The theme interviews were used to collect experiences of three state administration organizations about their information security training. The questions of the theme interviews were based on the theoretical basis.

A process model to describe the stages of information security training was created as the result of the research. The process model illustrates the stages and affecting factors of the design and implementation of information security training. The essential factors discovered were the objective of training, target audience, resources available, communication, motivation and executive support.

Based on the theoretical basis and interview, online training can be considered suitable for information security training. However, for a large target audience, online training should be used more as an alternative training method chosen by employees. Online training is best suitable for small target audience and for new employees’ orientation.