Tietoturva- ja uhkakartoitus

Abstract

Opinnäytetyössä luotiin tietoturvapolitiikka sekä tietoturva- ja uhkakartoitus sekä riskianalyysi toimeksiantajan tietojärjestelmille. Lisäksi opinnäytetyössä tehtiin Web-sivustona toteutettu yhtenäinen tallennuspaikka IT-dokumentaatiolle. Työssä kerrotaan yrityksen tietojärjestelmistä ja palveluista sekä niiden nykytilasta, niiltä osin, joita tietoturva- ja uhkakartoitus koskettaa tässä vaiheessa. Tietoturva- ja uhkakartoitus tehtiin ohjelmisto-, laitteisto- ja tietoliikenneturvallisuuden osa-alueilta. Tietoturva- ja uhkakartoituksen tekemiseen käytettiin apuna Vahti-dokumentteja sekä SFS-ISO/IEC 17799 ja SFS-ISO/IEC 27005 standardeja. Standardeista ja ohjeistuksista poimittiin parhaiten yrityksen tarpeisiin sopivat ohjeistukset. Tietoturva- ja uhkakartoitus soveltuu toimeksiantajalle pohjaksi laajemman tietoturva- ja uhkakartoituksen sekä tietoturvasuunnitelman tekemiseen, joka käsittää kaikki kahdeksan tietoturvan osa-aluetta. Web-sivustona toteutettu dokumentaatiojärjestelmä koodattiin html-kielellä ja sijoitettiin toimeksiantajan palvelimelle. Toimeksiantaja voi hyödyntää järjestelmää yhtenäisenä IT-dokumentaation tallennuspaikkana ja kerätä järjestelmään haluamansa dokumentaation.

The purpose of this thesis was to create an information security and threat survey and information security policy for the client. During the creation of an information security and threat survey the potential risks for the client’s information systems were identified and analyzed. In addition, a database for documents on information technology was created. The thesis describes the current state of company’s data systems and services. The systems are described from the point of view of software security, hardware security and data network security. The guidelines and help for creation of information security and threat survey were collected from VAHTI documents and from the SFS standards ISO/IEC 17799 and ISO/IEC 27005. The suitable guidelines for the client were picked from the standards and document. This information security and threat survey is suitable as the company’s first plan and can be used as a base for the following more extensive plan which contains all eight sectors of information security. The documentation system was placed in the client’s server. The user interface for the system was coded with HTML-language. The client can utilize the system and collect and save the documents they want in to the system.