Yrityksen tietoturvakartoitus

Abstract

Insinöörityössä tutkitaan tietoturvakartoituksen laatimista ja sen toteutusta varten huomioitavia asioita. Kartoituksen tarkoituksena on selvittää yrityksen tämänhetkinen tietoturvan taso. Kartoituksen perusteella saadaan tietoa kehittämistä vaativista osa-alueista ja voidaan laatia korjausehdotukset.

Työn teoriaosuudessa on käyty läpi tietoturvan peruskäsitteet ja osa-alueet sekä tietoturvaan liittyvät ISO/IEC 27001 -standardi ja Puolustusvoimien luoma Kansallinen turvallisuusauditointikriteeristö KATAKRI. Teoriaa on syvennetty liittämällä tietoturva yrityksen liiketoimintaan ja käymällä läpi tietoturvaan liittyvää Suomen lainsäädäntöä.

Tietoturvakartoitus on aloitettu kartoittamalla suojattavat kohteet. Saatujen tulosten pohjalta on tehty syventävä kartoitus. Näiden lisäksi on toteutettu laajempi kartoitus, joka yhdistää ISO/IEC 27001 -standardin ja KATAKRI:n aihealueet haastattelukysymyksiksi. Kartoituksen tulokset on luokiteltu salaisiksi niiden arkaluontoisuuden takia.

Tämä työ luo kattavan pohjan yrityksen tietoturvakartoituksen laatimiselle, sen tavoitteena on olla hyödyksi tietoturvakäsikirjan kehittämisessä ja yrityksen tietoturvatason parantamisessa.

The thesis studies the preparation and implementation of the information security survey. The purpose of the survey is to assess the company's current level of security. The survey is used to identify the areas that need to be improved and its findings can be used to make suggestions for correction.

The theoretical part consists of the basic security concepts and aspects of information security, as well as a related ISO/IEC 27001 standard and the National Security Auditing Criteria (KATAKRI) that has been created by the Finnish Armed Forces. The theoretical parts are deepened by connecting the information security to the company's business activities and by going through the security-related Finnish legislation.

The information security survey starts by identifying the securable objects. The study is continued with an in-depth survey based on the results of the first survey. The full information security survey was carried out by incorporating the related areas from ISO/IEC 27001 and KATAKRI into the interview questions. The results of the study have been classified as confidential due to their sensitive nature.

The thesis provides a comprehensive basis for performing an information security survey of a company. It aims to improve company’s information security and to upgrade the best practices included in the information security hand book.