Information Security Plan for SAP HCM

Abstract

The importance of information security increases in companies and organizations as electronic processes, service channels and tools become more common. This trend can also be seen in company support functions like human resources management. A growing part of personnel data management and employment lifecycle processes are executed and maintained in electronic systems. Therefore both employees and authorities are more and more interested in how information security is managed in organizations, especially concerning those processes where sensitive personal data is handled.

The purpose and target of this thesis work was to define based on literature review the general elements of an information security plan, find out specific requirements for Human Resources information system security, and based on the theory create information security assessment and plan for SAP HCM solution for the target company.

The theory part was collected during winter 2012-2013. The empirical part was conducted during year 2013. Data collection for the empirical part was carried out using interviews, workshops and documentation reviews as research methods. Long duration of the data collection was due to a significant structural transformation that the organization went through during summer 2013. Remarkable changes in the roles and responsibilities within the target company also affected end results.

The structure of the information security plan was formed based on the literature review, and based on the formed structure the thesis writer conducted information assessment and created the information security plan for the target company SAP HCM solution. Based on the assessment, the level of information security in the target solution is on an adequate level, and the company has sufficient control mechanisms in use. However, some development items were found and recommendations for the company made in the thesis results, for example, concerning governance model and user authorization management.

Tietoturvan tärkeys ja merkitys yrityksissä kasvaa koko ajan sähköisten prosessien, palvelukanavien ja työkalujen lisääntyessä. Tämä trendi on huomattavissa myös yritysten tukiprosesseissa, kuten henkilöstöhallinnossa. Yhä suurempi osa yrityksen henkilöstöhallintoon liittyvistä prosesseista hallitaan ja hoidetaan sähköisten prosessien avulla. Tämän seurauksena sekä käsiteltävät työntekijät että viranomaiset osoittavat kasvavaa kiinnostusta yrityksen tietoturvaan, erityisesti niiden sovellusten ja prosessien osalta joissa käsitellään luottamuksellisia henkilötietoja.

Tämän opinnäytetyön tavoitteena on selvittää kirjallisuuskatsauksen kautta tietojärjestelmän tietoturvasuunnitelman yleinen rakenne ja sisältö, sekä mitä erityispiirteitä sisältyy henkilötietoa käsittelevien järjestelmien tietoturvaan. Lisäksi tavoitteena on suorittaa tietoturvakatselmointi ja sen perusteella luoda tietoturvasuunnitelma kohdeyrityksen henkilötietojen hallintaan tarkoitetulle SAP HCM –järjestelmälle.

Opinnäytetyö toteutettiin produktina. Työn teoreettinen osuus on valmisteltu talvella 2012 – 2013 tutustumalla kirjallisuuteen. Empiirinen osa on toteutettu vuoden 2013 aikana. Empiirinen tiedonkeruu on tehty henkilöhaastatteluin, keräämällä ja analysoimalla dokumentaatiota sekä toteuttamalla työpajasessioita. Empiirisen osan pitkään ajalliseen kestoon ja työn lopputulokseen vaikutti kohdeyrityksessä tehty merkittävä organisaatiomuutos, joka astui voimaan kesän 2013 alussa.

Teoreettisen pohjan perusteella muodostettiin tietoturvasuunnitelman runko, jonka mukaan toteutettiin tietoturva-analyysi ja tietoturvasuunnitelma kohdeyrityksen SAP HCM -järjestelmälle. Analyysin mukaan kohdeyrityksen tietoturvan taso kohdejärjestelmän osalta oli riittävässä kunnossa, ja yrityksellä oli olemassa suhteellisen kattavat tietoturvariskien hallintamekanismit. Parannusehdotuksiakin kuitenkin löytyi, mm. tietoturvan hallintamalliin sekä käyttövaltuushallintaan liittyen.