TIETOTURVAKATSAUKSEN TOTEUTUS TIETOTURVA-AUDITOINNIN JA PENETRAATIOTESTAUKSEN MENETELMIÄ HYÖDYNTÄEN

Abstract

Tietojen varastaminen ja erilaiset tietoverkkorikokset ovat yleistyneet viime vuosien aikana huomattavasti, ja saammekin kuulla niistä lähes päivittäin mediassa. Näin ollen tietoturvallisuustyön merkitys korostuu entisestään ja osaamiselle on tarvetta.

Tämän opinnäytetyön tavoitteena oli toteuttaa Kymenlaakson ammattikorkeakoulun tietotekniikan koulutusohjelman ICT-LAB tuotantoympäristöön tietoturvakatsaus, jos-sa yritettiin löytää mahdollisimman paljon haavoittuvuuksia ja puutteita tietoturvan osalta hyödyntäen tietoturva-auditoinnin ja penetraatiotestauksen menetelmiä. Tieto-turvakatsaus perustuu auditoijan osaamiseen ja mielipiteeseen, eikä siinä käytetä hy-väksi mitään tietoturvastandardia tai viitekehystä.

Opinnäytetyössä perehdyttiin teoriaan alan kirjallisuutta apuna käyttäen ja käytettiin hyväksi koulutuksen tarjoamaa aiempaa osaamista. Opinnäytetyön käytännön vaihees-sa toteutettiin erilaisia testejä ja tutkittiin saatavilla olevia dokumentaatioita toimeksi-antajan ICT-LAB-tuotantoympäristöstä.

Tuloksena syntyi pohjatietoa tietoturvapuutteista ja haavoittuvuuksista tietoturvan eri osa-alueilta, ja tulosten perusteella toimeksiantaja on aloittanut tietoturvan parantami-sen ICT-LAB-tuotantoympäristössään. Penetraatiotestauksessa ei ehditty hyväksikäyt-tämisvaiheeseen ajan loppuessa kesken.

Stealing confidential data and other cyber crimes are increasing problems which can be read about every day from media. This leads to the fact that the meaning of security process and maintaining system is emphasized and there is a need for professionals to solve the problems.

The main objective of this thesis was to implement the Security Review to ICT-LAB production network of Information Technology program at Kymenlaakso University of Applied Sciences. In the Security Review the issues and vulnerabilities were tried to be examined as much as possible utilizing the methods of security auditing and penetration testing. The Security Review was based on the auditor´s experience. How-ever, in the Security Review no Security Standard or Framework was used.

In this study the theoretical framework consisted of the literature and the previous knowing based on the education. In the empirical phase of the study different tests and reviews were implemented and available documentations from the ICT-LAB produc-tion network of Kyamk was searched.

As a result, issues and vulnerabilities from different fields of information security were found and Kyamk has begun some improvements in the ICT-LAB production network based on the results. On the other hand, the exploitation phase of the penetra-tion testing was not accomplished because the time ran out.