Organisaatioiden tietoturvallisuuden perusvaatimukset

Abstract

Tämän opinnäytetyön aiheena on organisaatioiden tietoturvan luominen tai tarkastelu tietoturvallisuuden vaatimuskehikkoja käyttäen. Tavoitteena on selvittää, mitä tietoturvallisuuden vaatimuskehikot pitävät olennaisina vaatimuksina ja mitkä ovat yleisimmät uhat organisaation tietoturvalle. Opinnäytetyötä varten tutkitaan hallintakeinoja ja hyväksi havaittuja yleisiä toimia tutkimalla erilaisia kyberhyökkäyksiä ja vaatimuskehikkojen sisältöjä eli vaatimuksia. Aihetta lähestytään yleisimpien tietoturvauhkien ja -hyökkäysten todennäköisyyksien ja vaikutusten minimoimisen näkökulmasta.

Luvussa kaksi käydään läpi tietoturvakenttää. Siinä tarkastellaan tietoturvan määritelmiä, kyberhyökkäyksiä ja kyberhyökkäysten tekijöitä. Näiden lisäksi katsotaan tarkemmin yleisiä uhkia ja hyökkäyksiä ja sitä, kuinka ne kohdistuvat organisaatioiden henkilöstöön ja organisaation kyberympäristöön. Luvussa kolme käydään läpi työssä analysoituja vaatimuskehikkoja. Työssä analysoiduista vaatimuskehikoista merkittävimmät ovat ISO27001 ja NIST Cybersecurity Framework. Luvussa kerrotaan kuinka nämä vaatimuskehikot lähestyvät organisaatioiden tietoturvallisuuden luomista ja kuinka ne vastaavat yleisimpiin tietoturvauhkiin ja kyberhyökkäyksiin. Tämän luvun havaintoihin perustuen muodostetaan lukuun neljä lista organisaatioiden tietoturvan perusvaatimuksista.

Luvussa viisi tuodaan esille ajatuksia luodusta vaatimuslistasta ja mikä vaatimusten merkitys on. Luvussa käydään tarkemmin läpi aihealueita, joihin vaatimuslista on jaettu ja mitä aihealueissa tulee ottaa huomioon. Lopuksi pohdinnassa on tietoturvallisuuden merkitys ja kuinka tietoturvallisuuden vaatimuskehikkoja voitaisiin hyödyntää kansallisella tasolla.

The subject of this thesis is creation or reviewing of organisations’ information security using cyber security frameworks. The object was to find out what requirements information security frameworks consider essential and what are the most common threats to organizations’ cyber security.

In order to find out what requirements cyber security frameworks have to protect against the most common cyber threats and attacks, the frameworks are analysed to point out the requirements that are most needed. The subject is approached from the point of reducing the chance of those threats and attacks and minimizing their effects.

The results of the thesis are a list for the most essential requirements to reduce the risk of cyber security threats and attacks. The conclusions include thoughts of the importance of cyber security and how cyber security frameworks could have an effect on a national level.