Tietoturvakulttuurin kartoittaminen organisaatiossa X

Abstract

Tutkimuksellisen opinnäytetyön tavoitteena oli kartoittaa toimeksiantajan eli organisaation X tietoturvakulttuurin tila. Lähtötilanne oli, ettei tietoturvakulttuuria ollut aikaisemmin kartoitettu ja organisaatio halusi alkaa kehittämään sitä. Tutkimusongelmaan, mikä on organisaation X tietoturvakulttuurin nykytila, vastattiin seuraavien tutkimuskysymysten avulla: Kuinka motivoituneita organisaation työntekijät ovat oppimaan tietoturvallisuudesta, toimiiko organisaation henkilökunta vapaaehtoisesti ja itseohjautuvasti tietoturvallisesti sekä miten organisaatio tukee työntekijöitään tietoturvallisemmassa työskentelyssä? Opinnäytetyön hyöty toimeksiantajalle on se, että sen avulla pystytään tarkastelemaan, mihin tulevaisuudessa tulisi keskittyä tietoturvakulttuurin kehittämiseksi ja siten organisaation X kokonaisturvallisuuden parantamiseksi. Tietoturvakulttuurin kartoittaminen antaa organisaation henkilöstölle yhteisen ymmärryksen siitä, miten yhteistä turvallisuustietoisuutta ja -käytäntöjä voitaisiin parantaa turvallisen työskentelyn edistämiseksi.

Työn teoriapohjassa käytettiin kirjallisuuslähteitä organisaatiokulttuurista, tietoturvallisuudesta sekä tietoturvakulttuurista. Tutkimuksellisen opinnäytetyön aineistonkeruumenetelmänä käytettiin teemahaastattelua, jonka apukysymykset muodostettiin teoriapohjaan tukeutuen. Puolistrukturoitu menetelmä loi haastatteluista keskustelunomaisia tilanteita, joiden vastaukset olivat vertailukelpoisia. Haastattelut taltioitiin käyttämällä field notes -menetelmää, joka mahdollisti keskustelun avoimuuden säilymisen. Aineiston analyysissa käytettiin menetelmänä teemoittelua, jonka seurauksena aineisto jaettiin kolmeen eri teemaan.

Tutkimuksellisen opinnäytetyön tuloksena syntyi kattava analyysi siitä, mitkä asiat vaikuttivat tietoturvakulttuurin muodostumiseen organisaatiossa X, ja mikä oli niiden tila. Muodostuneet keskeiset teemat olivat kouluttaminen ja sääntely, keskustelukulttuuri sekä osaaminen ja motivaatio. Haastattelujen vastauksia tulkittiin teorian avulla ja näin saatiin johtopäätös tietoturvakulttuurin tilasta. Tutkimuskysymyksiin vastattiin. Organisaation X tietoturvakulttuurissa hyvää oli työntekijöiden motivaatio toimia tietoturvallisesti sekä oppia lisää tietoturvallisuudesta. Avoin ja rehellinen keskustelukulttuuri oli organisaation X vahvuus. Kaikille työntekijöille tärkeintä tietoturvan toteuttamisessa oli asiakkaiden tietosuoja. Kehittämiskohteita tietoturvakulttuurissa olivat organisaation tuki työntekijöiden tietoturvaosaamisen kehittämisessä, sekä vastuuhenkilöiden selkeämpi määrittely. Toimivan tietoturvan toteuttamiseksi organisaation X tulee keskittyä työntekijöiden säännölliseen kouluttamiseen ja kirjallisten ohjeiden luomiseen.

The purpose of the thesis was to map the current state of the information security culture of the commissioner, organisation X. Information security culture had not been mapped before and the organisation wanted to start developing it. The research problem: “What is the current state of information security culture in organisation X”, was answered by the following research questions: How motivated are the employees to learn about information security, do the employees of the organisation voluntarily and independently act securely, and how does the organisation support its employees to work securely? The benefit of the thesis for the commissioner is that it allows them to examine what they should do in the future to develop their security culture and thus improve the overall security of organisation X. The mapping of the security culture will give the organisation’s staff a common understanding of how security awareness and practices could be improved to promote safe working.

The theoretical framework of the thesis was based on literature sources on organisational culture, information security and information security culture. Thematic interviews were used as the method of data collection, with supporting questions formed on the basis of the theoretical framework. The semi-structured method created conversational situations in the interviews, where the answers were comparable. The interviews were transcribed using the field notes method, which allowed for the transparency of the discussion to be maintained. The data were analysed using a thematic approach, which resulted in the data being divided into three different themes.

The result of the research thesis was a comprehensive analysis of the issues that influenced the formation of the information security culture in organisation X, and its current state. The key themes that emerged were training and regulation, the culture of discourse, and participation and motivation. The answers to the interviews were interpreted using theory to reach a conclusion on the state of the information security culture. The research questions were answered. The working aspects of the security culture in organisation X were the motivation of the employees to act in a secure way and to learn more about information security. An open and responsive discussion culture was a strength of organisation X. For all employees, the most important aspect of implementing information security was customer privacy. The areas for improvement in the security culture were organisational support in developing employees’ security skills, and a clearer definition of responsibilities. In order to implement effective security practices, organisation X should focus on regular training of employees and the creation of written guidelines.