Henkilöstön tietoturvatietoisuuden vahvistaminen

Abstract

Tämän opinnäytetyön tavoitteena oli kartoittaa ja kuvata kohdeorganisaation henkilöstön tietoturvatietoisuuden nykytila sekä saada ymmärrystä siitä, millaisilla ratkaisuilla tietoturvatietoisuutta voidaan kohdeorganisaatiossa vahvistaa. Opinnäytetyö oli tyypiltään kehittämistyö.

Opinnäytetyön tietoperusta koostui tieto- ja kyberturvallisuuden perusteista sekä työssä oppimiseen vaikuttavista tekijöistä. Tieto- ja kyberturvallisuuden perusteiden lisäksi käytiin läpi organisaation turvallisuuskulttuuria, terveydenhuoltoalan tietoturvaan liittyviä lakeja ja asetuksia sekä viestinnän ja johtajuuden merkitystä. Työssä oppimisen osiossa perehdyttiin oppimisen eri vaiheisiin ja motivoinnin merkitykseen uuden oppimisessa. Lopuksi tutustuttiin tietoturvaosaamiseen vaikuttaviin tekijöihin.

Tämän kehittämistyön aineistonkeruumenetelminä käytettiin asiantuntijahaastattelua sekä sähköistä kyselyä. Kehittämistyötä varten haastateltiin yhteensä kuutta asiantuntijaa. Haastattelusta saadusta aineistosta muodostettiin teemoja, joiden mukaisesti tulokset esiteltiin. Sähköinen kysely rajattiin koskemaan kohdeorganisaation työterveyshoitajia sekä hallinnollista työtä tekeviä. Kyselyllä kartoitettiin eri ammattiryhmien kokemusta ja näkemystä tietoturvaan liittyen. Vastaajat valitsivat kyselylomakkeessa olevista monivalintakysymyksistä omaa tietämystään tai mielipidettään vastaavan vaihtoehdon. Vastausten perusteella saatiin ymmärrystä henkilöstön tietoturvaan liittyvään motivaatioon ja tietoisuuteen.

Kehittämistyön tuloksista ilmeni, että kohdeorganisaation henkilöstön tietoturvatietoisuus oli varsin hyvällä tasolla, mutta kiireen tunne ja motivaatio saattavat aiheuttaa tietoturvaan liittyviä riskejä. Saatujen tulosten perusteella luotiin kehittämisehdotuksia, joista tärkeimmiksi ehdotuksiksi nousi henkilöstön tietoturvakoulutuksen kehittäminen monipuolisemmaksi, tietoturvan esille nostaminen erilaisten kampanjoiden avulla sekä viestintäkanavien sujuvoittaminen.

The purpose of this thesis was to map and describe the current state of information security awareness among the commissioner organisation’s personnel. The objective was to gain an understanding of what solutions can be used to strengthen information security awareness in the commissioner organisation. This thesis was as development work.

The theoretical framework of this thesis reviewed of the basics of information and cyber security and factors affecting learning at work. In addition to the information and cybersecurity the organisation’s security culture, laws and regulations related to information security in the healthcare sector, as well as the importance of communication and leadership were reviewed. Learning in the work was introduced to the different stages of learning and the importance of motivation in learning new things. The factors affecting information security knowledge were examined.

The data collection methods for this development work were an expert interview and an electronic survey. A total of six experts were interviewed for the development work. The material received from the interviews consisted of themes by which the results were presented. The electronic survey was limited to occupational health nurses of the commissioner organisation and administrative employees. The surveys examined the experience and vision of different professional groups regarding information security. The respondents chose the option corresponding to their own knowledge or opinion from the multiple-choice questionnaire. The answers provided insights into the motivation, and awareness of the respondent’s view on their personal information security.

The results of the development work showed that the information security awareness of the commissioner organization personnel was at a relatively good level, but a sense of urgency and motivation may cause risks related to information security. Based on the obtained results, development proposals were created. The most important development proposals were making the training more versatile, highlighting information security through various campaigns, and streamlining communication channels.