Kinnulan kunnan perusturvatoimialan tietoturvasuunnitelma

Abstract

Tämän opinnäytetyön tarkoituksena oli kartoittaa Kinnulan kunnan perusturvatoimialan tietoturvariskejä sekä laatia toimialalle tietoturvasuunnitelma.

Tutkimuksessa haastateltiin kunnan sosiaalijohtajaa, ylilääkäriä, johtavaa hoitajaa, tietosuojavastaavaa, kunnanrakennusmestaria sekä IT-palveluntuottajaa. Haastatteluiden perusteella tehtiin riskianalyysi, joka toimi lähtökohtana perusturvatoimialan tietoturvasuunnitelmalle.

Riskikartoituksessa havaittiin pääasiassa vähäisiä tai kohtalaisia riskejä. Havaitut riskit kehittämisehdotuksineen eriteltiin ja analysoitiin osa-alueittain tietoturvasuunnitelmaa mukaillen.

Tietoturvasuunnitelmassa määriteltiin perusturvatoimialan hallinnolliseen tietoturvallisuuteen, fyysiseen tietoturvallisuuteen, henkilöstöturvallisuuteen, laitteistoturvallisuuteen ja tietoliikenneturvallisuuteen liittyvät tietoturvakäytännöt. Tietoturvasuunnitelma minimoi tietoturvariskejä ja estää vakavien ongelmien syntymistä. Suunnitelma sisältää ne vastuualueet, joista kukin viranhaltija huolehtii ja antaa menettelyohjeita ongelmatilainteisiin. Tietoturvasuunnitelma toimii apuvälineenä johtavien viranhaltijoiden työssä.

The goal of the study was to discover the information security risks and to create an information security plan for the Department of Health and Social Services of Kinnula municipality.

The study was made by interviewing the director of social services, medical director, director of nursing services, data protection officer, director of technical services and the information technology service provider. The information security risks discovered as the result of the interviews were the basis of the information security plan.

The information security risks were estimated mainly low or medium. To improve information security, suggested actions were written for minimizing or removing every information security risk discovered.

The practices of administrative information security, physical security, personnel security, equipment security and data-communications security were defined for the information security plan. The goal of information security plan is to minimize the information security risks and to prevent serious security incidents. The information security plan includes the responsibilities of every officials. It is also a guide which helps the leading officials in their work.