Ulkoistetun tietoturvavalvomopalvelun tavoitteet, vaatimusmäärittely ja käyttöönoton vaiheistus

Abstract

Globaalin toimintaympäristön muuttuminen ja digitalisaation edistyminen ovat kasvattaneet turvallisuusuhkia. Digitaalisesta turvallisuudesta huolehtiminen edellyttää organisaatiossa riskienhallinnan, jatkuvuudenhallinnan, tietoturvallisuuden, kyberturvallisuuden ja tietosuojan sekä informaatioturvallisuuden toteuttamista vaatimustenmukaisesti kaikessa toiminnassa.

Tämän konstruktiivisena tapaustutkimuksena toteutetun tutkimus- ja kehittämistyön tavoitteena on kehittää kohdeorganisaation ulkoistettavalle tietoturvavalvomopalvelulle tavoitteet, vaatimusmäärittely ja käyttöönoton vaiheistus.

Tutkimus toteutettiin osana kohdeorganisaation ulkoistettavan palvelun hankintaa, jolloin kyseessä on työelämälähtöisen kehittämistehtävän tutkimusmenetelmä. Kehittämisvaiheen aikana hyödynnettiin toimintatutkimuksen menetelmiä, minkä tuotoksina syntyi mm. ulkoistetun SOCin vaatimusmäärittely dokumentit. Tässä tutkimuksessa tutkimusmenetelmäksi valittiin tapaustutkimus, jolloin kuvattiin, miten asiat on esitetty nykyisen ulkoistetun SOC-palvelun hankinnan osalta ja miten sitä tulisi kehittää.

Tutkimuksen keskeisiä tuloksia ovat ulkoistusstrategian laatimisen tarve ja organisaation ja palvelun kypsyyden arviointi sekä kolmitasoisen hankintamallin kehittäminen. Lisäksi keskeistä palvelun ulkoistamisessa on tavoitteiden ja vaatimusten määrittely. Niissä sovellettiin mm. NIST CSF -viitekehysmallia ja Vasellan kypsyysmallia. Käyttöönoton vaiheistamiseksi laadittiin lista toimenpiteistä.

Keskeisimmät johtopäätökset liittyvät organisaation kypsyystason merkitykseen, määrittelyn merkityksen korostumiseen, resurssien osoittamisen tarpeellisuuteen ja toimijoiden valtuuttamiseen.