Selvitystyö yrityksen tietojärjestelmien mukauttamisesta SFS-ISO/IEC 27001-standardiin yhteensopivaksi

Abstract

Tässä opinnäytetyössä käsitellään organisaation tietojärjestelmien mukauttamista SFS-ISO/IEC 27001-standardin mukaisiksi.

Opinnäytetyössä selvitettiin organisaation nykytilaa sekä organisaation nykyisten toimintatapojen ja järjestelmien yhteensopivuus SFS-ISO/IEC 27001-standardin vaatimuksiin. Opinnäytetyössä käytiin läpi sertifiointiprosessi ja mitä toimenpiteitä se vaatii organisaatiolta.

Opinnäytetyön tavoitteena oli selvittää mitä työvaiheita SFS-ISO/IEC 27001-standardisointi sisältää sekä vaatimukset, joita organisaation tulisi noudattaa ja toteuttaa tavoitellessa standardia. Organisaation tietoturvallisuuden hallinnan menettelyt tarkastettiin ja selvitettiin, sopiiko nykyinen toimintamenettely sellaisenaan standardin kontekstiin. Opinnäytetyön tarkoituksena oli tuottaa organisaatiolle projektisuunnitelma sekä dokumentointi, joiden mukaisesti organisaatio voi edetä standardisoinnin toteutus- ja käyttöönottovaiheissa. Työssä selvitettiin myös mahdolliset puuttuvat dokumentit, joita organisaation tulee luoda.

Tutkimusmenetelmänä käytettiin empiiristä tutkimusta. Työssä haastateltiin or-ganisaation eri toimihenkilöitä sekä perehdyttiin organisaation nykytilaan havainnoimalla tämänhetkisiä toimintatapoja, jotta saatiin mahdollisimman kattava kuva organisaation nykytilasta.

Opinnäytetyön tuloksena on syntynyt organisaatiolle laadittu ohjeistus doku-mentaatiorakenteesta ja suunnitelma miten SFS-ISO/IEC 27001-standardoinnissa edetään.

This thesis discusses the adaptation of an organization's information systems to comply with the SFS-ISO/IEC 27001 standard. It examined the organization's status and the compatibility of the organization's current operating methods and systems with the requirements of the SFS-ISO/IEC 27001 standard.

The goal of the thesis was to find out which work steps the SFS-ISO/IEC 27001 standardization includes and the requirements that the organization should follow and implement in pursuit of the standard. The organization's information security management procedures were checked, and it was found out whether the current operating procedure as such fits into the context of the standard. The aim of the thesis was to create a project plan and a documentation, in accordance with which to proceed in the implementation phases of the standardization.

Empirical research was used as research method, where various employees of the organization were interviewed, and the organization was studied by observing the operations to get as comprehensive picture of the current state of the organizations methods that were in use as possible.

As the result of the thesis, a guideline for the organization about the documentation structure and a project plan on how to proceed with the SFS-ISO/IEC 27001 standardization were created.