Vulnerability management for technical vulnerabilities

Abstract

Opinnäytetyössä tutkittiin energia- ja kaukolämpösektorin yrityksen IT-järjestelmien haavoittuvuudenhallintaprosessia. Haavoittuvuudenhallinta on keskeinen osa toimeksiantajan tietoturvariskien hallintaa. Opinnäytetyön tarkoituksena oli arvioida haavoittuvuudenhallinnan nykytilaa, peilata sitä yleisesti tunnettuihin parhaisiin käytäntöihin ja sitä kautta löytää parannusehdotuksia.

Tutkimus suoritettiin tapaustutkimuksena siten, että teoria tietopohja rakennettiin laajalla kirjallisuuskatsauksella olemassa olevaan kirjallisuuteen ja julkaisuihin. Nykytilan arviointi sisälsi prosessin toiminnan tarkkailua, dokumentaation katselmoinnin, datan analysointia ja sekä haastatteluja. Näiden tuloksena syntyi analyysi haavoittuvuudenhallintaprosessin nykytilasta toimeksiantajan ympäristössä.

Tutkimus paljasti, että vaikka haavoittuvuudenhallintaprosessin kulku noudattaa parhaita käytäntöjä, yksityiskohtaisissa toimissa on kriittisiä puutteita, jotka johtuvat pääasiassa puuttuvista ohjeista ja käytännöistä sekä epäselvistä vastuualueista. Edellä mainituiden haasteitten takia haavoittuvuuksia korjaavien toimenpiteiden priorisoinnissa ja toteutuksessa näkyi hitautta.

Tutkimus tarjosi kokonaisvaltaisen näkemyksen haavoittuvuudenhallinnan nykytilasta ja tarjoaa kestävän pohjan tulevaisuuden prosessikehitykselle.