Tietoturvaosaamisen kehittäminen : tietoturvakoulutuksen rooli henkilöstön tietoisuuden ja valmiuden kehittämisessä

Abstract

Tutkimuksen tavoitteena on selvittää, miten tietoturvakoulutus vaikuttaa organisaation henkilöstön asenteisiin ja käytäntöihin tietoturvan suhteen. Lisäksi työ tutkii tietoturvakoulutuksen merkitystä ja kannattavuutta, erityisesti sen roolia työntekijöiden valmiudessa tunnistaa ja torjua tietoturvauhkia hyödyntämällä tietoturvaohjeistuksia. Tutkimus toteutettiin laadullisena teemahaastatteluna, johon osallistui yhden organisaation ICT-osaston työntekijöitä. Aineisto analysoitiin teoriaohjaavan analyysimenetelmän avulla. Analyysin ja aiempien tietoturvauhkien pohjalta luodaan koulutusmateriaali, joka sisältää käytännönläheisiä ohjeita ja keskeisiä havaintoja organisaatioiden verkkoturvallisuuden kehittämiseen. Aluksi tarkastellaan maailmanlaajuista tietoturvan nykytilannetta ja analysoidaan aiempia tietoturvauhkia. Tulokset osoittavat, että tietoturvakoulutuksella on merkittävä positiivinen vaikutus henkilöstön tietoturvatietoisuuteen ja -käytäntöihin. Tutkimuksen aikana korostui kyky erottaa sähköpostin huijausviestit, ja tätä kyvykkyyttä voidaan kehittää hyökkäyssimulaatioiden avulla.

Johtopäätöksenä voidaan todeta, että tietoturvakoulutus on kannattava investointi organisaatioille, sillä se parantaa henkilöstön tietoturvatietoisuutta ja vähentää tietoturvariskejä. Suosituksena on jatkaa ja kehittää tietoturvakoulutusta osana organisaation jatkuvaa kehittämistä.

The aim of the research is to find out how information security training affects the attitudes and practices of the organization's personnel regarding information security. In addition, the work examines the importance and profitability of information security training, especially its role in employees' readiness to identify and combat information security threats by utilizing information security guidelines. The research was carried out as a qualitative thematic interview, in which employees of the ICT department of one organization participated. Based on the analysis and previous information security threats, training material is created that contains practical instructions and key findings for the development of organizations' network security. First, the current global information security situation is reviewed and previous information security threats are analyzed. The results show that information security training has a significant positive effect on the information security awareness and practices of the personnel. In conclusion, it can be stated that information security training is a worthwhile investment for organizations, as it improves the information security awareness of the personnel and reduces information security risks. The recommendation is to continue and develop information security training as part of the organization's continuous development.