ISO/IEC 27001 -standardin mukainen tietoturva Service Deskiin

Abstract

Tämän opinnäytetyön tavoitteena oli Service Deskin tietoturvallisuuden parantaminen ISO/IEC 27001 -standardin mukaisesti tunnistamalla suojattavat resurssit, laatimalla näille resursseille riskianalyysit ja pohtimalla tarvittavat hallintakeinot näiden riskien vähentämiseksi.

Työ aloitettiin tutkimalla ISO/IEC 27001 -standardin vaatimukset sekä rajaamalla Service Desk standardin suojauksen piiriin. Service Desk kuvattiin yleistasolla, jotta saatiin selville riippuvuussuhteet ja vastuualueet eri sidosryhmien kanssa. Service Deskin sisällä tunnistettiin suojattavat resurssit ja näihin kohdisturvat riskit. Riskit arvioitiin Enfon riskienhallintapolitiikan mukaisesti esimiesten ja johdon avulla, jotka valittiin resurssien omistajiksi. Arvioinnin perusteella riskeille pohdittiin tarvittavat hallintakeinot.

Lopputuloksena laadittiin Service Deskin yleiskuvaus, resurssiluettelo, riskianalyysit ja Statement of Applicability -dokumentti. Tehtyjen riskianalyysien perusteella tietoturvallisuuteen voidaan nyt varautua paremmin, kun tiedetään olemassa olevien riskien seuraukset. Riskien hallintakeinojen käytännön toteutus ei kuulunut tähän opinnäytetyöhön.

The purpose of this thesis was to improve the information security of Service Desk by identifying the protectable assets of Service Desk, analyzing the risks directed to these assets and considering necessary security controls to mitigate these risks.

The thesis was started by researching the ISO/IEC 27001 standard requirements and defining Service Desk into the scope of this standard. Service Desk was described in a general way to find out Service Desk dependencies and responsibilities between many interested groups. Protectable assets and risks directed to these assets were identified. These risks were assessed according to Enfo’s risk management policy with Service Desk director and supervisors who were selected to be risk owners. Necessary security controls were selected to mitigate the risks based on the assessment results.

As a result the following documents were made: General description of Service Desk, inventory of assets, risk analyses and Statement of Applicability. Service Desk can prepare to analyzed risks better when consequences of these risks are known. Implementing of necessary security controls and auditing their efficiency was beyond the scope of this thesis.