Tietoturvakoulutuksen vaikuttavuus Organisaatio X:ssä : kyselytutkimukseen perustuva selvitys

Abstract

Tietoturva on olennainen osa organisaation toimintavarmuutta, ja henkilöstön osaaminen on keskeistä tietoturvapoikkeamien havaitsemisessa ja ehkäisyssä. Tämän opinnäytetyön tavoitteena on arvioida tietoturvakoulutuksen vaikuttavuutta, erityisesti osaamista ja käytäntöjä jokapäiväisessä työssä. Opinnäytetyön toimeksiantajana oli valtakunnallinen järjestö, jolla on laaja vapaaehtoistyön verkosto. Opinnäytetyössä pyritään tunnistamaan myös nykyisen koulutuksen puutteita ja kehittämiskohteita sekä lopuksi esitetään ehdotuksia koulutuksen sisällön ja toteutuksen parantamiseksi. Opinnäytetyö rajautuu organisaation sisäiseen tietoturvaan ja tarkastelee tietoturvakoulutuksen vaikuttavuutta monien erilaisten kysymysten kautta. Tutkimus toteutettiin kvantitatiivisena kyselytutkimuksena, jonka avulla selvitettiin koulutuksen riittävyyttä ja organisaation koettua tietoturvatasoa sekä kehittämistarpeita henkilöstön näkökulmasta. Tulokset kertovat, että koulutuksen vaikuttavuuden keskiarvo on kohtalainen. Koulutuksen koettu vaikutus toimintatapoihin vaihteli vastaajien kesken, mikä korostaa tarvetta yksilöllisempään ja käytännönläheisempään koulutukseen. Keskeisiksi kehityskohteiksi nousivat koulutuksen yleisluontoisuus, ajantasaisuuden ja säännöllisyyden puute sekä koulutuksen sisällön irrallisuus arjen työstä. Vastaajat toivoivat selkeitä ohjeita ja kohdennettua sisältöä, joka vastaisi paremmin oman työn vaatimuksiin. Tutkimuksessa havaittiin, että henkilöstö tarvitsee osaamisen vahvistamista erityisesti salasanojen hallinnassa ja tiedonhallinnassa, mutta myös muilla osa-alueilla, kuten toimintavalmiudessa, teknisissä riskitilanteissa ja tietoturvapoikkeamien käsittelyssä. Organisaation arjen tietoturvakäytännöissä ilmeni hajanaisuutta, mikä heikentää henkilöstön kykyä arvioida tietoturvan tasoa kokonaisvaltaisesti. Esimerkiksi salasananhallintaohjelmien käyttö oli vähäistä, koneiden lukitus ei toteutunut johdonmukaisesti työpisteeltä poistuttaessa, ja osa henkilöstöstä ei tiennyt, miten toimia tietomurron yhteydessä. Lisäksi luottamus kollegoihin tai organisaatiokulttuuri ohitti toisinaan tekniset turvallisuuskäytännöt. Tämän vuoksi tietoturvakoulutuksen kehittämisessä tulisi keskittyä sisällön konkreettisuuden ja käytännönläheisyyden lisäämiseen, koulutuksen säännöllisyyden ja ajantasaisuuden varmistamiseen, sisällön tarkempaan räätälöintiin eri työtehtävissä sekä vuorovaikutteisten ja toiminnallisten menetelmien, kuten simulaatioiden hyödyntämiseen. Tämän seurauksena koulutus vastaisi paremmin jokapäiväisen työn vaatimuksiin, vahvistaisi osallistujien kykyä reagoida turvallisuusuhkiin ja parantaisi sen käytännön tehokkuutta. Tutkimuksen tulokset tukevat aiempia havaintoja tietoturvakoulutuksen vaihtelevasta vaikuttavuudesta ja korostavat säännöllisen ja roolipohjaisen koulutuksen merkitystä. Vaikka nykyinen koulutus ei täysin vastaa kansainvälisiä suosituksia, sen kehittämissuunnat ovat selkeästi tunnistettavissa.