Tietoturva- ja tietosuojaosaamisen kehittäminen digitaalisella koulutuspolulla yritysympäristössä : Ahlström Konsernipalvelut Oy

Abstract

Opinnäytetyössä arvioitiin organisaation tietoturva- ja tietosuojakoulutukseen liittyviä tarpeita sekä suunniteltiin ja toteutettiin koulutuskokonaisuus, joka on käyttäjän näkökulmasta helposti omaksuttava ja vaivattomasti suoritettava sekä organisaation kannalta hallittava ja ylläpidettävä. Työ toteutettiin Ahlström Konsernipalvelut Oy:n toimeksiannosta. Yhtiö on A. Ahlström Oy:n täysin omistama tytäryhtiö, joka tuottaa konserniyhtiöille keskitettyjä talous-, henkilöstöhallinto- ja ICT-palveluja. Kohderyhmänä oli henkilöstö, mukaan lukien kesä- ja kausityöntekijät. Koulutus toteutettiin organisaation sisäisenä palveluna, jonka tavoitteena on tukea turvallista päätöksentekoa arjen työtilanteissa, madaltaa kynnystä pyytää tarkennusta epäselvissä tilanteissa ja vähentää inhimillisistä virheistä aiheutuvia riskejä.

Koulutustarvetta kartoitettiin kesäkuun 2025 alkupuolella alkukyselyllä (N = 79, n = 46; vastausprosentti 58 %), ja vastausaika päättyi ennen juhannusta. Aineistoa täydennettiin sisäisillä havainnoilla sekä HR:n ja ICT:n näkemyksillä, jotta painopisteet eivät perustuisi pelkästään itsearviointiin vaan myös käytännön havaintoihin. Aineisto jäsennettiin koulutusrakenteeksi teemoittelun ja riskiperusteisen priorisoinnin avulla. Tietoturva- ja tietosuojasyistä työssä ei julkaista yksityiskohtaisia tulosjakaumia, tarkkoja kysymys- tai tehtäväkohtaisia yksityiskohtia eikä sisäistä koulutusmateriaalia paljastavia tietoja, vaan havainnot raportoidaan yleisellä tasolla.

Työn tuloksena toteutettiin mikro-oppimiseen perustuva, kymmenestä moduulista koostuva koulutusohjelma, joka kattaa keskeiset aiheet: kyberturvallisuus, salasanat ja pääsynhallinta, mobiililaitteet, fyysinen turvallisuus, etätyöskentely, internetin turvallinen käyttö, turvallinen sähköposti, tietojenkalastelu, haittaohjelmat ja kiristyshaittaohjelmat sekä sosiaalinen manipulointi. Koulutus toteutettiin MetaCompliance-ympäristössä ja integroitiin A-Learning-oppimisympäristöön (Vuolearning) koulutuspoluksi, joka tukee perehdytystä, etenemistä ja yleistason seurantaa. Lisäksi keskeiset toimintaohjeet dokumentoitiin tukemaan turvallista toimintaa tilanteissa, joissa tarvitaan harkintaa.

Johtopäätöksenä todetaan, että käyttäjälähtöinen rakenne, koulutuspolku sekä HR:n ja ICT:n selkeä roolitus parantavat koulutuksen toteutettavuutta ja ylläpidon hallittavuutta. Työssä määriteltiin seurannan periaatteet ja jatkuvan kehittämisen sykli, joiden avulla kokonaisuutta voidaan päivittää käyttöönoton aikana kertyvän palautteen ja seurantatiedon perusteella. Lisäksi ylläpidon vastuut kuvattiin yleistasolla, jotta koulutus ei jää yksittäisen henkilön varaan.

This thesis assessed the organisation’s information security and data protection training needs and planned and implemented a training programme that is easy for end users to follow and manageable to maintain at organisational level. The work was commissioned by Ahlström Konsernipalvelut Oy, a wholly owned subsidiary of A. Ahlström Oy that provides centralised financial, HR and ICT services for Group companies. The target group comprised personnel, including summer and seasonal employees. The training was implemented as an internal service to support secure day-to-day decision-making, lower the threshold for seeking clarification in ambiguous situations, and reduce risks arising from human error.

Training needs were examined through a baseline survey conducted in early June 2025 (N = 79, n = 46; response rate 58%), with the response period ending before Midsummer. The dataset was complemented with internal observations and input from HR and ICT to ensure that priorities did not rely on self-assessment alone but were grounded in operational practice. The material was structured into a training framework through thematic analysis and risk-based prioritisation. For information security and data protection reasons, the thesis does not disclose detailed result distributions, item-level question or task details, or information that could reveal internal training materials; findings are therefore reported at a general level.

The outcome was a microlearning-based training programme divided into ten modules covering key topics: cybersecurity, passwords and access management, mobile devices, physical security, remote working, safe internet use, secure email, phishing, malware and ransomware, and social engineering. The programme was delivered in MetaCompliance and integrated into A-Learning (Vuolearning) as a learning pathway supporting onboarding, progression, and aggregate-level monitoring. In addition, key operational procedures were documented to support safe action where situational judgement is required.

The thesis concludes that a user-centred structure, a guided learning pathway, and clearly defined HR and ICT roles improve the programme’s feasibility and maintainability. It also established monitoring principles and a continuous improvement cycle to support updates informed by deployment feedback and monitoring data. In addition, maintenance responsibilities were outlined at a high level to reduce dependence on any single individual.