Henkilöstön tietoturvatietoisuuden kartoittaminen

Abstract

Digitalisaation myötä tietoturva on noussut keskeiseksi osaksi organisaatioiden arkea, ja henkilöstön rooli tietoturvan toteutumisessa on tunnistettu yhdeksi merkittäväksi riskitekijäksi. Tämä opinnäytetyö toteutettiin toimeksiantona suomalaiselle tekstiili – ja vaatetusalan pk-yritykselle (yritys Y), jossa sen henkilöstön tietoturvatietoisuutta ei ollut aiemmin kartoitettu systemaattisesti.

Opinnäytetyön tarkoituksena oli kartoittaa yritys Y:n toimistotyöntekijöiden tietoturvatietoisuuden nykytila sekä tunnistaa keskeiset kehittämiskohteet. Tulosten perusteella laadittiin käytännönläheinen tietoturvaopas perehdytyksen ja jatkuvan osaamisen kehittämisen tueksi. Työ toteutettiin toiminnallisena opinnäytetyönä, jossa yhdistyvät teoreettinen viitekehys, henkilöstölle suunnattu kysely sekä konkreettisen oppaan tuottaminen.

Opinnäytetyön teoreettinen osa rakentuu keskeisten käsitteiden, CIA-kolmion, ISO/IEC 27001 - standardin sekä GDPR:n ympärille. Lisäksi tietoperustassa käsitellään inhimillisiä tietoturvariskejä ja tietoturvatietoisuuden kehittämistä aiemman tutkimuskirjallisuuden pohjalta. Osana kehittämistyötä vertailtiin kolmea digitaalista työkalua: ScreenPal, ThingLink ja SurveyMonkey, sopi vimman kysely- ja oppimisalustan valitsemiseksi. Vertailu toteutettiin käytännön testauksen ja ennalta määriteltyjen kriteerien, kuten käytettävyyden, analytiikan ja kustannusten, perusteella. SurveyMonkey valikoitui parhaiten soveltuvaksi työkaluksi ja sillä toteutettiin sähköinen henkilöstökysely. Kysely lähetettiin 15 toimistotyöntekijälle ja siihen vastasi 10 henkilöä (vastausprosentti 67 %).

Kyselyn tulokset osoittivat merkittäviä puutteita organisaation tietoturvakoulutuksessa: 60 % vastaajista ei ollut saanut lainkaan tietoturvakoulutusta työssään. Salasanakäytännöissä havaittiin selkeitä riskejä, kuten salasanojen kierrättämistä ja tallentamista turvattomasti. Henkilötietojen käsittely ja GDPR nousivat kyselyssä merkittävimmiksi epävarmuuden aiheiksi.

Tulosten perusteella organisaatiolle laadittiin tietoturvaopas, joka kattaa salasanat ja kirjautumisen, henkilötietojen käsittelyn, sähköpostin ja tietojenkalasteluun varautumisen sekä laitteiden turvallisen käytön. Opas on suunniteltu vastaamaan suoraan henkilöstön tunnistettuihin tarpeisiin ja soveltuu sekä uusien työntekijöiden perehdyttämiseen että koko henkilöstön jatkuvaan tietoturvaosaamisen kehittämiseen.