Tietoturvallisuusauditointi ISO 27000-viitekehyksessä

Abstract

Tiedon olemassaolo eri olomuodoissa muodostaa vaikeasti hallittavan uhkakentän, jonka käsittelyyn kansainvälisesti hyväksytty ISO 27000 -standardi on hyvä väline.

Työn tarkoitus on perehtyä ISO/IEC 27000 -standardisarjaan, soveltaa standardin vaatimuksia laatimalla tietoturvallisuuden auditointiaineisto ja -menetelmä, sekä toteuttaa tietoturvallisuusauditointi käytännössä.

Työssä esitellään tietoturvallisuuden kytkeytyminen yritysturvallisuuteen, tietoturvallisuuden osa-alueittainen rakentuminen ISO-standardien mukaisesti, sekä viisitasoinen auditointimalli jokaisen osa-alueen tehokkaaseen kartoittamiseen.

Laadittu auditointiaineisto luo rakenteen auditoinnille, helpottaa auditointityötä sekä mahdollistaa helpon ja tehokkaan dokumentoinnin auditoinnin aikana.

Auditoinnin tarkoituksena on kartoittaa toimeksiantajan tietoturvallisuuden nykytila, sekä laatia tietoturvallisuusraportti, jota käytetään pohjana toimeksiantajan tietoturvallisuuden kehitysprojektissa. Auditointi rakentuu haastatteluista, sekä käytännön katselmuksesta toimeksiantajan toimintaympäristössä.

Information in different forms generates a challenging threat-field. ISO 27000 is a framework designed to manage information risks comprehensively. The objective of this thesis was threefold: introducing ISO 27000 series of standards, applying the requirements of the standards to the design material and processes needed to perform an information security audit in ISO 27000 frame work, and actually performing the mentioned information security audit.

The thesis demonstrates the connection between corporate security and information security as well as the diverse areas of information security within the ISO 27000 framework. The thesis also introduces a five-level audit method, designed for a thorough and efficient information security audit.

The created audit material gave structure for the audit, simplifies the process, and provided a method for easy documentation. The purpose of the audit was to map the current information security level of the client, and to draft an information security level report which was used as the baseline for an information security development plan. The audit consisted of a series of interviews and inspections on the premises.