Assessment and improvement of information system security controls for company X

Abstract

With the transfer of sensitive information through a borderless and vulnerable cyber world information security has become vitally important to businesses. Companies now depend upon information systems to conduct routine, important and critical business processes and protection of the underlying systems is crucial to their success. Information systems are subject to threats that can seriously affect business operations, organisational assets and reputation by exploiting vulnerabilities which can compromise the confidentiality, integrity and/or availability of processed and transmitted information.

Company X commissioned this research project to investigate the status of their information systems and identify, present and discuss improvements. By understanding the current company procedures in complying with international standards, binding contractual obligations and customer specific requirements it could be established how this has influenced the development of the information systems security to date and how security could be improved to meet future needs. An appropriate industry standard information security risk assessment (ISRA) framework for developing improved information system security controls was researched and selected.

The practical element of the research project used the OCTAVE Allegro ISRA to interrogate the performance of selected areas of the company’s existing IT infrastructure to collect data and understand how the component parts of the system assisted daily business functions and the impact on the business should their failure occur. From the results of the ISRA a development plan was proposed to assist the company with implementing information system security control improvements and a company-wide information security awareness training programme.

The results of the research project indicate that companies of a similar size and position to Company X should regularly reassess their IT information security by implementing one of the many readily available industry standard ISRA frameworks. The study also indicates that the analysis and selection of appropriate security controls for an information system is a critical task that can have major implications on the operations and assets of a company as well as the welfare of individuals who use, are in contact with, or are responsible for these systems.

Arkaluonteisen tiedon siirtyminen haavoittuvaan kybermaailmaan on osaltaan aikaansaanut sen, että tietoturvallisuudesta on tullut elintärkeä osa liiketoimintaa. Yritykset ovat riippuvaisia tietojärjestelmistä liiketoiminnassaan ja näin ollen niiden suojaus on keskeistä menestyksen takaamiseksi. Tietojärjestelmät ovat alttiita uhille, jotka saattavat vakavasti vaikuttaa yrityksen liiketoimintaan, kilpailuetuun sekä maineeseen. Haavoittuvuuksien hyväksikäyttö saattaa vaarantaa tiedon luotettavuuden, eheyden ja saatavuuden.

Yritys X antoi toimeksi tämän tutkimuksen tutkiakseen tietojärjestelmiensä tilan sekä esittääkseen tilanteeseen mahdollisia parannuksia. Yrityksen nykyisten käytäntöjen mukauttamisen tarve kansainvälisiin standardeihin, sopimusvelvoitteisiin ja asiakkaiden vaatimuksiin ovat olleet perustana tietojärjestelmäkehitykselle sekä ohjaavat mihin vastaisuudessa tulisi suunnata.

Tutkimuksen käytännön osiossa hyödynnettiin OCTAVE Allegro kehikkoa yrityksen ITinfrastruktuurin osa-alueiden toimivuuden arviointiin. Tietoa keräämällä pyrittiin ymmärtämään miten järjestelmän eri osiot edesauttoivat päivittäistä liiketoimintaa ja mitkä olisivat vaikutukset, mikäli niihin kohdistuisi häiriöitä. Riskikartoituksen tuloksena laadittiin ja esitettiin yritykselle suunnitelma tarvittavien tietoturvatoimien kehittämiseksi ja yrityksenlaajuisen tietoturvakoulutuksen järjestämiseksi.

Tutkimuksen tulokset osoittavat, että yrityksen X kokoluokan ja samalla tavalla asemoituneiden yritysten tulisi säännöllisesti arvioida tietojärjestelmänsä käyttäen saatavilla olevia riskikartoitusmenetelmiä. Tutkimus myös näyttää toteen, että tietojärjestelmän turvatoimien arviointi on kriittisen tärkeä toimenpide, jolla voi olla merkittäviä vaikutuksia yrityksen toiminnoille. Lisäksi asialla on vaikutusta myös tietojärjestelmistä vastuussa olevien ja tietojärjestelmiä käyttävien henkilöiden hyvinvoinnille.