Pk-yrityksen tietoturvan kehittäminen tietoriskianalyysia käyttäen

Abstract

Opinnäytetyön tarkoituksena oli tutkia suomalaisten pienten ja keskisuurten yritysten tietoturvan kehittämistä. Tutkimus toteutettiin case-yritykselle, jossa työskentelee kuusikymmentä henkeä. Case-yritystä ei esitellä tarkemmin tutkimuksessa. Tutkimuksen tavoitteena oli selvittää, kuinka pk-yrityksissä voisi kehittää tietoturvaa tietoriskien tunnistamisen ja arvioinnin kautta.

Työn teoriaosuudessa käsittellään tietoturvaa, riskejä, riskien hallintaa ja tietoriskien arviointia. Teoreettisen osan tavoiteena on selvittää tietoturvan määrite, sen osa-alueet, suunnittelu, hallinnointi ja tietoriskien arvioinnin lähestymistavat sekä riskienhallinta osana tietoturvallisuutta.

Tutkimus toteutettiin syksyllä 2010 kvalitatiivisena kyselylomakkeen tukemana haastatteluna. Haastateltavina olivat case-yrityksen johto ja muut avainhenkilöt - yhteensä kymmenen henkilöä.

Tutkimuksen tuloksena voidaan osoittaa, että tietoturvan kehittäminen tulisi huomioida osana liiketoimintaa pk-yrityksissä. Keskitetty, järjestelmällinen ja liiketoimintaan sidottu tietoturvan hallinta parantaa yrityksen tietoturvaa ja tukee samalla liiketoiminnan kannattavuutta, kasvua ja laatutoimintaa. Tukimuksen case-yrityksen toiminnassa ilmeni useita tietoturvan kehityskohteita, joiden keskeisin syy oli keskitetyn tietoturvan kehittämisen ja hallinnan puute. Case-yrityksen suurimmat haasteet tietoturvan kehittämisessä ja hallinnassa olivat organisaation sisäisessä tiedottamisessa ja työtehtävien edellyttämän koulutuksen puutteellisuudessa.

The purpose of this thesis was to develop and apply Information Security in Finnish small and medium sized enterprises. The analysis was made for a case company, with 60 employees. The name of the company remains confidencial in this analysis. The objective of this analysis was to find out how information security should be developed in small and medium sized enterprise, in terms of information risk analyses and risk assessment tools.

The theoretical frames of references are processed information security, risks, risk management and approach methods of information security risks. The aim was to analyze information security concepts, districts, management, approach method of information security risks and risks management as parts of information security The empirical study was conducted in autumn of 2010 as a qualitative inquiry via checklists and interviews. The study was focused on case company management including company key personnel. 10 persons participated in the survey.

Results from the empirical study indicated that developing of Information Security should be assessed as a part of the business in small and medium sized companies. The study demonstrated that centralized managed and organized Information Security management, which is tied up on daily business, is profitable through increased efficiency and as increased level of Information security. The study exposed several Information Security development needs and vulnerabilities in the case company. These development needs and vulnerabilities were mainly caused by lack of centralized management of Information security development and management. Major challenges for the case company were poorly organized internal communication and the management's lack the required knowledge to successfully perform the duties required for their positions.