Käyttäjän vastuu organisaation tietojärjestelmien tietoturvallisuudessa

Abstract

Tämän tutkielman keskeisenä tavoitteena oli syventyä organisaation tietoturvaan erityisesti tarkastellen tietojärjestelmien käyttäjien vastuuta. Tutkimuksen päämääränä oli selvittää, kuinka organisaation tietoturvakäytänteet voivat tehokkaasti parantaa tietoturvaa ottamalla huomioon sosiaalisen manipulaation hyökkäystavat ja ihmisten toimintaa. Tietoturvan haavoittuvuudet organisaatiossa tulisi minimoida käyttämällä erilaisia tietoturvakäytänteitä ja -strategioita, jotka kattavat laajasti erilaiset tietojärjestelmien käyttäjien luomien riskit.

Tutkielma toteutettiin kirjallisuuskatsauksena, ja siihen sisältyi tieteellisten julkaisujen kartoitus Scopus-, Google Scholar- ja IEEE Xplore tietokannoista. Tutkimusongelmina olivat: Mikä on tietojärjestelmien käyttäjien vastuu organisaation tietoturvassa? ja Millaisia tietoturvamalleja ja -käytänteitä voidaan implementoida organisaatiossa vähentääkseen tietojärjestelmien käyttäjien aiheuttamia tietoturvariskejä ja parantaakseen organisaation tietoturvaa?

Tutkimuksen valossa korostui tarve ymmärtää tietojärjestelmien käyttäjien vastuut organisaation tietoturvassa sekä kehittää tehokkaita tietoturvamalleja ja -käytänteitä, jotka ohjaavat käyttäjiä kohti vastuullista toimintaa. Keskeisinä haasteina nousivat tietoturvakäytänteiden yleistettävyys ja ymmärrys siitä, että organisaation tietoturvan kannalta yksilöivät tekijät, kuten tietojärjestelmien käyttäjien tietoturvatietoisuus, koulutus ja tietoturvakäytänteiden käytännön läheisyys käyttäjilleen.

Tutkimustuloksissa selvästi korostui hyvien tietoturvakäytänteiden yksittäisiä tekijöitä, kuten koulutuksen tehokkuus, tietoturvatietoisuus organisaatiossa ja yksilöissä, organisaation tietoturvakäytäntöjen tarkoituksenmukaisuus ja ymmärrys tietoturvariskien uhista kaikilla organisaation tasoilla. Täydellistä yleistettävää mallia organisaatiolle ei tutkimuksen avulla löydetty, koska vaatimukset eri organisaatioissa oli tutkimuksen tulosten mukaan hyvin erilaisia riippuen organisaation tavoitteista ja rakenteesta. Tämä tutkimus sen sijaan erottelee tärkeimpiä yksittäisiä tekijöitä tietoturvamalleista ja tutkimus korosti niiden tärkeyttä organisaation tietoturvakäytäntöjen ja -strategian luomisessa.