Ulkoisten kyberturvallisuuden riskien arviointi finanssialan organisaatiossa - Takala, Niko (2019)
Riskienhallintaa ja riskien arviointia voidaan tarkastella useasta eri näkökulmasta ja sitä ohjaavat useat erilaiset tekijät. Ohjaaviksi tekijöiksi voidaan tunnistaa organisaation strategia, organisaatiokulttuuri, tietoturvapolitiikka sekä erilaiset riskienhallinnan mallit, kuten PMBOK, ISO31000 ja IRM. Näiden lisäksi tieto- ja kyberturvallisuuden prosesseja pyritään helpottamaan erilaisilla työkaluilla, kuten ISO27001, VAHTI ja Katakri. Riskienhallinnan mallit pitävät sisällään riskien arvioinnin, mutta käsittelevät arviointiprosessia hyvin pintapuolisesti. Riskien arvioinnin perustuminen arvioijan omien kokemusten ja ajatusten päälle pidetään jossain määrin ongelmallisena. Tutkimus toteutettiin toimeksiantona ja sen tarkoitus oli tarjota tukea riskien arvioinnin prosessin kehittämiseen. Tutkimuksessa pyrittiin paikantamaan toimeksiantajan riskien arviointiprosessin ongelmakohdat ja rakentamaan riskien arvioinnin malli niin, että sen voi yleistää käytettäväksi myös muihin organisaatioihin. Tutkimuksen tulokset osoittavat, että myös todennäköisyyksien ennustamiseen on mahdollista rakentaa sen uskottavuutta tukeva malli, joka ajan kuluessa tarjoaa vankan pohjan riskien arviointiprosessiin. Tutkimus toteutettiin kvalitatiivisena tapaustutkimuksena ja pääasiallinen empiirisen datan keräämiseen käytetty metodi oli kvalitatiivinen semi-strukturoitu haastattelu. Riskien arvioinnin mallista muodostui iteratiivinen malli, joka nojaa olemassa olevaan riskienhallinnan malliin. Mallin tavoitteena oli syventää riskienhallinnan henkilökunnan tietoa organisaation riskeihin liittyen ja sitä kautta intuition vaikutuksen vähentäminen riskien arvioinnissa.