ISO 27001 information security management standard’s implementation in software development environment : a case study - Ojalainen, Anniina (2020)
ISO 27001 -tietoturvastandardi ohjaa organisaatiot arvioimaan ja dokumentoimaan tietoturvaprosessejaan. Tietoturvastandardeja on kritisoitu pelkkien prosessien olemassaoloon keskittymiseen prosessien sisällöllisten seikkojen kustannuksella. Tämän Pro Gradu -tutkielman tarkoituksena on arvioida ISO 27001: n soveltuvuutta ohjelmistokehitysympäristöön ja sen vaikutusta työntekijöiden käyttäytymiseen ja kokemuksiin turvallisesta ohjelmistokehityksestä. Tutkielmassa havainnoitiin näitä ilmiöitä seuraavien tutkimuskysymysten avulla: "Kuinka työntekijät kokevat ISO 27001 -standardin käyttöönoton ohjelmistokehitysympäristössä?", "Millaisia ristiriitoja saattaa ilmetä ISO / IEC 27001 -standardivaatimusten ja päivittäisen työn välillä?" ja "Kuinka kohdeyksikkö käsittelee ISO / IEC 27001 -standardin vaatimusten ja päivittäisen työn välisiä ristiriitoja?". Tämä tutkielma koostettiin kirjallisuuskatsauksesta ja empiirisestä tutkimuksesta, joka toteutettiin laadullisena tapaustutkimuksena. Tutkimuksen data kerättiin tekemällä semistrukturoituja haastatteluja ICT-alalla toimivassa organisaatiossa. Kohdeorganisaatio oli ostanut ohjelmistokehitysyrityksen, joka oston jälkeen sulautettiin organisaatioon ohjelmistokehitysyksiköksi. Tutkimuskysymyksiä havainnoitiin ohjelmistokehitysyksikössä kontekstualisointiviitekehyksen ja eri haastatteluteemojen kautta. Teemat käsittelivät kohdeyksikön tietoturvakulttuurin ja käytäntöjen muutosta, ISO 27001:n jalkauttamisprosessia ja työntekijöiden kokemuksia prosessista ja muutoksista. Tutkimuksen tulokset osoittavat, että ISO 27001 voi vaikuttaa työntekijöiden asenteisiin ja tietoturvakäytänteiden noudattamiseen. Toisaalta ISO 27001 aiheuttaa ristiriitoja standardin vaatimusten ja organisaation käytännön vaatimusten välillä. Ristiriidat liittyivät erityisesti koodikatselmoinnin ja kurinpitotoimien dokumentoitiin. Koodikatselmoinnin haasteet ratkaistiin tunnettujen haavoittuvuuksien arviointimekanismeihin nojaten. Kurinpitotoimiin liittyvää ristiriitaa ei saatu täysin ratkaistua: organisaation oli vastattava standardin osittain soveltumattomiin vaatimuksiin, mutta auditoinnin jälkeen kurinpitotoimenpiteet ja niistä kommunikointi ovat jääneet taka-alalle. Tutkimuksen tulokset osoittavat, että kuten projekteissa, myös tietoturvastandardin jalkauttamisessa työntekijöiden osallistuminen, johdon tuki ja riittävä viestintä ovat ratkaisevan tärkeitä työntekijöiden positiivisten kokemusten lisäämiseksi.