Pilvipalveluiden tietoturva : standardit ja viitekehykset sekä erityyppisen tiedon suojaaminen - Räsänen, Iiro (2021)
Tämän pro gradu -tutkielman tarkoituksena oli tutkia pilvipalveluiden tietoturvaa käsitteleviä standardeja ja viitekehyksiä sekä niiden noudattamista erityyppisen tiedon näkökulmasta. Tietoturvan tasoa on hyvin vaikea arvioida ilman tiedossa olevaa käyttötapausta, joten vaatimusten noudattamisen selvittäminen eri tietotyyppien näkökulmasta on käytännön ongelma, johon tällä tutkielmalla pyrittiin vastaamaan. Tutkielman teoriaosuus toteutettiin kirjallisuuskatsauksena, jonka tarkoitus oli luoda teoreettinen pohja tutkielman empiiriselle osuudelle, sekä vertailla tietoturvastandardeja ja -viitekehyksiä. Tutkielman empiirisessä osuudessa tutkittiin, miten eri pilvipalveluntarjoajat noudattavat Pilvipalveluiden turvallisuuden arviointikriteeristön (PiTuKri) vaatimuksia eri tietotyyppien näkökulmasta. Tietotyyppejä tässä tutkielmassa olivat liiketoimintatieto, viranomaisen salassa pidettävätieto, henkilötieto ja turvallisuusluokiteltu tieto. Tutkimus toteutettiin laadullisena tutkimuksena ja pääasiassa dokumenttianalyysina, jota onnistuttiin tukeman myös yhdellä teemahaastattelulla. Yhtenä keskeisenä tuloksena todettiin, että tietoturvastandardit ja –viitekehykset noudattavat melko yhdenmukaisia rakenteita ja esitystapoja. PiTuKrin havaittiin soveltuvan parhaiten erityyppisen tiedon suojaamisen arviointiin. Lisäksi keskeisenä tuloksena tutkielman empiirisessä osuudessa havaittiin, että pilvipalveluntarjoajat noudattavat PiTuKrin vaatimuksia pääosin hyvin, kun vaatimustenmukaisuutta tarkastellaan liiketoimintatiedon tai salassa pidettävän tiedon näkökulmasta. Henkilötietojen ja turvallisuusluokiteltujen tietojen näkökulmasta rajoitteet tietojen käsittelyn sijaintiin ja pilvipalveluntarjoajaan liittyen havaittiin vaatimustenmukaisuuden kannalta haastaviksi. Keskeisenä johtopäätöksenä tehtiin se, että arkaluonteisen tiedon suojaamisessa pilvipalveluympäristössä korostuvat salaaminen, käsiteltävän tiedon sijainti sekä lainsäädäntöjohdanneiset riskit. Näihin asioihin PiTuKri ottaa kantaa muita viitekehyksiä selkeämmin, mutta pilvipalveluntarjoajat eivät kovinkaan helposti pysty osoittamaan vaatimustenmukaisuutta eri tietotyyppien tapauksessa. Tutkielma toteutettiin toimeksiantona suunnittelutoimisto Huld Oy:lle, joka hyödyntää tutkimustietoa asiantuntijatehtävissään asiakkaiden kysynnän kasvaessa pilvipalveluinfrastruktuurin hyödyntämisen suhteen.