Tietoturvallisuuden hallinta kunnissa - prosessi ja sen vaiheet - Laine, Elias (2023)
Tutkimuksessa tarkastellaan pienten ja keskisuurten kuntien tietoturvallisuuden hallintaprosessia sekä tiedonhallintalain vaatimuksia. Tutkimuksen tavoitteena oli selvittää pienten ja keskisuurten kuntien tietoturvallisuuden hallinnan taso ja siihen vaikuttavat tekijät. Tämän pohjalta tutkimuksessa rakennettiin ISO27001:n pohjautuva malli tietoturvallisuuden hallintaprosessista kunnille. Esiteltävä malli on yhdenmukaistava ja kokoava, joka toimii pohjana organisaatiokohtaisen mallin kehittämiselle. Tutkimus toteutettiin kirjallisuuskatsauksena ja teemahaastatteluna. Tutkimuksen viitekehyksenä toimi ISO27001- standardi. Kirjallisuuskatsauksessa pureuduttiin tietoturvallisuuden hallintaprosessiin ja sen vaiheisiin. Kirjallisuuskatsauksen aineistoa kerättiin tutkimukseen kansallisesta lainsäädännöstä ja ohjeista sekä kansainvälisistä ohjeista ja standardeista. Teemahaastattelut toteutettiin kolmen eri kunnan tietoturvaan perehtyneen henkilön haastatteluna. Haastatteluilla pyrittiin saamaan kattava kuvaus tietoturvallisuuden hallinnasta ja tiedonhallintalain toteutumisesta pienissä ja keskisuurissa kunnissa. Tutkimuksen perusteella tietoturvallisuuden hallinta ja siihen vaikuttavat tekijät vaihtelivat kunnittain. Tietoturvallisuuden hallintaa ei kaikilta osin ollut toteutettu kunnissa kokonaisuutena vaan yksittäisinä toimenpiteinä. Tutkimuksen perusteella kuntien tietoturvallisuuden hallintaan vaikuttivat osaltaan käytettävissä olevat resurssit sekä ohjauksen hajanaisuus. Tiedonhallintalain vaatimuksien osalta tutkimukseen osallistuneet kunnat olivat tehneet toimenpiteitä, mutta kokonaisuudessaan vaatimuksiin ei ollut päästy. Tiedonhallintalain vaatimuksien täyttämiseksi tutkimukseen osallistuneet henkilöt toivoivat ohjausta ja yhdenmukaisia toimintamalleja vaatimusten toteuttamiseksi.