Pk-yritysten keinot arvioida ja hallita kyberuhkia liiketoiminnan turvaamiseksi

Abstract

Tämä pro gradu -tutkielma tarkastelee, miten pienet ja keskisuuret yritykset (pk-yritykset) arvioivat kyberhyökkäysten vaikutuksia liiketoimintaansa. Tutkimus yhdistää kirjallisuuskatsauksen ja laadullisen empiirisen aineiston, joka on kerätty puolistrukturoitujen asiantuntijahaastattelujen avulla. Tutkimuksen tavoitteena on ymmärtää, millaisia vaikutuksia erityyppisillä kyberhyökkäyksillä, kuten tietojenkalastelulla, kiristysohjelmilla ja palvelunestohyökkäyksillä on pk-yritysten talouteen, operatiiviseen toimintaan ja maineeseen, sekä miten näitä vaikutuksia pyritään arvioimaan ja hallitsemaan käytännössä. Haastatteluiden perusteella vaikutusten arviointi pk-yrityksissä on usein hajanaista ja perustuu enemmän kokemukseen kuin systemaattisiin malleihin tai viitekehyksiin. Erityisesti tietojenkalasteluhyökkäykset nähtiin merkittävinä riskeinä, joiden torjunta vaatii panostusta työntekijöiden koulutukseen ja kyberturvallisuuskulttuurin kehittämiseen. Tutkielma korostaa myös NIST (National Institute of Standards and Technology) kyberturvallisuuskehikon tarjoamia mahdollisuuksia pk-yritysten arviointikäytäntöjen jäsentämisessä ja parantamisessa. Lopuksi esitetään suosituksia, joiden avulla pk-yritykset voivat kehittää kykyään arvioida, hallita ja toipua kyberhyökkäysten seurauksista tehokkaammin.