Inhimillisten tekijöiden vaikutus ISO/IEC 27001 -standardin kontrolleihin kyberturvallisuuslain näkökulmasta
799.26 KB
avoin
Julkaisu on tekijänoikeussäännösten alainen. Teosta voi lukea ja tulostaa henkilökohtaista käyttöä varten. Käyttö kaupallisiin tarkoituksiin on kielletty.
Lataukset25
Pysyvä osoite
Verkkojulkaisu
DOI
Tiivistelmä
Yksi keskeisimmistä EU:n kyberturvallisuussäädöksistä on Kyberturvallisuusdirektiivi NIS2, jonka vaatimukset on siirretty Suomen lainsäädäntöön Kyberturvallisuuslaissa. Laki määrittelee ne yhteiskunnan toimintojen kannalta kriittiset toimijat, joita sen velvoitteet koskevat. Organisaatiot voivat käyttää apuna ISO 27001 -standardia, joka määrittelee vaatimukset tietoturvallisuuden hallintajärjestelmälle. Tämä dokumentti velvoittaa määrittelemään organisaation tietoturvavaatimukset ja niitä uhkaavat riskit sekä riskienkäsittelyprosessit. Näiden toteuttamiseen on valittava tietoturvakontrollit, joita on listattu standardissa.
Edellä kuvatun prosessin toteuttajana on pääasiassa ihminen. Tässä työssä tarkastellaan, mitkä inhimilliset tekijät voivat vaikutta kyberturvallisuusriskeihin ja voivatko nämä inhimilliset tekijät vaikuttaa tietoturvakontrollien toteutumiseen. Lisäksi selvitetään inhimillisten tekijöiden ja kontrollien mahdollinen yhteys ja se, voisiko tämä mahdollinen yhteys tukea kyberturvallisuusriskien hallintaa.
Kirjallisuuskatsauksen perusteella tunnistettiin keskeiset inhimilliset tekijät, jotka voivat vaikuttaa kyberturvallisuusriskien toteutumiseen. ISO 27001 -standardin kontrolleista valittiin ne, joiden toteutumiselle jokin tunnistetuista inhimillisistä tekijöistä voi aiheuttaa riskin. Inhimillisten tekijöiden ja kontrollisen välille saatiin yhteyksiä, jolloin niistä voitiin muodostaa käsitteellinen viitekehys.
Viitekehyksen perusteella kuormitustekijöillä, kuten kiireellä ja stressillä, voitiin todeta olevan laaja-alainen vaikutus kontrollien toteutumiseen ja siten kyberturvallisuusriskien kasvamiseen. Lähes yhtä suuri vaikutus todettiin olevan myös osaamiseen ja riskitekijöihin liittyvillä inhimillisillä tekijöillä. Viitekehyksellä todettiin olevan yhteys kyberturvallisuuslakiin. Viitekehys voi toimia apuna lain velvoitteiden täyttämisessä mahdollistamalla inhimillisten tekijöiden tunnistamisen ennakolta ja huomioimisen riskienhallinnassa.
One of the key EU cybersecurity regulations is the NIS2 Directive, which have been transposed into Finnish legislation through the Cybersecurity Act. The Cybersecurity Act defines the critical entities essential to the functioning of society to which its obligations apply. Organizations can utilize the ISO 27001 standard, which specifies requirements for an information security management system. This document requires defining the organization’s information security requirements and the risks threatening them, as well as the risk management processes. To implement these, information security controls must be selected, which are listed in the standard.
The implementation of the process described above is primarily carried out by humans. This thesis examines which human factors may influence cybersecurity risks and whether these factors can affect the implementation of controls. In addition, the thesis explores the potential relationship between human factors and controls, and whether such a relationship could support the management of cybersecurity risks.
The key human factors that may influence cybersecurity risks were identified through a literature review. The controls chosen for analysis were selected from among the ISO 27001 controls based on whether their implementation could be jeopardized by one or more of the identified human factors. Connections between human factors and controls were identified, enabling the development of a conceptual framework.
Based on this framework, workload-related factors, such as time pressure and stress, have the most extensive impact on the implementation of controls and, consequently, on the increase of cybersecurity risks. Nearly as significant an impact was also attributed to human factors related to competence and risk-related behavior. The framework was found to have a connection to the Cybersecurity Act. The framework can serve as a tool in fulfilling the obligations of the law by enabling the identification of human factors in advance and their consideration in risk management.