A method framework of integrating information security into the enterprise architecture

Tietoturvan sisällyttämiseksi osaksi kokonaisarkkitehtuuria on kehitetty useita menetelmiä ja malleja. Tarjolla olevat mallit on kuitenkin usein koettu raskaiksi ja työläiksi käyttää, eivätkä ne kata kaikkia kokonaisarkkitehtuurin osa-alueita. Jotta tietoturva olisi mahdollista integroida kokonaisarkkitehtuuriin sen kaikille osa-alueille, yhtenä mahdollisena lähestymistapana on esitetty tietoturvan integroimista kokonaisarkkitehtuuriperiaatteista käsin. Tässä tutkielmassa raportoidaan suunnittelutieteellisellä menetelmällä kehitetty menetelmäkehys, jonka avulla voidaan luoda kokonaisarkkitehtuurin tietoturvaperiaatteita. Tutkimusaineistona on käytetty valmiita asiantuntijahaastatteluja, joissa 26 haastateltavaa vastasi Suomen julkisen hallinnon kokonaisarkkitehtuurin tilaa koskeviin kysymyksiin. Näistä poimittiin tarkasteltavaksi tietoturvaa koskevat osiot, joita käytettiin yhdessä kirjallisuuslähteiden kanssa määrittelemään lähtökohtia menetelmäkehyksen suunnittelulle. Menetelmäkehyksen luomisessa on hyödynnetty sekä tietoturvaperiaatteiden että kokonaisarkkitehtuuriperiaatteiden luomisen metamalleja ja se on mallinnettu ArchiMate-notaatiolla. Menetelmäkehyksen arvioimiseksi toteutettiin yhdeksän asiantuntijahaastattelua, joiden perusteella kehys muokattiin lopulliseen muotoon. Menetelmäkehyksen avulla tietoturva voidaan integroida osaksi kokonaisarkkitehtuurityötä jo työn varhaisessa vaiheessa, jolloin vältetään hankalaksi ja työlääksi koettu tietoturvavaatimusten ja kokonaisarkkitehtuurityön yhdistäminen.