Tuotannollisten IT-ympäristöjen haasteet kyberuhkien hallittavuuden näkökulmasta

Abstract

Tuotannollisten ympäristöjen toiminnan tehostaminen ja digitalisointi ovat avainasemassa yrityksien kilpailukyvyn ja toiminnan kannalta. Tuotannon ongelmaton toiminta on jokaisen yrityksen elinehto, ja tästä syystä erilaisia tuotantoympäristön häiriöitä pyritään minimoimaan. Digitalisaation myötä tuotannossa toimiva informaatioteknologia on muodostanut toiminnalle mahdollistavat tekijät, mutta samanaikaisesti on erittäin kriittisessä roolissa yrityksen menestymisen kannalta. Tässä pro gradu -tutkielmassa tutkitaan tuotannollisten IT-ympäristöjen haasteita kyberuhkien hallinnan näkökulmasta. Tutkimuksessa vastataan seuraaviin tutkimuskysymyksiin: ”Millaisia haasteita tuotannon IT-ympäristössä ilmenee kyberuhkien näkökulmasta?” sekä ”Miten yritykset ovat varautuneet tuotannon IT-ympäristön kyberuhkiin?”. Tutkimus koostuu kirjallisuuskatsauksesta, joka luo pohjan tutkimuksessa toteutettavalle laadulliselle tapaustutkimukselle. Oleellista organisaation kriittisen infrastruktuurin ja IT-ympäristön turvaamiseksi ja kyberuhkien ehkäisemiseksi on tunnistaa mahdolliset riskit sekä toteuttaa tarvittavat kontrollit riskien pienentämiseksi. Täysin riskitöntä tuotantoympäristöä on todellisuudessa erittäin haasteellista rakentaa, joten organisaation tulee myös tiedostaa mahdolliset uhkakuvat sekä niiden toteutuessa myös seuraamukset. Organisaatioiden tulee kyetä sitouttamaan vastuulliset henkilöt vastaamaan näiden kontrollien toteutumisesta, mutta samalla osallistamaan kaikki organisaation henkilöt toteuttamaan laadittuja tietoturvaohjeistuksia. Myös yrityksen johto ja vastuulliset henkilöt tulee kyetä sitouttamaan tietoturvatavoitteisiin sekä lopulta myös vastaamaan tietoturvatason ylläpitämisestä ja kontrolloinnista. Mahdollinen kyberhyökkäys voi pahimmillaan vaikuttaa tuotannolliseen toimintaan kriittisesti, jolloin organisaation liiketoiminnalliset tappiot voivat kasvaa hetkessä todella merkittäväksi. Pahimmissa tapauksissa seuraamukset voivat vaarantaa myös ihmishenkiä. Niinpä organisaation tuotantoympäristö, it-ratkaisut, prosessit sekä henkilöstö muodostavat kriittisen kokonaisuuden, jota tulee kyetä hallitsemaan. Organisaatiot voivat hyödyntää hallinnassa erilaisia viitekehyksiä, standardeja tai teorioita, mutta lopulta tuotantoympäristö on poikkeuksellinen kokonaisuus, jota on hankalaa yleistää sen uniikin rakenteen vuoksi. Tästä syystä hallintaan tulee käyttää resursseja ja samalla muodostaa organisaatio- ja ympäristökohtaisia kontrolleja ja toimintatapoja.

Streamlining and digitizing the operations of production environments are key to companies' competitiveness and operations. Problem-free operation of production is the lifeblood of every company, and for this reason various disturbances in the production environment are tried to be minimized. With digitization, the information technology that works in production has formed the enabling factors for the operation, but at the same time it plays a very critical role in terms of the company's success. This master's thesis examines the challenges of production IT environments from the perspective of cyber threat management. The research answers the following research questions: "What kind of challenges appear in the production IT environment from the point of view of cyber threats?" and "How are companies prepared for cyber threats in the production IT environment?". The research consists of a literature review, which creates the basis for the qualitative case study implemented in the research. To secure the organization's critical infrastructure and IT environment and to prevent cyber threats, it is essential to identify potential risks and implement the necessary controls to reduce the risks. It is actually very challenging to build a completely risk-free production environment, so the organization must also be aware of possible threats and, if they occur, also the sanctions. Organizations must be able to bind the responsible persons to be responsible for the implementation of these controls, but at the same time involve all the persons in the organization in implementing the prepared information security guidelines. The company's management and responsible persons must also be able to commit to information security goals and ultimately also be responsible for maintaining and controlling the information security level. At worst, a possible cyber-attack can critically affect the production activities, in which case the organization's business losses can become significant in an instant. In the worst cases, the consequences can also endanger human lives. Therefore, the organization's production environment, IT solutions, processes and personnel form a critical entity that must be managed. Organizations can use different frameworks, standards, or theories in management, but ultimately the production environment is an exceptional entity that is difficult to generalize due to its unique structure. For this reason, resources must be used for management and, at the same time, organizational and environment-specific controls and procedures must be established.