Julkisen hallinnon tietoturvallisuuden arviointikriteeristö tietoturva-arviointien välineenä

Abstract

Tutkimuksessa pyrittiin selvittämään, miten Julkri eli Julkisen hallinnon tietoturvallisuuden arviointikriteeristö toimii tietoturva-arviointien välineenä ja miten se suhteutuu aiemmin julkaistuihin tietoturvallisuuden hallintajärjestelmästandardeihin ja tietoturvallisuuden arviointikriteeristöihin.

Tutkimus toteutettiin kirjallisuuskatsauksena aiempaan tietoturvallisuuden hallintajärjestelmiin sekä tietoturvallisuuden sääntelyyn liittyvään tutkimukseen, Julkisen hallinnon tietoturvallisuuden arviointikriteeristöön sekä sen taustalla vaikuttavaan lainsäädäntöön. Julkria vertailtiin muihin kansallisiin ja kansainvälisiin tietoturvallisuuden arviointikriteeristöihin ja niissä esitettyihin vaatimuksiin.

Tutkimuksen tuloksena syntyi työkalu, jossa kullekin kriteeristön vaatimukselle on määritetty sen arviointiin soveltuvat hallinnolliset ja tekniset todennusmenetelmät, joilla vaatimustenmukaisuus voidaan luotettavasti todentaa osana ulkopuolisen tahon suorittamaa riippumatonta arviointia.

The research aimed to find out how Julkri (the public administration's infor-mation security evaluation criteria) works as a tool for information security evaluations and how it relates to previously published information security management system standards and information security evaluation criteria.

The research was carried out as a literature review of previous research related to information security management systems and information security regulation. Julkri assessment criteria and the legislation that affects it were also studied. Julkri was compared to other national and international data se-curity evaluation criteria and the requirements presented in them.

As a result of the research, a tool was created, in which the administra-tive and technical verification methods suitable for evaluation of each re-quirement of the criteria have been determined. These verification methods can be used to reliably verify compliance as part of an independent evaluation performed by an external party.