Pilvipalvelujen tietoturvan sisäinen arviointi

Abstract

Tutkielman tavoite oli selvittää miten pilviteknologian ominaispiirteet vaikuttavat pilvipalvelun tietoturvan sisäiseen arviointiin ja soveltuuko sisäinen arviointi pilvipalvelujen tietoturvan arviointiin. Teoriaosuudessa taustoitettiin sisäisen arvioinnin tekijöitä sekä pilvipalvelujen tietoturvaa ja valittiin sisäisen arvioinnin viitekehys empiirisen datan analysointia varten. Tutkielman empiirinen osuus toteutettiin laadullisena tapaustutkimuksena, jonka tutkimusdata kerättiin ICT-palveluja valtionhallinnolle tuottavan viraston pilvipalveluiden asiantuntijoilta sekä sisäisiltä arvioijilta puolistrukturoiduilla haastatteluilla. Analyysin tuloksista kävi ilmi, että pilven ominaispiirteillä on merkittävä vaikutus moneen sisäisen arvioinnin vaikuttavuuden tekijään ja että viitekehys ei ota piirteitä huomioon riittävästi. Analyysin perusteella rakennettiin päivitetty sisäisen arvioinnin viitekehys, joka ottaa pilven ominaispiirteet paremmin huomioon. Tutkielma valaisee myös sisäisen arvioinnin kirjallisuudessa tunnistettuja aukkoja, kuten valmisteluvaihetta, toimeenpanovaihetta ja sisäisen arvioinnin suhdetta ulkoiseen arviointiin.