Strategic cybersecurity analysis

Kyberturvallisuudessa hyökkääjällä on oletuksena etulyöntiasema ja puolustajan tehtävänä on lähinnä reagoida. Toisaalta kyberturvallisuutta ei voida pitää enää pelkästään teknisenä haasteena, vaan sillä on aikaisempaa suurempi strateginen ja geopoliittinen rooli, vaikuttaen jopa kansalliseen turvallisuuteen. Pääosin reagoiva ja tekninen kyberturvallisuus ei kykene vastaamaan yksinään tulevaisuuden haasteisiin, vaan hyökkääjän etulyöntiasema tulisi saada siirrettyä puolustajalle. Haastava tavoite voi olla saavutettavissa strategisella analyysillä, joka kykenee tukemaan ennakoivaa ja tietoon perustuvaa kyberturvallisuuden päätöksentekoa. Tämä pro gradu -tutkimus määrittelee kyberturvallisuuden strategisen analyysin, esittelee analyysissä käytettävän mallin sekä arvioi miten analyysin tuloksia voidaan hyödyntää päätöksenteossa. Kyberturvallisuuden strategisen analyysin malli käsittää kyberuhkan, kohteena olevan informaatiojärjestelmän, kybertilan sekä näiden välisen vuorovaikutuksen. Mallin avulla kyetään tunnistamaan päätöksentekoa varten kyberturvallisuuden kehittämistarpeet ja resurssien priorisointi.The generally accepted assumption is that offensive actions have an advantage in cyberspace, and the defender's role is to react. Furthermore, cybersecurity is no longer only a technical discipline, but it is evolving towards a strategic and geopolitical concept, also impacting national security. Reactive and purely technical cybersecurity is not valid anymore. The advantage of an attacker should be changed to the defender. This challenging objective may be achieved with strategic analysis supporting proactive cybersecurity decisions. This master's thesis determines the strategic analysis of cybersecurity, presents the model for cybersecurity analysis, and assesses how the analysis results can be utilized in cybersecurity decision-making. The strategic cybersecurity analysis model includes cyber threats, target information systems, cyberspace, and their interactions. The model enables identifying requirements for cybersecurity development and resource allocation for the decision-makers