Tietoturvavaatimusten toteutuminen julkishallinnon sovelluskehitysprojektissa

Organisaatioiden kohdatessa yhä enemmän tietoturvauhkia ja samanaikaisesti yritysten riippuvuuden digitaalisista palveluista ja järjestelmistä kasvaessa on hyvä tietoturva yhä tärkeämpää. Pelkän organisaatiolle tärkeän tiedon suojaaminen ei enää nykyaikaisessa verkottuneessa yhteiskunnassa riitä, sillä tietoja käsitellään lähes poikkeuksetta jonkin sovelluksen kautta. Nykyaikaisten sovellusten tietoturvan täytyy kestää ulkopuolisia hyökkäyksiä ja tämän takia on tärkeää tuoda tietoturva mukaan jo sovelluskehitysvaiheessa. Työn toimeksiantajana toimi suomalainen teknologiayritys Tietoevry, joka tarjoaa digitaalisia palveluja ja ohjelmistoja julkisen ja yksityisen sektorin asiakkailleen. Työn toimeksiantona oli perehtyä asiakasprojektissa oleviin VAHTI-sovelluskehityksen tietoturvaohjeen tietoturvavaatimuksiin ja tutkia täyttyvätkö kaikkien vaatimusten ehdot projektissa vai ei. Tavoitteena oli saada selvyys projektiin asetettujen tietoturvavaatimusten toteutumisesta ja luoda ratkaisuehdotukset vaatimuksille, jotka projektissa eivät tällä hetkellä toteudu. Tutkimus oli kvalitatiivinen tutkimus, joka toteutettiin perehtymällä projektiin asetettuihin tietoturvavaatimuksiin, käymällä vaatimukset läpi arkkitehdin ja tietoturvavastaavan kanssa ja luomalla ratkaisuehdotukset, jotka täyttivät toteutumattomien vaatimusten ehdot. Työn tuloksista asiakas sai tärkeää tietoa sovelluskehitysprojektin tietoturvavaatimusten nykytilasta. Tuloksista ilmenee kaikkien tietoturvavaatimusten tilat ja myös tieto siitä, kuinka tietoturvaa pitäisi parantaa, jotta kaikki tietoturvavaatimukset täyttyisivät. Keskeisinä löydöksinä tuli esiin mm. dokumentaation ja suunnitelmien puutteellisuus. Työstä saaduista tuloksista voidaan päätellä, että asiakasprojektin tietoturva on varsin hyvällä tasolla ottaen huomioon, että projekti on vielä kehitysvaiheessa. Toteutumattomia vaatimuksia on vain muutamia eivätkä ne ole projektin tietoturvan kannalta kriittisiä