Internet-palveluntarjoajan tietoturva

Internet on levinnyt viime vuosina voimakkaasti ja samalla sen tietoturvallisuus on noussut erittäin tärkeäksi tekijäksi. Olen tietoturvallisuuteen liittyvien työtehtävieni ohessa kirjoittanut keräämääni teoriatietoa ja tekemiäni toimenpiteitä diplomityön muotoon. Diplomityön tavoitteena on antaa yleiskuva internet-palveluntarjoajan tietoturvallisuudesta ja sen hallinnasta. Työssä käsitellään tietoturvallisuuskäsitettä, hallinnollista ja teknistä tietoturvallisuutta sekä tietoturvallisuuden taloudellisia vaikutuksia. Tietoturvallisuus on yrityksen henkilökunnan ja teknisten ratkaisujen yhteistoimintaa yrityksen tietojen turvaamiseksi sekä yrityksen sisäisten että yrityksen ulkopuolisten uhkien varalta. Tietoturvallisuus on niin vahva kuin sen heikoin lenkki, joten tietoturvallisuuden huolehtimiseen tarvitaan koko yrityksen henkilöstön panosta. Työn tavoitteena on parantaa kohdeyrityksen tietoturvallisuutta ja tuoda esiin ne heikot kohdat, joiden parantamiseen täytyy saada yrityksen johdolta lisää resursseja. Aukotonta turvallisuutta ei kannata tavoitella, vaan yrityksen tulee pyrkiä minimoimaan tietoturvallisuuden kokonaiskustannukset.

Tietoturvaohjelmiston kehitys ja immateriaalioikeus

Diplomityö kartoittaa yleisesti tietoturvaohjelmistokehityksessä huomioitavia immateriaalioikeudellisia näkökohtia ja selvittää yksityiskohtaisemmin niiden soveltamista ja vaikutusta erään tietoturvakomponentin suunnittelussa ja toteutuksessa Soneran TradeXpress-ohjelmistoon. Kyseinen komponentti mahdollistaa muun muassa autentikaation ja salauksen käytön sähköisessä tiedonsiirrossa. Työ käsittää myös perustiedot tietoturvasta ja TradeXpress-ohjelmistosta, jotta komponentin kehitystä käsittelevän osuuden ymmärtäminen olisi helpompaa. Immateriaalioikeutta käsitellään vain niiltä osin, joilla on vaikutusta tietokoneohjelmiin ja ohjelmistotuotantoon. Näitä ovat muun muassa tekijänoikeus, patenttioikeus ja tavaramerkkioikeus. Diplomityön tuloksena syntyi selvitys immateriaalioikeudesta ja sen vaikutuksesta ohjelmistotuotantoprosesseihin.

Tietoturvan tila pohjoiskarjalaisissa yrityksissä

Tietoturva on yksi yrityksen tärkeimpiä turvallisuuteen liittyviä asioita. Tietoturva voidaan jakaa kahdeksaan eri osa-alueeseen: hallinnolliseen turvallisuuteen, henkilöstöturvallisuuteen, tietoaineistoturvallisuuteen, käyttöturvallisuuteen, fyysiseen turvallisuuteen, laitteistoturvallisuuteen, ohjelmistoturvallisuuteen ja tietoliikenneturvallisuuteen. Yrityksen tulisi huomioida jokainen osa-alue, jotta sen tietoturva olisi mahdollisimman hyvä. Jos jokin osa-alue on jätetty vähemmälle huomiolle, se heijastuu heti yrityksen kokonaisturvallisuuteen. Tämä työ selvittää, mitä asioita yrityksen tulisi ottaa huomioon, jotta sen tietoturva olisi kunnossa. Työn tarkoituksena on kartoittaa, millaista osaamista työelämä kaipaa tietoturvan varalle Pohjois-Karjalan alueella. Työ keskittyy yritysten tietoturva-asioihin johdon ja organisoinnin näkökulmasta. Tutkimusosuudessa esitellään selvitys, millainen on tietoturvan tila pohjoiskarjalaisissa yrityksissä. Tutkimus toteutettiin kvantitatiivisena kyselytutkimuksena. Tutkimukseen vastasi 32 yritystä Pohjois-Karjalan alueelta. Tutkimus osoittaa, että yritykset ovat huomioineet parhaiten ohjelmistoturvallisuuden ja laitteistoturvallisuuden, mutta parannusta kaipaisivat etenkin hallinnollinen turvallisuus ja henkilöstöturvallisuus. Yritysten tietoturva on tasoltaan yhtä hyvä kuin on sen heikoin lenkki. Tästä syystä voidaan sanoa, että yritysten tieto-turvan tila ei ole Pohjois-Karjalassa kovinkaan hyvä.

Software methods for HTML files protection in local / corporate networks: review and implementation

Tässä luomistyössä on esitetty tutkimus informaation suojaamisen menetelmien osalta paikallisissa ja ryhmäkuntaisissa verkoissa. Tutkimukseen kuuluu nykyaikaisten kryptagraafisten järjestelmien, Internetin/Intranetin ohjelmointikeinojen ja pääsyoikeuksien jakelumenetelmien analyysi. Tutkimusten perusteella on laadittu ohjelmiston prototyyppi HTML-tiedostojen suojaamista varten. Ohjelmiston laatimisprosessi on sisältänyt vaatimusten, järjestelmän ja suojelukomponenttien suunnittelun ja protytyypin testauksen. Ohjelmiston realisoinnin jälkeen kirjoitettiin käyttöohjeet. Ohjelmiston prototyyppi suojaa informaatiota HTML-tiedoston koko käytön aikana ja eri yrityksissä voidaan käyttää sitä pienien laajennuksien jälkeen.

PCI DSS -standardi ja sen vaatimukset kortinhaltijoiden tietojen suojaamiselle

Payment Card Industry Data Security Standard (PCI DSS) on korttiyhtiöiden kehittämä kansainvälinen tietoturvastandardi, jonka tarkoituksena on parantaa kortinhaltijoiden tietoja käsittelevien järjestelmien tietoturvaa. Standardissa määritellään vaatimukset tietojen turvalliselle tallennukselle ja käsittelylle, testaus- ja tarkastusmenetelmät sekä tarkastusvaatimukset ja tarkastuksia suorittavien tahojen sertifiointi. Standardi koskee kaikkia standardin hyväksyneiden maksukorttiyhtiöiden korttitietoja käsitteleviä tahoja. Standardin ylläpitämisestä ja kehittämisestä vastaa maksukorttiyhtiöiden perustama PCI Security Standards Council -toimielin. Syyskuussa 2006 toimielin julkaisi standardista version 1.1, joka on edelleen viimeisin versio. Tässä diplomityössä selvitettiin PCI DSS -standardin asettamat vaatimukset kortinhaltijoiden tietoja käsitteleville tahoille. Lisäksi tutkittiin mahdollisuuksia toteuttaa yksi standardin vaatimuksista, kortinhaltijoiden tietojen suojaaminen, esimerkkijärjestelmässä. Kyseinen järjestelmä on kehitetty IBM System i -palvelinympäristöön käyttäen RPG-ohjelmointikieltä.

Tietojenkäsittely

Tietojenkäsittelyn pääkokoelma sijaitsee pääkirjastossa (Linnassa), jossa painettu yleis- ja käsikirjastokokoelma koostuu noin 4000 nimekkeestä monografioita (painettujen monografiasarjojen osat mukaan lukien). Tietojenkäsittely-kokoelmasta kartoitettiin neljä osa-aluetta. Näistä selvimmäksi painopistealaksi osoittautui ohjelmointi, ohjelmointikielet & atk-ohjelmat, joka käsitti noin 33 % nimekkeistä (1314). Muiden ryhmien osuudet olivat pienemmät: tietojärjestelmät, tiedonhallinta & tietoturva noin 18 % (727 nimekettä); tekoäly, tietämystekniikka & hahmontunnistus noin 16 % (629 nimekettä). Käsikirjaston karsitussa noin 100 nimekkeen kokoelmassa on runsaasti sanakirjoja ja erilaisia hakuteoksia kuten lähes täydellinen (44/45) Encyclopedia of computer science and technology ja myös e-muodossa oleva 3-osainen Handbook of information security. Painettuja lehtiä oli 6 nimekettä (IEEE Pervasive Computing, MikroPC, myös e-muodossa oleva Social Science Computer Review, Tekniikan näköalat, Tietokone ja Tietoyhteys). Sähkökirjoja kokoelmassa oli 466 nimekettä Ebrary: Information technology -tietokannassa, 24 nimekettä NetLibrary-tietokannassa, 3 nimekettä Taylor & Francis eBooks online -tietokannassa ja 2 nimekettä sähköisinä hakuteoksina (Encyclopedia of gender and information technology ja Encyclopedia of information science and technology) sekä 4964-osainen Lecture notes in computer science -monografiasarja. Verkkolehtiä kokoelmassa oli noin 300 nimekettä. Tietokantoja oli 4 kokotekstitietokantaa (ACM - Association for Computing Machinery, EBSCOhost Academic Search Premier, Elsevier ScienceDirect ja SpringerLink) sekä 2 viitetietokantaa (Computer + Info Systems (CSA) ja Web of Scence (ISI)).

A Forwarding Cooperation Protocol for Plain and Cluster-based Ad Hoc Networks

Peer-reviewed

Collaborative group membership and access control for JXTA

Peer-reviewed

Aggregating and Deploying Network Access Control Policies

Peer-reviewed

Ajax: Web-sovellusten uudet mahdollisuudet

Tässä työssä selvitettiin Ajax-tekniikan tilannetta web-sovellusten kehityksessä. Sitä varten kehitettiin demosovellus, jonka avulla tekniikoiden käyttökelpoisuutta voitiin arvioida. Samalla työssä on esitelty eri tekniikoita, jotka liittyvät kiinteästi Ajax-sovellusten toteuttamiseen. Demosovellus tehtiin vapaalla LAMP (Linux, Apache, MySQL and PHP) -alustalla. Työssä on arvioitu Ajax-tekniikan käyttökelpoisuutta ja ongelmia nykyisen webin, web-kehittäjien, käytössä olevien selainten ja käyttäjien kannalta. Lopussa on myös pohdittu hieman webin tulevaisuutta ja Ajaxin osaa siinä.

UDDI palvelurekisterin merkitys Web palveluissa

Tietojärjestelmien integraatio on nykypäivänä tärkeä osa alue yritysten toiminnassa ja kilpailukyvyn ylläpitämisessä. Palvelukeskeinen arkkitehtuuri ja Web palvelut on uusi joustava tapa tehdä tietojärjestelmien välinen integraatio. Web palveluiden yksi ydinkomponentti on UDDI, Universal Description, Discovery and Integration. UDDI toimii palvelurekisterin tavoin. UDDI määrittää tavan julkaista, löytää ja ottaa käyttöön Web palveluja. Web palveluja voidaan hakea UDDI:sta erilaisin kriteerein, kuten esimerkiksi palvelun sijainnin, yrityksen nimen ja toimialan perusteella. UDDI on myös itsessään Web palvelu, joka perustuu XML kuvauskieleen ja SOAP protokollaan. Työssä paneudutaan tarkemmin UDDI:in. UDDI:ta käsitellään tarkemmin myös teknisesti. Oleellinen osa UDDI:ta on ollut julkaisijoiden ja käyttäjien mielestä tietoturvan puute, joka on rajoittanut huomattavasti UDDI:n käyttöä ja käyttöönottamista. Työssä tarkastellaankin tarkemmin juuri tietoturvaan liittyviä asioita ja ratkaisuja sekä myös UDDI:n merkitystä yrityksille.

Järjestelmien siirtäminen uuteen käyttöjärjestelmäympäristöön

Käyttöjärjestelmän uuden version myötä vanhat ohjelmat eivät välttämättä toimi uudessa ympäristössä. Windows-käyttöjärjestelmässä sovellusten yhteensopivuus on aiemmin säilytetty melko hyvin. Uusimpiin Windows Vista ja Windows 7 -versioihin on tehty paljon tietoturvauudistuksia. Niistä johtuen vanhojen ohjelmien yhteensopivuutta on karsittu. Tässä työssä kuvataan automaatiojärjestelmän ohjelmakomponenttien siirtoa uuteen Windows-ympäristöön. Tavoitteena on saada tehtyä ohjeita muille automaatiojärjestelmän kehittäjille. Myös Windowsin tietoturvaominaisuuksiin tehdään katsaus, erityisesti pääsynhallintaan

Empiirinen analyysi tilitoimiston liikeriskeistä ja niiden hallinnasta

Tämän tutkimuksen aiheena ovat tilitoimiston liikeriskit ja niiden hallinta. Tilitoimistot ovat merkittävässä asemassa tuottaessaan asiakasyrityksistään taloudellista tietoa paitsi yritykselle itselleen myös sen sidosryhmille sekä yhteiskunnalle. Tilitoimiston toimintaa ja samalla riskienhallintaa ohjaa erityisesti hyvä tilitoimistotapa, jonka noudattaminen auttaa ylläpitämään ammatillista arvostusta. Tilitoimiston liikeriskit voidaan jakaa henkilöstöriskeiksi, sopimus- ja vastuuriskeiksi sekä tietoriskeiksi, joihin kuuluvat myös väärinkäytösriskit. Sopimus- ja vastuuriskejä hallitaan kirjallisin toimeksiantosopimuksin vakiosopimusehtoja käyttämällä sekä vastuuvakuutuksin. Tietoriskien hallinnassa apuna ovat salas-sapitosopimukset, tietoturvatoimet ja ohjeet. Väärinkäytösriskejä hallitaan parhaiten ennaltaehkäisemällä. Henkilöstö on tilitoimistojen suurin resurssi, mutta samalla myös suurin riskitekijä. Henkilöstö on myös avainasemassa tilitoimistojen riskienhallinnan toteuttamisessa. Suurimpia henkilöstöön kohdistuvia riskejä ovat avainhenkilöihin, työhyvinvointiin, jaksamiseen, motivaatioon sekä työvoiman saatavuuteen kohdistuvat riskit. Näitä kaikkia pystytään hallitsemaan toimivalla henkilöstöhallinnolla ja varahenkilöjärjestelmillä. Tutkimuksen empiirinen osio toteutettiin satunnaisesti valittuihin eteläsuomalaisiin tilitoimistoihin suunnatulla kyselytutkimuksella. Tutkimustuloksista käy ilmi, että tilitoimistojen tieto-, sopimus- ja vastuuriskien hallinta on hyvällä tasolla, mutta että henkilöstöriskien hallinnassa on jonkin verran parantamisen varaa. Tutkimus vahvistaa myös, että pk-sektorilla toimivien tilitoimistojen kannattaa käyttää kokonaisvaltaista riskienhallintaa liikeriskiensä hallitsemiseen ja toiminnan laadun turvaamiseen.

Suomen Ilmavoimien johtamisjärjestelmän evoluutio ilmasotateorian, kansallisten instituutioiden ja johtamisjärjestelmän ulkomaisen kehityksen näkökulmasta

Ilmavoimien johtamisjärjestelmä on osa Ilmavoimien järjestelmäkokonaisuutta, jonka kaksi muuta osaa ovat taistelujärjestelmä ja tukeutumisjärjestelmä. Ilmavoimien materiaalista suorituskykyä rakennetaan tämän järjestelmäajattelun pohjalta. tässä tutkimuksessa Ilmavoimien johtamisjärjestelmää tutkitaan kolmen kokonaisuuden, ilmavalvontajärjestelmän, ilmatilannekuvan muodostamisjärjestelmän ja tulenkäytön johtamisjärjestelmän, näkökulmasta. Ilmavoimien johtamisjärjestelmän laajuuden vuoksi tutkimusaluetta on jouduttu rajaamaan. Tutkimus perustuu evoluutioparadigmaan, jonka mukaisesti kaikki olevainen on evolutionaarista. Mikään tässä ajassa oleva ilmiö ei ole historiaton. Jokaisella ilmiöllä on nykyisyytensä lisäksi historia ja tulevaisuus. Evoluutioparadigman avulla laajennetaan Ilmavoimien johtamisjärjestelmän nykyisyyden ymmärtämistä kuvaamalla ja analysoimalla sen evoluutiota. Tutkimusaineistoa analysoidaan käyttäen hyväksi polkuriippuvuutta evolutionaarisena mallina. tätä mallia on käytetty uusinstitutionaalisessa ja evolutionaarisessa taloustieteessä ja taloushistoriassa tutkittaessa yritysten, toimialojen tai tuotteiden pysyvyyttä markkinoilla sekä erilaisten innovaatioiden vaikuttavuutta menestymiseen eri markkinatilanteissa. Tutkimusasetelman lähtökohtana on Ilmavoimien johtamisjärjestelmäevoluution kuvaaminen kolmen tekijän tasapainoasetelman suhteen, joita ovat instituutiot, ilmasotateoria ja kansainvälinen ilmavoimien johtamisjärjestelmän kehitys. tutkimuksen tavoitteena on löytää institutionaalinen logiikka Ilmavoimien johtamisjärjestelmän evoluutiolle sekä sen eri kehitysprosesseihin liittyvä mahdollinen polkuriippuvuuden logiikka. Tutkittavina instituutioina ovat kansallinen poliittinen päätöksenteko, joka ilmentyy erilaisina komiteamietintöjä, raportteina ja selontekoina. Sotilaallista instituutiota edustavat eri operatiiviset ohjeet, ohjesäännöt ja doktriinit, jotka ovat ohjanneet johtamisjärjestelmäkehitystä. Ilmasotateorian vaikuttavuuden analyysiä varten tutkimuskohteiksi on valittu seitsemän merkittävää ilmasotateoreetikkoa. Kenraalimajuri Giulio douhet, ilmamarsalkka Hugh Trenchard ja kenraalimajuri William Mitchell edustavat ilmasotateorian varhaista kautta. Kansallista ilmasotateorian kehitystä edustavat eversti Richard Lorentz ja kenraalimajuri Gustaf Erik Magnusson. Yhdysvaltalaiset everstit John Boyd ja John Warden III ovat uuden ajan ilmasotateoreetikkoja. Näiden henkilöiden tuottamien teorioiden avulla voidaan piirtää kuva muutoksesta, jota ilmasodankäynnin teoreetti- sessa ajattelussa on tapahtunut. Ilmavoimien johtamisjärjestelmän evoluutiolle haetaan vertailua kehityksestä, jota on tapahtunut Yhdysvalloissa, Isossa-Britanniassa ja Saksassa. Ilmavoimat on saanut vaikutteita muistakin maista, mutta näiden maiden kehityksen avulla voidaan selittää Suomessa tapahtunutta kehitystä. Tutkimuksessa osoitetaan, että kansainvälisellä johtamisjärjestelmäevoluutiolla on ollut merkittävä vaikutus suomalaiseen kehitykseen. Tämä tutkimus laajentaa prosessuaalista tutkimusteoriaa ja polkuriippuvuusmallin käyttöä sotatieteelliseen tutkimuskenttään. tutkimus yhdistää toisiinsa aivan uudella tavalla sotilasorganisaation institutionaalisia tekijöitä pitkässä evoluutioketjussa. Tutkimus luo pohjaa prosessuaaliseen, havaintoihin perustuvaan evoluutioajatteluun, jossa eri tekijöiden selitysmalleja ja kausaalisuutta eri periodien aikana voidaan kuvata. Tutkimuksen tuloksena ilmavoimien johtamisjärjestelmäevoluutiossa paljastui merkittäviä piirteitä. Teknologia on ollut voimakas katalysaattori ilmapuolustuksen evoluutiossa. Uusien teknologisten innovaatioiden ilmestyminen taistelukentälle on muuttanut oleellisesti taistelun kuvaa. Sodankäynnin revoluutiosta huolimatta sodankäynnin tai operaatiotaidon ja taktiikan perusperiaatteissa ei ole tapahtunut perustavanlaatuista muutosta. Ilmavoimien johtamisjärjestelmän kehitys on voimakkaasti linkittynyt ulkomaiseen johtamisjärjestelmäkehitykseen, jossa teknologiaimplementaatiot perustuvat usean eri ilmiön paljastumiseen ja hyväksikäyttöön. Sotilas- ja siviili-instituutiot ovat merkittävästi vaikuttaneet Ilmavoimien johtamisjärjestelmän kansalliseen kehitykseen. Ne ovat antaneet poliittisen ohjauksen, taloudellisten resurssien ja strategis-operatiivisten käskyjen ja suunnitelmien avulla perusteet, joiden pohjalta johtamisjärjestelmää on kehitetty. Tutkimus osoittaa, että Suomen taloudellisten resurssien rajallisuus on ollut merkittävin institutionaalinen rajoite Ilmavoimien johtamisjärjestelmää kehitettäessä. Useat poliittiset ohjausasiakirjat ovat korostaneet, ettei Suomella pienenä kansakuntana ole taloudellisia resursseja seurata kansainvälistä sotilasteknologiakehitystä. Lisäksi ulko- ja turvallisuuspoliittinen liikkumavapaus on vaikuttanut kehittämismahdollisuuksiin. Ilmasotateorian evoluutio on luonut johtamisjärjestelmän kehitykselle välttämättömän konseptuaalisen viitekehyksen, jotta ilmasota on voitu viedä käytännön tasolle. Teoria, doktriini ja instituutiot toimivat vuorovaikutuksessa, jossa ne interaktiivisesti vaikuttavat toinen toisiinsa. Tutkimus paljasti kuusi merkittävää sokkia, jotka saivat aikaan radikaaleja muutoksia johtamisjärjestelmän evoluutiopolulla. tutkimuksen perusteella vaikuttavimmat muutoksia aiheuttavat sokit olivat radikaalit turvallisuuspoliittiset muutokset kuten sota ja voimakkaat kansantalouden muutokset kuten lama. Sokkeja aiheuttaneet kuusi ajankohtaa olivat: 1. Puolustusvoimien rakentamisen aloittaminen vapaussodan jälkeen 1918 2. Maailmanlaajuinen lama 1929–1933 ja eurooppalainen rauhanaate 1928–1933 3. Talvi- ja jatkosota 1939–1944 4. Uusi alku Pariisin rauhansopimuksen 1947 ja YYA-sopimuksen 1948 varjossa 5. Kylmän sodan päättyminen ja Suomen lama 1990–1993 6. Maailmanlaajuinen lama 2008- Tutkimuksen perusteella voidaan todeta, että Suomen ilmavoimien johtamisjärjestelmän kehittäminen on perustunut rationaalisiin päätöksiin, jotka ovat saaneet vaikutteita ulkomaisesta ilmasotateorian ja -doktriinien kehityksestä sekä kansainvälisestä johtamisjärjestelmäkehityksestä. Johtamisjärjestelmän evoluutioon on vaikuttanut globaali konvergenssi, johon on tehty kansallisen tason ratkaisuja järjestelmien adaptaation ja implementaation yhteydessä.