Tietoturvainformaation ja -tapahtumien hallinta PCI DSS -standardissa

Työn keskeisimpänä tavoitteena on tutkia SIEM-järjestelmien (Security Information and Event Management) käyttömahdollisuuksia PCI DSS -standardissa (Payment Card IndustryData Security Standard) lähtökohtaisesti ratkaisutoimittajan näkökulmasta. Työ on tehty Cygate Oy:ssä. SIEM on uusi tietoturvan ratkaisualue, jonka käyttöönottoa vauhdittavat erilaiset viralliset sääntelyt kuten luottokorttiyhtiöiden asettama PCI DSS -standardi. SIEM-järjestelmien avulla organisaatiot pystyvät keräämään valmistajariippumattomasti verkon systeemikomponenteista tapahtumatietoja, joiden avulla pystytään näkemään keskitetysti, mitä verkossa on tapahtunut. SIEM:ssa käsitellään sekä historiapohjaisia että reaaliaikaisia tapahtumia ja se toimii organisaatioiden keskitettynä tietoturvaprosessia tukevana hallintatyökaluna. PCI DSS -standardi on hyvin yksityiskohtainen ja sen vaatimusten täyttäminen ei ole yksinkertaista. Vaatimuksenmukaisuutta ei saavuteta hetkessä, vaan siihen liittyvä projekti voi kestää viikoista kuukausiin. Standardin yksi haasteellisimmista asioista on keskitetty lokien hallinta. Maksukorttitietoja käsittelevien ja välittävien organisaatioiden on kerättävä kaikki audit-lokit eri järjestelmistä, jotta maksukorttitietojen käyttöä pystytään luottamuksellisesti seuraamaan. Standardin mukaan organisaatioiden tulee käyttää myös tunkeutumisen ja haavoittuvuuksien havainnointijärjestelmiä mahdollisten tietomurtojen havaitsemiseksi ja estämiseksi. SIEM-järjestelmän avulla saadaan täytettyä PCI DSS -standardin vaativimpia lokien hallintaan liittyviä vaatimuksia ja se tuo samallamonia yksityiskohtaisia parannuksia tukemaan muita standardin vaatimuskohtia. Siitä voi olla hyötyä mm. tunkeutumisen ja haavoittuvuuksien havainnoinnissa. SIEM-järjestelmän hyödyntäminen standardin apuna on kuitenkin erittäin haasteellista. Käyttöönotto vaatii tarkkaa etukäteissuunnittelua ja kokonaisuuksien ymmärtämistä niin ratkaisutoimittajan kuin ratkaisun käyttöönottajan puolelta.

Yhteiskuntavastuun tarkastelua asiakkaan näkökulmasta: case Osuuspankki

Tämän tutkimuksen tavoitteena on selvittää, mistä Osuuspankin yhteiskuntavastuu koostuu ja miten tärkeänä asiakkaat pitävät Osuuspankin yhteiskuntavastuuta. Tutkimuksen tarkoituksena on tarkastella asiakkaiden mieltymyksiä Osuuspankin yhteiskuntavastuusta triple bottom line-mallin näkökulmasta. Tämä malli jakaa yhteiskuntavastuun taloudelliseen vastuuseen, sosiaaliseen vastuuseen sekä ympäristövastuuseen. Tutkimus toteutettiin kirjallisuuskatsauksen sekä kvalitatiivisen teemahaastattelututkimuksen avulla. Haastateltaviksi valittiin 24 Osuuspankin henkilöasiakasta, joista kaikki olivat iältään 25 - 50-vuotiaita. Haastateltavilta kysyttiin mielipiteitä Osuuspankin yhteiskuntavastuun eri osa-alueiden tärkeydestä, yhteiskuntavastuun vaikutuksesta asiakkaan ostopäätökseen sekä yhteiskuntavastuuseenliittyvästä viestinnästä. Tämän tutkimuksen tulokset osoittavat, että asiakkaat mieltävät osuustoiminnalliset yritykset helposti vastuullisiksi. Osuuspankki on ainut osuustoimintaperiaatteella toimiva suuri pankkiryhmä Suomessa, jolloin Osuuspankilla on tästä näkökulmasta katsottuna etulyöntiasema yhteiskuntavastuuseen muihin pankkiryhmiin verrattuna. Sosiaalisesta vastuusta sekä ympäristövastuusta Osuuspankin pitäisi asiakkaiden mielestä keskittyä enemmän sosiaaliseen vastuuseen, sillä pankkeja ei mielletä ei-ympäristöystävällisiksiyrityksiksi. Haastateltavat eivät ole tähän mennessä miettineet juurikaan vastuullisuutta yksittäistä pankkipalvelua tai pankkia valitessaan. Noin puolet asiakkaista olisi valmiit kuitenkin maksamaan siitä lisätyöstä, mitä yhteiskuntavastuunäkökohtien huomioiminen pankissa edellyttää. Tutkimustulosten mukaan Osuuspankki tulisi tuoda yhteiskuntavastuuta huomattavasti enemmän asiakkaiden näkyville, sillä tällä hetkellä asiakkaat eivät näe Osuuspankin vastuullisuutta.

Wärtsilä Field Service - Kehittämisen välineenä oppiva organisaatio ja innovaatiot

Pro gradu tutkimuksessa käsitellään oppivan organisaation ja innovatiivisuuden teorioita eri näkökulmista. Kirjallisuuskatsauksen jälkeen esitellään Turun Wärtsilä Field Service, ja empiirisessä osiossa teetetään edellä mainittuihin aiheisiin liittyen kaksi ryhmähaastattelua osaston työntekijöillä. Tämä pro gradu syntyi tarpeesta toteuttaa tutkimus Wärtsilä Field Servicessä tekijöistä, jotka vaikuttavat innovatiiviseen toimintaa sekä tiedon välittymiseen. Haastattelujen pohjalta syntyy ensi kertaa suomenkielistä materiaalia Wärtsilä kenttähuollon työntekijöiden mielipiteistä ja innovatiivisuutta estävistä ja edistävistä tekijöistä. Tämä on myös gradun päätutkimus kohde. Oppivat organisaatiot pyrkivät jatkuvasti uusiutumaan ympäristön vaatimustenmukaisesti ja analysoimaan omaa toimintaansa. Täten yksilöiltä edellytetään jatkuvaa muutosvalmiutta, innovatiivisuutta ja oppimisvalmiutta. Tämän perusteella,tässä tutkimuksessa, innovatiivisuus oletetaan kuuluvaksi myös erottamattomastioppiviin organisaatioihin. Lisäksi informaation välittyminen huomioidaan tutkimuksessa keskeisenä tekijänä, sillä innovatiivisuus kanavoituu yrityksen eduksi parhaiten, mikäli työntekijät saadaan jakamaan tietoa avoimesti. Tutkimuksen tavoitteena on palvella johtoa, ja antaa pohja selvitystyölle kehitettäessä yrityksen toimintaa, ja kerättäessä ideoita, jotka lopulta tuottavat lisäarvoa yrityksen toiminnalle. Ryhmähaastattelujen tuloksena syntyy ehdotelmia toteuttamiskelpoisista arkipäivän toimintaan liittyvistä parannuksista, joita Wärtsilän kenttähuollossa on mahdollista soveltaa.

Verkostoituminen S-ryhmän alueosuuskaupan toiminnassa

Tutkimuksen tarkoituksena on osallistua liiketaloustieteelliseen keskusteluun osuuskuntien menestystekijöistä. Tutkimuksen tavoitteena on ymmärtää jakuvata, minkälainen on kohdeosuuskaupan verkosto ja verkostoituminen sekä mikä on niiden merkitys alueosuuskaupan toiminnassa. Kohdeorganisaationa on yksi S-ryhmän alueosuuskaupoista. Tutkimus on luonteeltaan laadullinen tutkimus, jonka aineisto on kerätty haastattelemalla. Tutkimuksen empiirinen aineisto kerättiin haastattelemalla yhtätoista keskeistä kohdeosuuskaupan verkoston toimijaa. Tutkimustulokset osoittavat, että kohdeosuuskaupan verkosto voidaannähdä 1) muodollisena verkostona (S-ryhmään kuuluvat organisaatiot) sekä 2) epämuodollisena verkostona (tietyn maakunnan sisällä olevat organisaatiot). Sekä muodollinen että epämuodollinen verkosto nähtiin yhteisten intressien toteuttajana, tietämyksen välittämiskanavana ja instituutiona. Kohdeosuuskauppa on saanut monia strategisia hyötyjä verkostoitumalla; se on mahdollistanut muun muassa alueellisen hallinnon ja tuonut kustannus - ja volyymietuja osuuskaupalle.