PK-YRITYSTEN TIETOTURVAKYSELY 2006 Yhteenveto 8.2.2007

7/9puolella, 56 %:lla yrityksistä oli laadittu tietoturvapolitiikka. Vastaavasti erot olivatsuuret myös kysyttäessä kirjallista tietoturvasuunnitelmaa tai että onko yrityksessänimetty ja tiedotettu tietoturva-asioiden vastuuhenkilö. Erot eri kokoluokan yrityksissäeivät olleet näin suuret esimerkiksi kysyttäessä onko yrityksissä varmistettu, ettähenkilöt ymmärtävät oman tietoturvavastuunsa tai onko yrityksen henkilökuntaperehdytetty tunnistamaan liiketoiminnan kannalta luottamukselliset tiedot.Yrityksiltä kysyttiin ns. avoimena kysymyksenä miten ne varmistavattietoturvaosaamisen ja sen ylläpitämisen. Alla on listattuna kymmenen enitenmainintoja saaneet vastaukset:o hoidetaan omilla resursseilla/hoidetaan itse (912 mainintaa)o ulkoistettuna palveluna/ostopalveluna (637 mainintaa)o kouluttamalla/kouluttautumalla/kurssit (464 mainintaa)o sisäinen tiedotus/yhteiset palaverit/keskustelemalla (170 mainintaa)o omilla resursseilla ja ulkoistettuna palveluna (159 mainintaa)o yrityksessä on oma vastuuhenkilö /tietoturvavastaava/tukihenkilö/avainhenkilö (146 mainintaa)o ammattiapua/konsulttiapua käytettään tarvittaessa (71 mainintaa)o ystävä/kaveri/sukulainen/poika/aviomies hoitaa/auttaa (57 mainintaa)o seuraamalla alan kehitystä (46 mainintaa)o Ammattilehtiä/alan julkaisuja lukemalla (33 mainintaa)3.3. Tietojärjestelmien riskienhallintaYritykset ovat varautuneet huonosti tietoturvariskeihin. Vain joka toisessa yrityksessä(52%) oli arvioitu luottamuksellisiin tietoihin liittyvät riskit ja vain joka toinen yritys(51 %) oli arvioinut menetykset, jotka seuraavat tietojärjestelmientoimimattomuudesta tai häiriötilanteesta. Kaikkein huonoimmin yritykset olivatvarautuneet väärinkäytöstilanteisiin - vain joka kolmannella yrityksistä olisuunnitelma tilanteisiin, jossa havaitaan tietoihin liittyviä väärinkäytöksiä.Niin ikään vain joka toisella yrityksellä oli suunnitelma miten palauttaa tilanteetnormaaliksi häiriötilanteen jälkeen.Vain hieman paremmin oli yrityksissä ennakoitu tilanteet, jotka voivat aiheuttaatietojen muuttumisen tai häviämisen: Yrityksistä 63 % ilmoitti ennakoivansa nämätilanteet. Samoin hieman paremmin, 60 % yrityksistä, oli arvioinut riskit, jotkaliittyvät tietojärjestelmien toimivuuteen ja siitä seuraaviin liiketoiminnankeskeytyksiin.Myös riskienhallinnassa olivat erot mikro-, pienten- ja keskisuurten yritysten välilläselvät. Esimerkiksi riskien arviointi liittyen tietojärjestelmien toimimattomuuteen jasiitä seuraaviin liiketoiminnan keskeytyksiin oli mikroyrityksissä suoritettu 57 %:ssayrityksistä. Pienten yritysten vastaava osuus oli 71 % ja keskisuurten 84 %.Kysyttäessä pk-yrityksiltä ns. avoimena kysymyksenä elintärkeäksi ja arvokkaaksikokemastaan tiedosta (avoin kysymys), saatiin vastaukseksi seuraavat maininnat (yli50 mainintaa):