Turvallisuusarvioinnin

Turvallisuusarvioinnin on järjestelmä- tai organisaatiotasoinen prosessi, jonka tarkoituksena on tunnistaa turvallisuus- ja uhkakuvia sekä arvioida niiden mahdolliset vaikutukset. Se kattaa sekä fyysisen turvallisuuden, henkilöstöön kohdistuvat riskit että tietoturvan liittyvät uhkat. Turvallisuusarvioinnin tavoite on tukea riskien hallintaa ja päätöksentekoa sekä täyttää lainsäädännön, standardien ja sopimusvaatimusten edellytykset.

Prosessi alkaa laajuuden ja kohteen määrittelyllä, jonka jälkeen kerätään relevantteja tietoja ilmenneistä ja potentiaalisista uhista, haavoittuvuuksista sekä olemassa olevista kontrollitoimista. Tämän jälkeen suoritetaan riskinarvio, jossa todennäköisyys ja vaikutukset yhdistetään riskitasoiksi ja prioriteeteiksi. Lopuksi laaditaan hallintasuunnitelma, jonka toimenpiteet ja vastuut määritellään, sekä tuotetaan raportti ja seuranta-ohjelma.

Turvallisuusarviointia tehdään monella tasolla ja eri näkökulmista. Esimerkkejä ovat riskinarviointi, tunkeutumistestaus (penetration testing), haavoittuvuustarkastelut sekä fyysisen turvallisuuden arviointi. IT-ympäristöissä käytetään usein standardeja kuten ISO/IEC 27001 tietoturvan hallintajärjestelmä sekä NIST SP 800-30, ja kokonaisvaltaisessa turvallisuusarvioinnissa voidaan huomioida myös ISO 45001 työterveyden ja -turvallisuuden hallintajärjestelmä.

Tuloksena on riskitasojen määrittely, suositellut kontrollit, toteutusaikataulu sekä vastuut. Raportti voi sisältää myös kustannus-hyötyanalyysin ja seurantaindikaattorit. Rajoitteina arviointi heijastelee tilannetta tiettynä ajankohtana, ja tiedonpuutteet voivat vaikuttaa tuloksiin; siksi jatkuva päivittäminen, valvonta ja säännöllinen tarkistus ovat usein suositeltuja.