Case study of why information security investment fail
Hanna Toivanen · Jyväskylä University Digital Archive (University of Jyväskylä) · 2015
Tämä tutkielma keskittyy tietoturvainvestointien päätöksentekoprosessiin. Ta- voitteena on tutkia miksi tietoturvainvestointipäätös hylätään. Tutkimuksen teoreettinen tausta perustuu aiemmin suoritettuun tutkimukseen, mikä on pää- osin käsitellyt tietoturvainvestointeja joko optimaalisen investointitason näkö- kulmasta, tai tehokkaan investointitason näkökulmasta. Aiempi tutkimus ei ole käsitellyt tietoturvainvestointeja epäonnistuneen päätöksenteon näkökulmasta, eikä siten voi esittää perusteluita päätöksenteolle. Tämän tutkielman tuloksena esitetään teoreettisia väittämiä, jotka tarjoavat mahdollisia vastauksia tutki- muskysymykseen. Tämä tutkimus täydentää osaltaan akateemista kirjallisuutta, ja tarjoaa käytännön tietoa organisaatioille tietoturvainvestointien päätöksente- koprosessiin vaikuttavista tekijöistä. Tutkimuksessa käytettiin tutkimusstrategiaa, missä uutta teoriaa luodaan case-tutkimuksen pohjalta. Tutkimus toteutettiin kvalitatiivisena case- tutkimuksena, jossa oli mukana neljä eri case-yritystä. Empiirinen osuus toteu- tettiin avoimina haastatteluina, joiden tulokset analysoitiin hyödyntäen induk- tiivista sisällönanalyysia. Tutkimustuloksia analysoitiin edelleen taso-teoria mallin avulla. Tämän tutkimuksen löydökset osoittavat, että haasteet tietoturvainves- tointien suhteen ovat moninaiset. Tämä tutkielma määritteli kolme teoreettisista väittämää ja niihin liittyvät ala-väittämät. Määriteltyjen teoreettisten väittämien mukaan tietoturvainvestointihankkeen hylkääminen liittyy organisaation me- todeihin ja kyvykkyyksiin määritellä ja perustella investointihankkeita, sekä johdon tietotaidon tasoon tietoturvaan liittyen. Myös organisaation tapa toimia, organisaation kulttuuri sekä asenne tietoturvaan liittyen vaikuttavat päätöksen- tekoprosessiin, kuten myös johdon sitoutuminen ja tuki, sekä poliittiset tekijät.