A method framework of integrating information security into the enterprise architecture

Abstract

Tietoturvan sisällyttämiseksi osaksi kokonaisarkkitehtuuria on kehitetty useita menetelmiä ja malleja. Tarjolla olevat mallit on kuitenkin usein koettu raskaiksi ja työläiksi käyttää, eivätkä ne kata kaikkia kokonaisarkkitehtuurin osa-alueita. Jotta tietoturva olisi mahdollista integroida kokonaisarkkitehtuuriin sen kaikille osa-alueille, yhtenä mahdollisena lähestymistapana on esitetty tietoturvan integroimista kokonaisarkkitehtuuriperiaatteista käsin. Tässä tutkielmassa raportoidaan suunnittelutieteellisellä menetelmällä kehitetty menetelmäkehys, jonka avulla voidaan luoda kokonaisarkkitehtuurin tietoturvaperiaatteita. Tutkimusaineistona on käytetty valmiita asiantuntijahaastatteluja, joissa 26 haastateltavaa vastasi Suomen julkisen hallinnon kokonaisarkkitehtuurin tilaa koskeviin kysymyksiin. Näistä poimittiin tarkasteltavaksi tietoturvaa koskevat osiot, joita käytettiin yhdessä kirjallisuuslähteiden kanssa määrittelemään lähtökohtia menetelmäkehyksen suunnittelulle. Menetelmäkehyksen luomisessa on hyödynnetty sekä tietoturvaperiaatteiden että kokonaisarkkitehtuuriperiaatteiden luomisen metamalleja ja se on mallinnettu ArchiMate-notaatiolla. Menetelmäkehyksen arvioimiseksi toteutettiin yhdeksän asiantuntijahaastattelua, joiden perusteella kehys muokattiin lopulliseen muotoon. Menetelmäkehyksen avulla tietoturva voidaan integroida osaksi kokonaisarkkitehtuurityötä jo työn varhaisessa vaiheessa, jolloin vältetään hankalaksi ja työlääksi koettu tietoturvavaatimusten ja kokonaisarkkitehtuurityön yhdistäminen.Several methods and models have been developed to integrate information security into the enterprise architecture. However, the models available are often difficult and laborious to use and do not cover all aspects of the enterprise architecture. In order to integrate information security into the enterprise architecture for all its components, one possible approach is to integrate information security from the enterprise architecture principles. This thesis reports a method framework developed by a design science method that can be used to create information security principles for the enterprise architecture. The research material used in this thesis is consists in part of ready-made expert interviews, where 26 interviewees answered questions about the state of the enterprise architecture of Finnish public administration. These included sections on information security that were used in conjunction with literary sources to determine the basis for designing a method framework. The method framework has been built using meta models from both information security principles and the creation of enterprise architectural principles and is modelled with ArchiMate notation. In order to evaluate the method framework, nine expert interviews were conducted on the basis of which the method framework was finalized. With the method framework, information security can be integrated into the enterprise architecture work in an early state, avoiding the difficult and laborious combination of information security requirements and enterprise architecture work