Search

På grund av den ökande digitaliseringen inom järnvägen ökar även antalet digitala anslutningar. Detta gör att fientliga aktörer kan påverka den operativa driften och personsäkerheten på distans av järnvägen via oskyddade anslutningar. Syftet med arbetet är därför att identifiera hårdvarulösningar för att öka cybersäkerheten av kommunikation mellan datorställverk och banobjekt via utdelar i datorställverken. Undersökningen fokuserar på att hitta den mest lämpliga processorenheten (CPU) eller Trusted Platform Module (TPM) för Alstoms utdel (OC950), med hänsyn till specifika cybersäkerhetskriterier enligt standarden IEC—63442. Genom att använda en Pugh-matris jämfördes fem CPU-lösningar och fyra TPM-lösningar. Resultatet visade att de två bästa alternativen var CPU-lösningar, där ”AM64x” från Texas Instruments utmärkte sig som det bästa valet tack vare dess goda cybersäkerhetsfunktioner, processorkapacitet och energieffektivitet. Denna funktionalitet tillät lösningen att ge ett tillfredställande cyberskydd samt gav driftfördelar och framtidsäkran. Sammanfattningsvis konstateras att processorenheter är att föredra för att förbättra prestanda och framtidssäkra hårdvaran på OCS950. TPM-lösningar kan vara ett lämpligt alternativ för att hantera cybersäkerhetsfunktioner men riskerar att bli en flaskhals för kommunikation. Därför är CPU-lösning att föredra, då det kan öka prestandan på utdelen samtidigt som det tillåter implantering av ett tillfredställande cyberskydd. Arbetet bidrar till att förbättra cybersäkerheten mellan utdel och en central ställverksdator och föreslår samtidigt en metod för att jämföra olika hårdvarulösningar genom Pugh-matriser., Due to the increasing digitalization within the railway sector, the number of digital connections is also rising. This allows hostile actors to remotely impact the operational functioning and personal safety of the railway through unprotected connections. Therefore, the purpose of this work is to identify hardware solutions to enhance the cybersecurity of communication between interlocking computers and trackside objects via object controllers in the interlocking systems. The study focuses on finding the most suitable processor unit (CPU) or Trusted Platform Module (TPM) for Alstom's object controller (OC950), with considering for specific cybersecurity criteria according to the IEC-63442 standard. Using a Pugh matrix, five CPU solutions and four TPM solutions were considered. The results showed that the two best options were CPU solutions, with the "AM64x" from Texas Instruments standing out as the best choice due to its strong cybersecurity features, processing capacity, and energy efficiency. This functionality allowed the solution to provide satisfactory cyber protection as well as operational advantages and futureproofing. In summary, it is noted that processor units are preferred to improve performance and future-proof the hardware on OCS950. TPM solutions may be a suitable alternative for managing cybersecurity functions but risk becoming a communication bottleneck. Therefore, a CPU solution is preferred, as it can enhance the performance of the object controller while allowing the implementation of satisfactory cyber protection. The work contributes to improving cybersecurity between object controllers and central interlocking computers and simultaneously proposes a method for comparing different hardware solutions using Pugh matrices., Digitalisaation lisääntyessä rautateillä myös digitaalisten yhteyksien määrä kasvaa. Tämä mahdollistaa vihamielisten toimijoiden vaikuttamisen rautateiden operatiiviseen toimintaan ja henkilöturvallisuuteen etäyhteyksien kautta suojaamattomien yhteyksien avulla. Työn tarkoituksena on siksi tunnistaa laitteistoratkaisuja kyberturvallisuuden parantamiseksi viestinnässä tietokonekeskusten ja ratakohteiden välillä jakelijoiden kautta tietokonekeskuksissa. Tutkimus keskittyy sopivimman prosessoriyksikön (CPU) tai Trusted Platform Module (TPM) löytämiseen Alstomin jakelijalle (OC950), ottaen huomioon tietyt kyberturvallisuuskriteerit standardin IEC—63442 mukaisesti. Pugh-matriisin avulla verrattiin viittä CPU-ratkaisua ja neljää TPM-ratkaisua. Tulokset osoittivat, että kaksi parasta vaihtoehtoa olivat CPU-ratkaisuja, joista Texas Instrumentsin “AM64x” erottui parhaana vaihtoehtona sen hyvien kyberturvallisuusominaisuuksien, prosessorikapasiteetin ja energiatehokkuuden ansiosta. Tämä toiminnallisuus mahdollisti ratkaisun tarjoavan tyydyttävän kybersuojan sekä toi operatiivisia etuja ja tulevaisuuden varmuutta. Yhteenvetona todetaan, että prosessoriyksiköt ovat suositeltavia suorituskyvyn parantamiseksi ja laitteiston tulevaisuuden varmistamiseksi OCS950:ssa. TPM-ratkaisut voivat olla sopiva vaihtoehto kyberturvallisuustoimintojen hallintaan, mutta ne voivat muodostaa pullonkaulan viestinnässä. Siksi CPU-ratkaisu on suositeltava, koska se voi parantaa suorituskykyä jakelussa samalla kun se mahdollistaa tyydyttävän kybersuojan toteuttamisen. Työ edistää kyberturvallisuuden parantamista jakelun ja keskus tietokonekeskuksen välillä ja ehdottaa samalla menetelmää eri laitteistoratkaisujen vertailemiseen Pugh-matriisien avulla.

På grund av den ökande digitaliseringen inom järnvägen ökar även antalet digitala anslutningar. Detta gör att fientliga aktörer kan påverka den operativa driften och personsäkerheten på distans av järnvägen via oskyddade anslutningar. Syftet med arbetet är därför att identifiera hårdvarulösningar för att öka cybersäkerheten av kommunikation mellan datorställverk och banobjekt via utdelar i datorställverken. Undersökningen fokuserar på att hitta den mest lämpliga processorenheten (CPU) eller Trusted Platform Module (TPM) för Alstoms utdel (OC950), med hänsyn till specifika cybersäkerhetskriterier enligt standarden IEC—63442. Genom att använda en Pugh-matris jämfördes fem CPU-lösningar och fyra TPM-lösningar. Resultatet visade att de två bästa alternativen var CPU-lösningar, där ”AM64x” från Texas Instruments utmärkte sig som det bästa valet tack vare dess goda cybersäkerhetsfunktioner, processorkapacitet och energieffektivitet. Denna funktionalitet tillät lösningen att ge ett tillfredställande cyberskydd samt gav driftfördelar och framtidsäkran. Sammanfattningsvis konstateras att processorenheter är att föredra för att förbättra prestanda och framtidssäkra hårdvaran på OCS950. TPM-lösningar kan vara ett lämpligt alternativ för att hantera cybersäkerhetsfunktioner men riskerar att bli en flaskhals för kommunikation. Därför är CPU-lösning att föredra, då det kan öka prestandan på utdelen samtidigt som det tillåter implantering av ett tillfredställande cyberskydd. Arbetet bidrar till att förbättra cybersäkerheten mellan utdel och en central ställverksdator och föreslår samtidigt en metod för att jämföra olika hårdvarulösningar genom Pugh-matriser., Due to the increasing digitalization within the railway sector, the number of digital connections is also rising. This allows hostile actors to remotely impact the operational functioning and personal safety of the railway through unprotected connections. Therefore, the purpose of this work is to identify hardware solutions to enhance the cybersecurity of communication between interlocking computers and trackside objects via object controllers in the interlocking systems. The study focuses on finding the most suitable processor unit (CPU) or Trusted Platform Module (TPM) for Alstom's object controller (OC950), with considering for specific cybersecurity criteria according to the IEC-63442 standard. Using a Pugh matrix, five CPU solutions and four TPM solutions were considered. The results showed that the two best options were CPU solutions, with the "AM64x" from Texas Instruments standing out as the best choice due to its strong cybersecurity features, processing capacity, and energy efficiency. This functionality allowed the solution to provide satisfactory cyber protection as well as operational advantages and futureproofing. In summary, it is noted that processor units are preferred to improve performance and future-proof the hardware on OCS950. TPM solutions may be a suitable alternative for managing cybersecurity functions but risk becoming a communication bottleneck. Therefore, a CPU solution is preferred, as it can enhance the performance of the object controller while allowing the implementation of satisfactory cyber protection. The work contributes to improving cybersecurity between object controllers and central interlocking computers and simultaneously proposes a method for comparing different hardware solutions using Pugh matrices., Digitalisaation lisääntyessä rautateillä myös digitaalisten yhteyksien määrä kasvaa. Tämä mahdollistaa vihamielisten toimijoiden vaikuttamisen rautateiden operatiiviseen toimintaan ja henkilöturvallisuuteen etäyhteyksien kautta suojaamattomien yhteyksien avulla. Työn tarkoituksena on siksi tunnistaa laitteistoratkaisuja kyberturvallisuuden parantamiseksi viestinnässä tietokonekeskusten ja ratakohteiden välillä jakelijoiden kautta tietokonekeskuksissa. Tutkimus keskittyy sopivimman prosessoriyksikön (CPU) tai Trusted Platform Module (TPM) löytämiseen Alstomin jakelijalle (OC950), ottaen huomioon tietyt kyberturvallisuuskriteerit standardin IEC—63442 mukaisesti. Pugh-matriisin avulla verrattiin viittä CPU-ratkaisua ja neljää TPM-ratkaisua. Tulokset osoittivat, että kaksi parasta vaihtoehtoa olivat CPU-ratkaisuja, joista Texas Instrumentsin “AM64x” erottui parhaana vaihtoehtona sen hyvien kyberturvallisuusominaisuuksien, prosessorikapasiteetin ja energiatehokkuuden ansiosta. Tämä toiminnallisuus mahdollisti ratkaisun tarjoavan tyydyttävän kybersuojan sekä toi operatiivisia etuja ja tulevaisuuden varmuutta. Yhteenvetona todetaan, että prosessoriyksiköt ovat suositeltavia suorituskyvyn parantamiseksi ja laitteiston tulevaisuuden varmistamiseksi OCS950:ssa. TPM-ratkaisut voivat olla sopiva vaihtoehto kyberturvallisuustoimintojen hallintaan, mutta ne voivat muodostaa pullonkaulan viestinnässä. Siksi CPU-ratkaisu on suositeltava, koska se voi parantaa suorituskykyä jakelussa samalla kun se mahdollistaa tyydyttävän kybersuojan toteuttamisen. Työ edistää kyberturvallisuuden parantamista jakelun ja keskus tietokonekeskuksen välillä ja ehdottaa samalla menetelmää eri laitteistoratkaisujen vertailemiseen Pugh-matriisien avulla.

Tiivistelmä Tutkimuksen tarkoituksena on kuvata johtajien näkemyksiä teknologian hyödyntämiseen liittyvästä yksityisyydensuojasta, tietoturvasta ja -suojasta, niihin liittyvistä haasteista ja ratkaisuista sekä teknologisten ratkaisujen hankkimatta jättämiseen liittyvistä tekijöistä ikääntyneiden kotipalveluissa. Tutkimus on poikkileikkausasetelmassa tehty survey-tutkimus. Aineisto kerättiin syksyllä 2022 sähköisellä kyselyllä iäkkäiden kotipalvelujen johtajilta (n=68) viidestä sosiaali- ja terveydenhuollon kuntayhtymästä ja viidestätoista kunnasta tai kaupungista eri puolilta Suomea. Kyselylomake sisälsi neljä strukturoitua ja kaksi avointa kysymystä. Aineisto analysoitiin kuvailevilla tilastomenetelmillä ja induktiivisen sisällön analyysin periaatteilla. Tulosten mukaan teknologisten ratkaisujen käyttöönotossa huomioidaan Digi-HTA-arviointien asioita tietoturvasta ja -suojasta pääasiallisesti hyvin, mutta tässä tunnistettiin myös kehitettävää. Johtajien arvioiden mukaan teknologian hankintaprosesseissa huomioidaan tietosuojaan liittyvät tekijät hyvin, ja prosesseihin on luotu tietoturvaan liittyvät kriteerit. Teknologisten ratkaisujen hankkimatta jättämiseen arvioitiin vaikuttavan erityisesti se, että ratkaisut eivät vastanneet asiakkaiden tarpeisiin tai niiden ei nähty tehostavan toimintaa. Johtajien näkemykset teknologian hyödyntämiseen liittyvän yksityisyydensuojan ja tietoturvan ja -suojan haasteista liittyivät toimintaympäristöön, digitaalisiin ratkaisuihin, toimintatapoihin ja osaamiseen sekä organisaation käytäntöihin haasteiden ehkäisyssä. Näiden haasteiden ratkaisuiksi nähtiin viestintä ja vuorovaikutus, yksityisyydensuojaa, tietoturvaa ja -suojaa koskevien prosessien määrittäminen sekä toimintatapojen muuttaminen ja osaamisen kehittäminen. Yksityisyydensuojaan, tietoturvaan ja -suojaan liittyvien tekijöiden huomioiminen toteutuu ikääntyneiden kotipalveluissa pääasiallisesti hyvin, mutta toisaalta niihin liittyvät haasteet koetaan moninaisiksi. Tutkimukses, The purpose of this study was to describe managers’ perceptions of privacy protection, data security and protection in technology utilization, related challenges, and solutions, and factors related not acquiring technological solutions in home care services for the older people. This cross-sectional survey study was conducted by electronic survey in Autumn 2022. The data was collected from the managers of home care services (n=68) from five public social and healthcare joint municipal authorities and fifteen municipalities or cities located in different parts of Finland. The questionnaire included four structured and two open questions. The data was analyzed using descriptive statistical methods and the principles of inductive content analysis. According to results, the issues raised by the Digi-HTA evaluations regarding data security and protection are mainly adequately considered when implementing technological solutions, but areas for development were also identified. According to managers’ evaluations, factors related to data protection are adequately considered in the technology acquisition processes, and criteria related to data security have been created for the processes. Not acquiring technological solutions was estimated to be especially influenced by the fact that the solutions did not meet the clients’ needs or were not seen to make operations more efficient. The managers’ perceptions of the challenges of privacy protection and data security and protection in technology utilization, were related to the operating environment, digital solutions, procedures, competence, and the organization’ practices in the prevention of challenges. The solutions to these challenges were seen as communication and interaction, defining processes of privacy protection, data security and protection, changing procedures, and developing competence. Taking account of factors related to privacy protection, data security and protection is mainly adequately implemented in

The recent developments in communications technologies, such as Internet of Things (IoT) and 5G together with various enabling technologies, will lead us to the next major transition in terms of accessing digital services. For example, one of such transition is the availability of gadget-free services for the users from nearby smart environment and can be termed as ‘gadget-free hyperconnected world’. Similarly, Industry 4.0 is another major digital transformation that ensures the intelligence, digitization and automation in the various industrial applications. Such smart environment applications set strict requirements in terms of low-latency along with scalability, security and privacy. The edge computing is required if low-latency requirements exist, in order to avoid latency overhead from routing to a centralized (cloud) server. For the success of this vision, it is highly important to place suitable and strong security solutions in the edge-based smart environment to ensure the overall security. This thesis contributes to two different use cases from the context of smart environment, i) smart healthcare environment, ii) smart home construction and proposes novel contributions to improvement of security for edge based smart IoT applications. Firstly, biometrics-based anonymous and lightweight authentication schemes were developed for the single and multiple gadget-free users in smart IoT healthcare environment. The compliance of the security schemes is proven through performance evaluations and by analysing the security properties. Second, a conceptual security mechanism was formulated for three-tier IoT edge architectures to ensure secure smart node bootstrapping and user’s service accessibility mechanisms. The performance evaluation of the proposed IoT edge architecture is evaluated to assess the feasibility of the system. Finally, edge computing and blockchain integrated IIoT framework ‘BlockEdge’ is proposed for the smart home construction use case., Tiivistelmä Viestintäteknologian viimeaikainen kehitys mm. esineiden internetin (IoT, Internet of Things) ja 5G teknologioiden alueella on johtamassa seuraavaan keskeiseen siirtymävaiheeseen digitaalisten palvelujen käytön kannalta. Esimerkkinä tästä on päätelaitteettomien (gadget free) palvelujen saatavuus älykkäissä ympäristöissä, jota voidaan myös kutsua päätelaitevapaaksi verkostoituneeksi ympäristöksi. Industry 4.0 on puolestaan toinen merkittävä muutosprosessi, jota toteutetaan lisätyn älykkyyden, digitalisoinnin ja automaation erilaisten teollisten sovellusten edesauttamana. Tällaiset älykkäiden ympäristöjen sovellukset edellyttävät matalaa viivettä, suurta skaalautuvuutta, tietoturvaa ja yksityisyydensuojaa. Reunalaskentaa tarvitaan mm. matalan viiveen vaatimusten täyttämiseen, mm. välttämällä tarpeetonta reititystä keskitettyihin (pilvi)palvelimiin. Tämän vision onnistumisen kannalta on erittäin tärkeää sijoittaa sopivia ja vahvoja tietoturvaratkaisuja reunalaskentapohjaiseen älykkääseen ympäristöön kokonaisturvallisuuden varmistamiseksi. Tässä väitöskirjatyössä on tutkittu kahta erilaista älykkäisiin ympäristöihin sijoittuvaa käyttötapausta i) älykästä terveydenhuoltoympäristöä ja ii) älykästä rakentamista, ja ehdotetaan miten reunapohjaisten älykkäiden IoT-sovellusten tietoturvaa voidaan parantaa tällaisissa ympäristöissä. Ensiksi työssä kehitettiin biometriikkaan perustuvat anonyymit ja kevyet todennusjärjestelmät yhden ja usean päätelaitevapaan käyttäjän tarpeisiin älykkäiden IoT terveydenhuoltopalvelujen mahdollistamiseksi. Tietoturvaratkaisujen soveltuvuus on todennettu arvioimalla turvallisuusominaisuuksia ja järjestelmän suorituskykyä. Toiseksi, työssä on kehitetty tietoturvamekanismi kolmitasoineen IoT reunalaskenta-arkkitehtuuriin, jolla voidaan mahdollistaa käyttäjän turvallinen liittyminen palveluihin. Ehdotetun IoT reunalaskenta-arkkitehtuurin suorituskykyä mitattiin järjestelmän käyttökelpoisuuden arvioimiseksi. Lopuksi reunalaskenta ja lohkok

Developments in information technology have had a big impact in healthcare, producing vast amounts of data and increasing demands associated with their secure transfer, storage and analysis. To serve them, biomedical data need to carry patient information and records or even extra biomedical images or signals required for multimodal applications. The proposed solution is to host this information in data using data hiding algorithms through the introduction of imperceptible modifications achieving two main purposes: increasing data management efficiency and enhancing the security aspects of confidentiality, reliability and availability. Data hiding achieve this by embedding the payload in objects, including components such as authentication tags, without requirements in extra space or modifications in repositories. The proposed methods satisfy two research problems. The first is the hospital-centric problem of providing efficient and secure management of data in hospital networks. This includes combinations of multimodal data in single objects. The host data were biomedical images and sequences intended for diagnoses meaning that even non-visible modifications can cause errors. Thus, a determining restriction was reversibility. Reversible data hiding methods remove the introduced modifications upon extraction of the payload. Embedding capacity was another priority that determined the proposed algorithms. To meet those demands, the algorithms were based on the Least Significant Bit Substitution and Histogram Shifting approaches. The second was the patient-centric problem, including user authentication and issues of secure and efficient data transfer in eHealth systems. Two novel solutions were proposed. The first method uses data hiding to increase the robustness of face biometrics in photos, where due to the high robustness requirements, a periodic pattern embedding approach was used. The second method protects sensitive user data collected by smartphones. In this case, Tiivistelmä Modernit terveydenhuoltojärjestelmät tuottavat suuria määriä tietoa, mikä korostaa tiedon turvalliseen siirtämiseen, tallentamiseen ja analysointiin liittyviä vaatimuksia. Täyttääkseen nämä vaatimukset, biolääketieteellisen tiedon täytyy sisältää potilastietoja ja -kertomusta, jopa biolääketieteellisiä lisäkuvia ja -signaaleja, joita tarvitaan multimodaalisissa sovelluksissa. Esitetty ratkaisu on upottaa tämä informaatio tietoon käyttäen tiedonpiilotusmenetelmiä, joissa näkymättömiä muutoksia tehden saavutetaan kaksi päämäärää: tiedonhallinnan tehokkuuden nostaminen ja luottamuksellisuuteen, luotettavuuteen ja saatavuuteen liittyvien turvallisuusnäkökulmien parantaminen. Tiedonpiilotus saavuttaa tämän upottamalla hyötykuorman, sisältäen komponentteja, kuten todentamismerkinnät, ilman lisätilavaatimuksia tai muutoksia tietokantoihin. Esitetyt menetelmät ratkaisevat kaksi tutkimusongelmaa. Ensimmäinen on sairaalakeskeinen ongelma tehokkaan ja turvallisen tiedonhallinnan tarjoamiseen sairaaloiden verkoissa. Tämä sisältää multimodaalisen tiedon yhdistämisen yhdeksi kokonaisuudeksi. Tiedon kantajana olivat biolääketieteelliset kuvat ja sekvenssit, jotka on tarkoitettu diagnosointiin, missä jopa näkymättömät muutokset voivat aiheuttaa virheitä. Siispä määrittävin rajoite oli palautettavuus. Palauttavat tiedonpiilotus-menetelmät poistavat lisätyt muutokset, kun hyötykuorma irrotetaan. Upotuskapasiteetti oli toinen tavoite, joka määritteli esitettyjä algoritmeja. Saavuttaakseen nämä vaatimukset, algoritmit perustuivat vähiten merkitsevän bitin korvaamiseen ja histogrammin siirtämiseen. Toisena oli potilaskeskeinen ongelma, joka sisältää käyttäjän henkilöllisyyden todentamisen sekä turvalliseen ja tehokkaaseen tiedonsiirtoon liittyvät haasteet eHealth-järjestelmissä. Työssä ehdotettiin kahta uutta ratkaisua. Ensimmäinen niistä käyttää tiedonpiilotusta parantamaan kasvojen biometriikan kestävyyttä valokuvissa. Korkeasta kestävyysvaatimuksesta johtuen käytettiin pe

Cryptographic key exchange is an integral part of modern cryptography. Such schemes allow two parties to derive a common secret key over a public channel without a priori shared information. One of the most successful key agreement schemes is the one suggested by Diffie and Hellman in their seminal work on public key cryptography. In this thesis, we give an algebraic generalization of the Diffie-Hellman scheme called AGDH utilizing its implicit algebraic properties. The generalization is based on the problem of computing homomorphic images from an algebra to another. Appropriately, we call this problem the homomorphic image problem (HIP). We also devise an authenticated key exchange protocol that is secure in the Canetti-Krawczyk model assuming the infeasibility of the decision HIP (DHIP). For the secure instantiation of the scheme, we consider symmetric encryption schemes that are homomorphic over an algebraic operation. We derive a condition for the encryption scheme to be homomorphic key agreement capable. We show that whenever this condition is satisfied, the induced DHIP is computationally infeasible based on the security of the encryption scheme. To show that there are such schemes, we give a description of one such that the infeasibility of the DHIP follows from a weaker version of the McEliece generator matrix pseudorandomness assumption and the learning parity with noise (LPN) problem. We also study algebraic methods for generating suitable structures for the devised scheme. Since the platform structure requires a large set of homomorphisms, we consider classes of algebras for which this is the case. In particular, we concentrate on a class of algebras satisfying the left distributivity (LD) property. We formulate a non-associative generalization of the conjugacy search problem (CSP) called partial CSP (PCSP) for left conjugacy closed left quasigroups. We show that the feasibility of the HIP on LD left quasigroups depends on the PCSP. Application o, Tiivistelmä Kryptografiset avaintenvaihtomenetelmät ovat eräs modernin kryptografian tärkeimmistä osista. Näiden menetelmien avulla pystytään sopimaan ilman aiempaa tiedonvaihtoa yhteisestä salaisesta avaimesta käyttämällä julkista kanavaa. Diffie-Hellman -avaintenvaihto on yksi parhaiten tunnetuista ja eniten käytetyistä menetelmistä. Tässä työssä tarkastellaan kyseisen menetelmän yleistämistä perustuen sen algebrallisiin ominaisuuksiin. Johdettu yleistys perustuu vaikeuteen löytää annetun alkion homomorfinen kuva, jota työssä kutsutaan homomorfisen kuvan ongelmaksi (HIP). Lisäksi suunnitellaan autentikoitu avaintenvaihtoprotokolla, joka on turvallinen Canetti-Krawczyk -mallissa olettaen että homomorfisen kuvan ongelman päätösversio (DHIP) on laskennallisesti vaikea. Menetelmän turvallista toteuttamista varten tarkastellaan symmetrisen avaimen salausmenetelmiä, jotka ovat homomorfisia joidenkin algebrallisten operaatioiden yli. Työssä johdetaan symmetrisen avaimen salainten ominaisuus, kyvykkyys homomorfiseen avaintenvaihtoon, joka takaa että aikaansaatu DHIP on laskennallisesti vaikea. Lisäksi rakennetaan symmetrinen menetelmä, joka toteuttaa kyseisen ehdon. Menetelmän turvallisuus perustuu tavallista heikompaan oletukseen McEliece-generaattorimatriisin pseudosatunnaisuudesta sekä pariteetin oppimisongelman häiriölliseen versioon (LPN). Työssä tarkastellaan lisäksi menetelmiä soveltuvien algebrallisten rakenteiden generointiin. Koska menetelmä vaatii suuren joukon homomorfismeja, tarkastellaan rakenteita, joille tämä ehto pätee. Erityisesti keskitytään ns. vasemmalta distributiivisiin (LD) rakenteisiin. Työssä määritellään epäassosiatiivinen yleistys konjugointiongelman hakuversiolle (CSP) konjugoinnin suhteen suljettuille vasemmille kvasiryhmille. Tätä yleistystä kutsutaan osittaiseksi CSP:ksi (PCSP). Työssä osoitetaan, että vasemmalta distributiivisissa vasemmissa kvasiryhmissä homomorfisen kuvan ongelman vaikeus liittyy läheisesti PCSP:hen. Lisäksi tätä ongelma

Increasing information systems (IS) security breaches require investments in terms of IS security techniques/practices or personnel. Prior research on IS security investment has provided economic models based on neoclassical economics to assess how much to invest in IS security. These models assume that the goal of IS security investment is only benefit maximization, and that all of the actors involved are unbiased rational actors with complete information. It is argued in this thesis that these prior models for IS security investment are flawed for two reasons. First, benefit maximization is not an appropriate goal for IS security investment, because the benefits and costs of IS security investment cannot be reliably calculated. Second, decision makers are not unbiased rational actors, because they do not have enough information to make IS security investment decisions. To address these concerns, this thesis outlines a framework for IS security investment, which is based on behavioral economics. This framework makes new assumptions about IS security investment decision makers, and redefines the contextual nature of IS security investment. As an example of how to operationalize this framework in IS research, this thesis examines IS security investment decision-making by using a theoretical model drawn from reputational herding theory. A field study for empirical testing of the model was conducted, which involved surveying 88 information security experts in Finland. The results of the field study not only confirm the new framework, but also identify several motives that strongly predict IS security investment. In this thesis the assumptions proposed for the framework have also been also tested in a different research setting: the unauthorized uploading behavior of digital goods. This study involves 220 respondents, and the findings suggest that the proposed assumptions for the framework are also applicable in that new research setting. Overall, this doctoral, Tiivistelmä Jatkuvasti lisääntyvät tietoturvaloukkaukset edellyttävät investointeja tietoturvatekniikoihin/käytänteisiin tai henkilöstöön. Aikaisempi tietoturvainvestointitutkimus on kehittänyt neoklassiseen taloustieteeseen perustuvia taloudellisia malleja tietoturvainvestointien määrän arvioimiseksi. Nämä mallit olettavat, että tietoturvainvestointien tavoitteena on ainoastaan hyötyjen maksimointi ja että kaikki toimijat ovat täydellisen tiedon pohjalta toimivia, puolueettomia ja rationaalisia. Tässä väitöskirjassa esitetään, että aikaisemmat tietoturvainvestointimallit ovat puutteellisia kahdesta syystä. Yhtäältä hyödyn maksimointi ei sovellu hyvin tietoturvainvestointien tavoitteeksi, koska sen hyötyjä ja kustannuksia ei voida luotettavasti laskea. Toisaalta päätöksentekijät eivät ole puolueettomia rationaalisia toimijoita, koska heillä ei ole käytettävissään tarpeeksi tietoa tietoturvainvestointipäätösten tekemiseksi. Nämä asiat huomioidaan tässä väitöskirjassa kehittämällä käyttäytymistaloustieteeseen perustuva tietoturvainvestointien viitekehys. Viitekehys esittää uusia olettamuksia tietoturvainvestointeja tekevistä päätöksentekijöistä ja tietoturvainvestointien kontekstuaalisesta luonteesta Väitöskirjassa havainnollistetaan kehitetyn viitekehyksen soveltamisesta tietojärjestelmätieteen tutkimuksessa tarkastelemalla tietoturvainvestointeihin liittyvää päätöksentekoa maineeseen perustuvan laumateorian (reputational herding theory) pohjalta laaditun teoreettisen mallin näkökulmasta. Kenttätutkimuksessa mallin testaamiseksi empiirisesti laadittiin kysely, johon vastasi 88 tietoturva-asiantuntijaa Suomessa. Kenttätutkimuksen tulokset sekä vastasivat uutta viitekehystä että toivat esiin useita tietoturvainvestointeja vahvasti ennustavia motiiveja. Väitöskirjassa kehitetyn viitekehyksen olettamuksia testattiin myös toisentyyppisessä tutkimusasetelmassa: digitaalisten hyödykkeiden luvaton lataaminen. Tähän tutkimukseen osallistui 220 vastaajaa, ja löydökset osoittav

Industrial control system (ICS) networks used to be isolated environments, typically separated by physical air gaps from the wider area networks. This situation has been changing and the change has brought with it new cybersecurity issues. The process has also exacerbated existing problems that were previously less exposed due to the systems’ relative isolation. This process of increasing connectivity between devices, systems and persons can be seen as part of a paradigm shift called the Internet of Things (IoT). This change is progressing and the industry actors need to take it into account when working to improve the cybersecurity of ICS environments and thus their reliability. Ensuring that proper security processes and mechanisms are being implemented and enforced on the ICS network level is an important part of the general security posture of any given industrial actor. Network security and the detection of intrusions and anomalies in the context of ICS networks are the main high-level research foci of this thesis. These issues are investigated through work on machine learning (ML) based anomaly detection (AD). Potentially suitable features, approaches and algorithms for implementing a network anomaly detection system for use in ICS environments are investigated. After investigating the challenges, different approaches and methods, a proof-ofconcept (PoC) was implemented. The PoC implementation is built on top of the Bro network security monitoring framework (Bro) for testing the selected approach and tools. In the PoC, a Self-Organizing Map (SOM) algorithm is implemented using Bro scripting language to demonstrate the feasibility of using Bro as a base system. The implemented approach also represents a minimal case of event-driven machine learning anomaly detection (EMLAD) concept conceived during the research. The contributions of this thesis are as follows: a set of potential features for use in machine learning anomaly detection, proof of the feasi, Tiivistelmä Kehittyneet yhteiskunnat käyttävät teollisuuslaitoksissaan ja infrastruktuuriensa operoinnissa monimuotoisia automaatiojärjestelmiä. Näiden automaatiojärjestelmien tieto- ja kyberturvallisuuden tila on hyvin vaihtelevaa. Laitokset ja niiden hyödyntämät järjestelmät voivat edustaa usean eri aikakauden tekniikkaa ja sisältää useiden eri aikakauden heikkouksia ja haavoittuvaisuuksia. Järjestelmät olivat aiemmin suhteellisen eristyksissä muista tietoverkoista kuin omista kommunikaatioväylistään. Tämä automaatiojärjestelmien eristyneisyyden heikkeneminen on luonut uuden joukon uhkia paljastamalla niiden kommunikaatiorajapintoja ympäröivälle maailmalle. Nämä verkkoympäristöt ovat kuitenkin edelleen verrattaen eristyneitä ja tätä ominaisuutta voidaan hyödyntää niiden valvonnassa. Tässä työssä esitetään tutkimustuloksia näiden verkkojen turvallisuuden valvomisesta erityisesti poikkeamien havainnoinnilla käyttäen hyväksi koneoppimismenetelmiä. Alkuvaiheen haasteiden ja erityispiirteiden tutkimuksen jälkeen työssä käytetään itsejärjestyvien karttojen (Self-Organizing Map, SOM) algoritmia esimerkkiratkaisun toteutuksessa uuden konseptin havainnollistamiseksi. Tämä uusi konsepti on tapahtumapohjainen koneoppiva poikkeamien havainnointi (Event-Driven Machine Learning Anomaly Detection, EMLAD). Työn kontribuutiot ovat seuraavat, kaikki teollisuusautomaatioverkkojen kontekstissa: ehdotus yhdeksi anomalioiden havainnoinnissa käytettävien ominaisuuksien ryhmäksi, koneoppivan poikkeamien havainnoinnin käyttökelpoisuuden toteaminen, laajennettava ja joustava esimerkkitoteutus uudesta EMLAD-konseptista toteutettuna Bro NSM työkalun ohjelmointikielellä.

On monia peruskäytöltään ilmaisia sosiaalisen median palveluita, joita voi hyödyntää oppilaitoksen toiminnassa eri tavoin. Sen välineillä voidaan kehittää opiskelijoita osallistavia ja yhteisöllisyyttä tukevia toimintatapoja sekä luovuutta, aloitekykyä ja itseohjautuvuutta kehittäviä pedagogisia ratkaisuja. Opetuskäytön lisäksi sosiaalinen media tarjoaa oppilaitoksille monia työkaluja toimintakulttuurin ja viestinnän kehittämiseen. Tämän opinnäytetyön tavoitteena oli laatia Kuopion talouskoulun henkilöstölle ohjeistus ja suositukset sosiaalisen median käyttöön. Opinnäytetyöstä ilmenee, mitä seikkoja tulee ottaa huomioon käytettäessä näitä palveluita. Tutkimusmenenetelmänä oli teoriapohjainen tutkimus ja toiminnallisena osana ohjeistuksen ja suostusten laatiminen. Opinnäytetyön kirjallisuusosio tuo pohjan työlle ja sille mitä siinä käsitellään. Lähdeaineistoja hyödyntäen selvitetään, mitä sosiaalinen media tarkoittaa, missä muodoissa sitä esiintyy ja mitkä ovat sen käytön riskit, haasteet ja mahdollisuudet. Opinnäytetyön kirjallisuusosiossa esitellään sosiaalisen mediaan liittyviä käsitteitä sekä pohditaan sosiaalisen median asemaa yhteiskunnassa työelämän ja koulutusorganisaatioiden näkökulmasta. Koulutuksen järjestäjällä on vastuu oppimisympäristöjen turvallisuudesta ja siksi tätä työtä tehtäessä on kiinnitetty paljon huomiota riskien hallintaan. Työssä on pohdittu myös sitä, miten avoimet ympäristöt ja julkisuus vaikuttavat vuorovaikutukseen, yhteisöllisyyteen, tiedon jakamiseen ja opetuksen laatuun. Työn alussa selvitettiin, mitä sosiaalinen media tarkoittaa Kuopion talouskoulun kannalta, miten siihen suhtaudutaan ja mitkä ovat sen käytön tärkeimmät periaatteet ja tavoitteet. Tältä pohjalta laadittiin oppilaitokselle käyttösuositus ja ohjeistus sosiaalisen median hyödyntämisestä sisäisessä ja ulkoisessa viestinnässä sekä opetuskäytön tukena. Laadittujen suositusten ja ohjeistuksen tavoitteena on edistää sosiaalisen median käyttöä Kuopion talouskoulussa. Työssä la, Social media has become a growning phenomenon with many and varied definitions in public and educational use. The aim of this bachelor´s thesis was to produce the guidelines and recommendations for the use of social media at Kuopio Home Economics School. Social media provides a number of free for utilizing in educational activities, marketing and communications. While social networking is fun and valuable, there are some risks which should be kept in mind when using these tools. The thesis deals with the question of how the open environments and publicity impact on interaction, community, information sharing and the quality of teaching. The work was carried out as a functional thesis. For the theoretical part of this bachelor's thesis literature was studied to explain what social media is and what are the main characteristics and genres of social media. The part also focused on surveying and understanding the significance of social media phenomenon from the perspective of Finnish society, educational organizations and working life. The functional part consists of the practical and comprehensive guidelines and recommendations for the use of social media at Kuopio Home Economics School. It wad done by drawing up documents that provide guidance regarding recommended practices for utilizing social media and shows which facts should be taken into account when using these tools in educational enviroment. The education provider is responsible for the safety of the learning environment. Therefore, this work was carried out with plenty of attention to risk management. The results of thesis were recommendations and guidelines for the commissioner. They are classified documents and therefore they are not included in the public report part of this thesis.

In recent years, the amount of electronic communication has grown enormously. This has posed some new problems in information security. In particular, the methods in cryptography have been under much scrutiny. There are several basic primitives that modern cryptographic protocols utilise. One of these is hash functions, which are used to compute short hash values from messages of any length. In this thesis, we study the security of hash functions from two different viewpoints. First of all, we analyse the security of the Very Smooth Hash against preimage attacks. We develop an improved method for finding preimages of Very Smooth Hash, compare this method with existing methods and demonstrate its efficiency with practical results. Furthermore, we generalise this method to the discrete logarithm variants of the Very Smooth Hash. Secondly, we describe the methods for finding multicollisions in traditional iterated hash functions and give some extensions and improvements to these. We also outline a method for finding multicollisions for generalised iterated hash functions and discuss the implications of these findings. In addition, we generalise these multicollision finding methods to some graph-based hash functions., Tiivistelmä Viime vuosina digitaaliseen tiedonsiirtoon perustuva tiedonsiirto on yleistynyt valtavasti. Tästä on seurannut monia uusia tietoturvaongelmia. Tässä yhteydessä erityisesti tiedon suojaamiseen käytetyt kryptografiset menetelmät ovat olleet tarkastelun kohteena. Hash-funktiot ovat yksi käytetyimmistä työkaluista nykyisissä kryptografisissa protokollissa. Tässä väitöskirjassa tarkastellaan hash-funktioiden turvallisuutta kahden eri tutkimusongelman kautta. Aluksi tutkitaan Very Smooth Hash -funktion turvallisuutta alkukuvien löytämistä vastaan. Alkukuvien löytämiseksi esitetään parannettu menetelmä, jota arvioidaan teoreettisilla ja käytännöllisillä menetelmillä. Tämä parannettu menetelmä yleistetään koskemaan myös Very Smooth Hashin muunnoksia, jotka perustuvat diskreetin logaritmin ongelmaan. Toisena tutkimuskohteena ovat iteroitujen hash-funktioiden yleistykset ja monitörmäykset. Aluksi esitellään perinteisiin iteroituihin hash-funktioihin liittyviä monitörmäysmenetelmiä. Tämän jälkeen tutkitaan iteroitujen hash-funktioiden yleistyksiä ja osoitetaan, että aiemmat monitörmäysmenetelmät voidaan laajentaa koskemaan myös näitä yleistyksiä. Lopuksi tutkitaan graafeihin perustuviin hash-funktioihin liittyviä monitörmäysmenetelmiä ja osoitetaan, että iteroitujen hash-funktioiden monitörmäysmenetelmä voidaan osittain yleistää koskemaan myös graafeihin perustuvia hash-funktioita.

SAP ERP R/3 on toiminnanohjausjärjestelmä (ERP), joka integroi yrityksen kaikki liiketoiminta-prosessit yhteen järjestelmään. ERP-järjestelmän käytöstä saatavan hyödyn lisäksi yritykset kohtaavat myös uusia riskialueita, joiden takia riskien hallinta joudutaan määrittämään uudelleen. Opinnäytetyön tavoitteena oli kuvata SAP-ympäristön riskialueita sekä käytäntöjä, joilla mahdol-lisia uhkakuvia voitaisiin pienentää. Asioita tutkittiin sekä yleisen tason että HK Ruokatalon nä-kökulmasta. Teoriaosuudessa keskityttiin ERP-järjestelmien toimintaan yrityksen käytössä, SAP ERP:n riskialueisiin, riskihallinnan kontrolleihin, toimintatapoihin sekä standardeihin. Käytännön osiossa analysoitiin HK:n SAP ERP-ympäristön riskialueita kerättyjen teoriamateriaalien pohjal-ta. Osiossa esitettiin HK:n kannalta merkittävimmät riskialueet, niiden seuraukset sekä toimenpi-teet, joilla riskejä voidaan pienentää. Opinnäytetyön teoreettinen viitekehys koostui SAP ERP:n tietoturvamateriaaleista ja asiantuntijahaastattelun tuloksista. Empiirisen osuuden tutkimustulokset ja päätelmät perustuivat teo-riaosuuden ja toimeksiantajan kanssa käytyjen haastatteluiden analysointiin. Johtopäätöksissä pohdittiin SAP ERP-järjestelmän osa-alueita, joihin HK Ruokatalon kannattaa tulevaisuudessa kiinnittää huomiotaan. Pohdinnassa esitettiin myös huomioita yleisellä tasolla sekä kuvattiin ISO/IEC 27001- ja 27005-standardit, joiden avulla yritykset voivat rakentaa riskien hallintoaan. SAP ERP:n yleisimpiä riskialueita ei voida suoraan osoittaa, sillä jokainen SAP-ratkaisu riippuu täysin asiakasyrityksen rakenteesta ja liiketoimintavaatimuksista, ja vaihtelevat näin tapauskoh-taisesti. Materiaalien pohjalta voidaan kuitenkin todeta, että merkittävä osa riskeistä periytyy jo järjestelmän käyttöönoton ajalta. Suurin osa ongelmista johtuu huonosti tehdyistä määrittelyistä ja liian aikaisesta käyttöönotosta. Yritykset saattavat riittää, että kunhan vain järjestelmä toimii tuotannossa., SAP ERP R/3 is enterprise resource planning-system (ERP) which integrates all business processes to one system. In addition to the benefit what comes from the use of ERP-system, the customer companies will also face new fields of threats, which intimidate to define the risk controlling all over again. The objective of this thesis was to describe the risk domains of SAP-environment in general level and in use of HK Ruokatalo and practices which reduce these risks. The theoretical part described about ERP-system's functions within the company, and the risk domains of SAP ERP's, and the controls of risk management, and the practices and standards. On the empirical part the risk domains of HK's SAP-environment were analysed based on the theoretical materials. The section describes the significant risk domains with the consequences and the risk reducing practices from HK Ruokatalo's point of view. The theoretical context of the thesis consists of SAP ERP's data security materials and the results of consultant interview. The research results and conclusions of the empirical part are based on analyses of theoretical part and interviews. On the conclusions there were deliberated the fields of SAP ERP-systems which HK Ruokatalo should be giving their focus on. On the conclusions presented also observations on the general level and described ISO/IEC 27001 and 27005 standards, which the companies can use to build up their risk management. The common risk domains of SAP ERP's cannot be proved directly because every SAP-settlement depends completely on the customer company's structure and business require-ments, and can fluctuate on case-specific. Nonetheless there can be stated based on materials that the significant part of risks are descended from the implementation. The considerable parts of problems come from badly made definitions and hasten implementation. Companies may be satisfied as long as the system is running on production

SAP ERP R/3 on toiminnanohjausjärjestelmä (ERP), joka integroi yrityksen kaikki liiketoiminta-prosessit yhteen järjestelmään. ERP-järjestelmän käytöstä saatavan hyödyn lisäksi yritykset kohtaavat myös uusia riskialueita, joiden takia riskien hallinta joudutaan määrittämään uudelleen. Opinnäytetyön tavoitteena oli kuvata SAP-ympäristön riskialueita sekä käytäntöjä, joilla mahdol-lisia uhkakuvia voitaisiin pienentää. Asioita tutkittiin sekä yleisen tason että HK Ruokatalon nä-kökulmasta. Teoriaosuudessa keskityttiin ERP-järjestelmien toimintaan yrityksen käytössä, SAP ERP:n riskialueisiin, riskihallinnan kontrolleihin, toimintatapoihin sekä standardeihin. Käytännön osiossa analysoitiin HK:n SAP ERP-ympäristön riskialueita kerättyjen teoriamateriaalien pohjal-ta. Osiossa esitettiin HK:n kannalta merkittävimmät riskialueet, niiden seuraukset sekä toimenpi-teet, joilla riskejä voidaan pienentää. Opinnäytetyön teoreettinen viitekehys koostui SAP ERP:n tietoturvamateriaaleista ja asiantuntijahaastattelun tuloksista. Empiirisen osuuden tutkimustulokset ja päätelmät perustuivat teo-riaosuuden ja toimeksiantajan kanssa käytyjen haastatteluiden analysointiin. Johtopäätöksissä pohdittiin SAP ERP-järjestelmän osa-alueita, joihin HK Ruokatalon kannattaa tulevaisuudessa kiinnittää huomiotaan. Pohdinnassa esitettiin myös huomioita yleisellä tasolla sekä kuvattiin ISO/IEC 27001- ja 27005-standardit, joiden avulla yritykset voivat rakentaa riskien hallintoaan. SAP ERP:n yleisimpiä riskialueita ei voida suoraan osoittaa, sillä jokainen SAP-ratkaisu riippuu täysin asiakasyrityksen rakenteesta ja liiketoimintavaatimuksista, ja vaihtelevat näin tapauskoh-taisesti. Materiaalien pohjalta voidaan kuitenkin todeta, että merkittävä osa riskeistä periytyy jo järjestelmän käyttöönoton ajalta. Suurin osa ongelmista johtuu huonosti tehdyistä määrittelyistä ja liian aikaisesta käyttöönotosta. Yritykset saattavat riittää, että kunhan vain järjestelmä toimii tuotannossa., SAP ERP R/3 is enterprise resource planning-system (ERP) which integrates all business processes to one system. In addition to the benefit what comes from the use of ERP-system, the customer companies will also face new fields of threats, which intimidate to define the risk controlling all over again. The objective of this thesis was to describe the risk domains of SAP-environment in general level and in use of HK Ruokatalo and practices which reduce these risks. The theoretical part described about ERP-system's functions within the company, and the risk domains of SAP ERP's, and the controls of risk management, and the practices and standards. On the empirical part the risk domains of HK's SAP-environment were analysed based on the theoretical materials. The section describes the significant risk domains with the consequences and the risk reducing practices from HK Ruokatalo's point of view. The theoretical context of the thesis consists of SAP ERP's data security materials and the results of consultant interview. The research results and conclusions of the empirical part are based on analyses of theoretical part and interviews. On the conclusions there were deliberated the fields of SAP ERP-systems which HK Ruokatalo should be giving their focus on. On the conclusions presented also observations on the general level and described ISO/IEC 27001 and 27005 standards, which the companies can use to build up their risk management. The common risk domains of SAP ERP's cannot be proved directly because every SAP-settlement depends completely on the customer company's structure and business require-ments, and can fluctuate on case-specific. Nonetheless there can be stated based on materials that the significant part of risks are descended from the implementation. The considerable parts of problems come from badly made definitions and hasten implementation. Companies may be satisfied as long as the system is running on production

Increasingly, organizations and individuals rely upon technologies and networks more and more. Likewise, these environments are infested with more dangers, which could be avoided if computer users were to follow general security guidelines or procedures. Despite the ever-increasing threat, little research has addressed or explained why individuals purposefully engage in behaviors that make them more vulnerable to these threats, rather than avoiding or protecting themselves from such threats. Despite the advantage that could be afforded by understanding the motivations behind such behaviors, research addressing these behaviors is lacking or focused on very specific theoretical bases. This dissertation addresses this research gap by focusing on security-related behaviors that have yet to be addressed in this research stream, and by using novel theoretical perspectives that increase our insight into these types of behaviors. Four studies (n = 1,430) are tested and reported here that support the four behaviors and theoretical perspectives that are of focus in this dissertation. By considering additional theories, constructs, and theoretical perspectives, this dissertation provides several important contributions to security-related behaviors. The results of this study provide new insights into the motivations behind the purposeful enactment of behaviors that increase one’s vulnerability to technological threats and risks., Tiivistelmä Organisaatiot ja ihmiset ovat yhä enenevissä määrin riippuvaisia teknologiasta ja tietoverkoista. Tällöin he myös kohtaavat entistä enemmän tietoturvariskejä, joita olisi mahdollista välttää noudattamalla tietoturvaohjeita ja -politiikkoja. Huolimatta näistä jatkuvasti yleistyvistä riskeistä, tähän mennessä ei juurikaan ole tehty tutkimusta, joka selittää ihmisten tietoista tietoturvaohjeiden ja -politiikkojen laiminlyöntiä, joka altistaa heidät tietoturvariskeille. Aikaisempi ihmisten tietoturvakäyttäytymisen syiden ymmärtämiseen keskittyvä tutkimus tarkastelee ilmiötä yksipuolisesti tiettyihin teoreettisiin lähtökohtiin nojautuen. Tämä väitöskirjatyö tarkastelee ihmisten tietoturvakäyttäytymisen syitä uudesta teoreettisesta näkökulmasta. Väitöskirja sisältää neljä tutkimusta (n = 1430), jotka tarkastelevat erityyppistä tietoturvakäyttäytymistä erilaisista teoreettisista lähtökohdista. Väitöskirja täydentää olemassa olevaa tietoturvakäyttäytymisen tutkimusta uusien teorioiden, käsitteiden ja teoreettisten näkökulmien avulla.

Information security is a key factor supporting companies’ security and business requirements, and it is significantly affected by the information security behavior of the employees. Previous research has studied empirically as to which factors explains employees’ compliance with information security policies and instructions. However, there are only a few empirical studied on the effectiveness of information security training on the information security behavior of employees. Especially, studies examining the effect on training on employees’ cyberloafing (non-work related Internet use) behavior are far and few between. To address this gap in research, this thesis carries out an action research study aimed at improving employees’ cyberloafing behavior at an organizational context. The results suggest that cyberloafing can be reduced by a proper training., Tiivistelmä Tietoturva on keskeinen tekijä yrityksen kokonaisturvallisuuden ja liiketoiminnan tarpeiden tukemisessa, johon henkilökunnan tietoturvakäyttäytyminen vaikuttaa hyvin merkittävästi. Yksilön tietoturvakäyttäytymistä ja tietoturvapolitiikan ja -ohjeistuksien noudattamista on tutkittu empiirisesti vahvojen teoreettisten taustojen pohjalta. Tutkimustulokset ovat osoittaneet, että yksilön normeista ja ohjeistuksista poikkeava käyttäytyminen on vahvasti sidoksissa henkilökohtaisiin tapoihin, joita puolustellaan ja selitetään erilaisilla syillä. Tietoturvakoulutuksen vaikuttavuutta yksilön ja organisaation tietoturvakäyttäytymiseen on tutkittu empiirisesti hyvin vähän. Työhön liittymättömän Internetin käytön kontekstissa tehtyjä tutkimuksia on vain muutamia, ja niissä on selvitetty käytön motivaatiota ja käyttäjien profilointia. Tietoturvakoulutuksen vaikutusta yksilön työhön liittymättömän Internet-käyttäytymisen muuttamiseen ei ole aikaisemmin tieteellisesti tutkittu. Tässä väitöskirjassa tutkitaan tätä ajankohtaista kansainvälisen tutkijayhteisön tiedostamaa ongelmaa. Tutkimus suoritetaan noudattaen toimintatutkimusmallia kahdessa vaiheessa, joista toisessa sovelletaan kokeellista tutkimusmenetelmää. Pitkittäistutkimuksen ensimmäisessä vaiheessa tutkitaan organisaation tietoturvakäyttäytymistä ja -toimintaa. Tämän perusteella suunnitellaan koulutusmenetelmä, jonka avulla pyritään ratkaisemaan organisaation tietoturvatoiminnan keskeiset ongelmat ja parantamaan yksilön tietoturvatietoisuutta. Toisessa vaiheessa koulutusmenetelmää kehitetään ja laajennetaan koko organisaation henkilökunnan tasolle, minkä tavoitteena on muuttaa yksilön työhön liittymätöntä Internet-käyttäytymistä. Tutkimuksessa sovelletaan kriminologiaan pohjautuvaa neutralisoimisteoriaa ja sosiaalipsykologian tapateoriaa, joiden avulla pyritään selittämään yksilön työhön liittymätöntä Internet-käyttäytymistä. Tietoturvakoulutuksen laadinnassa sovelletaan oppimisen psykologiaa, sosiokonstruktiivi

Employee non-compliance with information systems (IS) security procedures is a key concern for organizations. However, even though the importance of having effective IS security training is widely acknowledged by scholars and practitioners, the existing literature does not offer an understanding of the elementary characteristics of IS security training, nor does it explain how these elementary characteristics shape IS security training principles in practice. To this end, this thesis develops a theory that suggests that IS security training has certain elementary characteristics that separate it from other forms of training, and sets a fundamental direction for IS security training practices. Second, the theory defines four pedagogical requirements for designing IS security training approaches. Then it points out that no existing IS security training approaches meet all these requirements. To address these shortcomings, the way in which to design an IS security training approach that meets all these requirements is demonstrated. In this thesis it is also argued that, along with an effective IS security training approach, reasons for employees’ IS security behavior need to be understood. The existing empirical research in the field of employees’ IS security behavior is dominated by theory-verification studies that test well-known theories developed in other fields in the context of IS security. Instead, it is argued that there is a need to focus the investigation on the phenomenon of employees’ compliance itself through an inductive and qualitative approach to complement the existing body of knowledge of this topic. As a result, a framework identifying reasons associated with compliance/non-compliance with security procedures is developed. A particularly interesting finding is that individuals’ violation of IS security procedures depends on the type of violation. Besides advancing a meta-theory for IS security training and developing the theoretical framewor, Tiivistelmä Yhtenä keskeisenä ongelmana organisaatioissa pidetään sitä, että työntekijät laiminlyövät organisaation tietoturvakäytäntöjä. Vaikka tutkijat ja organisaatiot ovat tunnistaneet tietoturvakoulutuksen tärkeyden, olemassa oleva kirjallisuus ei tuo esiin tietoturvakoulutuksen perusominaisuuksia ja niiden asettamia vaatimuksia käytännön tietoturvakoulutukselle. Tässä väitöskirjassa kehitetään kolmitasoinen meta-teoria, joka huomioi nämä aikaisemmasta tietoturvakoulutusta käsittelevästä kirjallisuudesta puuttuvat kysymykset. Teorian ensimmäisellä tasolla määritellään tietoturvakoulutuksen perusominaisuudet, jotka erottavat sen muista koulutusmuodoista ja ohjaavat tietoturvakoulutuksen toteuttamista käytännössä. Teorian toisella tasolla määritellään neljä pedagogista vaatimusta tietoturvakoulutuksen suunnitteluun. Lisäksi kirjallisuusanalyysin perusteella osoitetaan, että olemassa oleva tietoturvakoulutusta käsittelevä kirjallisuus ei täytä kaikkia näitä vaatimuksia. Teorian kolmannella tasolla esitetään käytännön esimerkki siitä, kuinka tietoturvakoulutus voi täyttää tutkimuksessa määritellyt pedagogiset vaatimukset. Väitöskirjassa esitetään myös, että tehokkaan koulutusmenetelmän lisäksi on tärkeää ymmärtää työntekijöiden tietoturvakäyttäytymistä. Aikaisemmin tällä alueella on pääasiassa testattu muiden tieteenalojen teorioita tietoturvakontekstissa. Tässä väitöskirjassa sen sijaan tarkastellaan työntekijöiden tietoturvakäyttäytymisen syitä induktiivisen ja laadullisen tutkimusmenetelmän avulla. Tutkimuksen tuloksena kehitetään teoreettinen viitekehys, jonka avulla analysoidaan työntekijöiden tietoturvakäyttäytymistä. Tutkimuksen päätuloksena osoitetaan, kuinka tietoturvakäyttäytymiseen syyt eroavat rikkomustyypeittäin. Tietoturvakoulutuksen suunnittelua tukevan meta-teorian ja työntekijöiden tietoturvakäyttäytymistä selittävän teoreettisen viitekehyksen lisäksi väitöskirjassa esitetään uusia näkökulmia tietoturvakoulutuksen ja tietoturvakäyttäytymisen tutkim

Opinnäytetyön tavoitteena oli selvittää, mitä asioita toimeksiantaja Pyhäjärven kaupungin olisi hyvä huomioida ja selvittää suunniteltaessa ja toteutettaessa siirtymistä sähköiseen ostolaskujen käsittelyyn. Tavoitteena oli myös ottaa selvää Pyhäjärven kaupungin ostolaskujen käsittelijöiden odotuksista ja koulutustarpeista liittyen sähköiseen ostolaskujen käsittelyyn sekä Pyhäjärven kaupungin toimittajien valmiuksista sähköiseen laskutukseen. Teoreettinen viitekehys rajattiin käsittelemään kunnan taloutta, ohjelmiston hankintaprosessia ja sähköistä laskutusta, etenkin sähköistä ostolaskujen käsittelyä. Sähköisen laskutuksen tietoturvaa käsiteltiin myös. Empiirinen tutkimus toteutettiin haastattelemalla ostolaskujen käsittelijöitä Kainuun maakunta -kuntayhtymässä, Kiuruveden kaupungissa ja Pyhäjärven kaupungissa. Pyhäjärven kaupungin toimittajien valmiuksia sähköiseen laskutukseen selvitettiin Tietoyhteiskunnan kehittämiskeskus ry:n verkkolaskuosoitteistoa hyödyntämällä. Tutkimus osoitti, että sähköinen ostolaskujen käsittely nopeuttaa laskujen kiertoa, helpottaa kierron seurantaa ja nopeuttaa työskentelyä. Laskut myös löytyvät helposti sähköisestä arkistosta. Valittavan ostolaskujen kierrätysohjelmiston tärkeinä ominaisuuksina pidettiin Pyhäjärvellä helppokäyttöisyyttä ja käyttövarmuutta. Mahdollisimman kattava koulutus koettiin tarpeelliseksi järjestettävän kaikille tulevan ohjelmiston käyttäjille. Pieni osa Pyhäjärven kaupungin toimittajista laskutti sähköisesti selvityksen tekohetkellä. Valmistautuminen sähköiseen ostolaskujen käsittelyyn siirtymiseen kannattaa aloittaa aikaisessa vaiheessa. Tulevaisuudessa, kun sähköisesti laskuttavien toimittajien määrä lisääntyy, siirtyminen sähköiseen ostolaskujen käsittelyyn on hyödyllistä., The purpose of the final year paper commissioned by Pyhäjärvi town was to clarify what matters would be important to pay attention to and clarify when planning and putting into practise the changeover to electronic processing of accounts payable. The purpose was also to find out the accounts payable clerks´ expectations and training requirements concerning the electronic processing of accounts in Pyhäjärvi and the preparedness of the suppliers of Pyhäjärvi for electronic invoicing. The theoretical background deals with local government finances, the process of acquiring software and electronic invoicing, especially electonic processing of accounts payable. Data security of electronic invoicing was also dealt with. The empirical research was made by interviewing accounts payable clerks in the Joint Authority of Kainuu, Kiuruvesi and Pyhäjärvi. The preparedness of the suppliers of Pyhäjärvi for electronic invoicing was clarified by making use of the e-invoice address register of Tietoyhteiskunta kehittämiskeskus ry. The research revealed that electronic processing of accounts payable speeds up the rotation speed of the invoices and makes easier to control the rotation. Invoices are also easy to find from the electronic archives. Important features of the software to be chosen in the future in Pyhäjärvi should include, among other things, user friendliness and reliability. Intensive training was found necessary for all the users of the software. Some of the suppliers of Pyhäjärvi already used electronic invoicing when the survey was made. Getting ready for electronic processing of accounts payable is useful to start early enough. In the future, when electronic invoicing becomes more common, the changeover to electronic processing of accounts payable is useful.

HE 125/2003 vp sähköisen viestinnän tietosuojalaiksi ja eräiksi siihen liittyviksi laeiksi