Tietojärjestelmäriskit perinteisissä ja SaaS-tietojärjestelmissä

Abstract

Pilvipohjaiset tietojärjestelmät ovat yleistyneet nopeasti niiden tarjoamien hyötyjen ansiosta, ja yhä useampi organisaatio siirtää työkuormaansa pilveen. Pilvipohjaiset tietojärjestelmät tuovat kuitenkin mukanaan uusia riskejä, joiden tunnistaminen ja vertaaminen muihin vaihtoehtoihin on tärkeää ennen pilveen siirtymistä. Pilvipohjaiset tietojärjestelmät aiheuttavat esimerkiksi tiedon sijaintiin ja erillään pitoon liittyviä riskejä, minkä lisäksi pilvipohjaisten järjestelmien hyödyntämä jaettu teknologia voi altistaa järjestelmän hyökkäyksille. Tämän tutkimuksen tavoitteena on tunnistaa sekä perinteisten tietojärjestelmien että SaaS (Software as a Service) -tietojärjestelmien riskejä sekä tarkastella, miten näiden kahden järjestelmätyypin riskit eroavat toisistaan. Tutkimus keskittyy erityisesti tietojärjestelmän elinkaaren toimintavaiheeseen, sillä silloin tietojärjestelmä toteuttaa perimmäistä tarkoitustaan, eli tiedon keräämistä, käsittelyä, säilyttämistä ja jakamista organisaation toiminnan tehostamiseksi. Tutkimuksessa luokitellaan kirjallisuudesta löytyviä tietojärjestelmäriskejä eri riskikategorioihin ja vertaillaan näitä kategorioita järjestelmätyyppien välillä. Tutkimus toteutettiin kirjallisuuskatsauksena, ja aineistona käytettiin artikkeleita, konferenssijulkaisuja ja raportteja, joista suurin osa oli vertaisarvioituja. Aineistoa haettiin kahdesta tietokannasta, ja hakutuloksia rajattiin muun muassa julkaisuvuoden ja -kielen perusteella. Lopulliset aineistot valittiin sen perusteella, vastaavatko tutkimuksen aiheeseen sekä vähintään yhteen alatutkimuskysymykseen. Tulokset osoittavat, että SaaS-järjestelmiin liittyviä riskejä on tutkittu huomattavasti enemmän kuin perinteisiin tietojärjestelmiin liittyviä riskejä. Perinteisissä tietojärjestelmissä korostuvat sisäisistä tekijöistä aiheutuvat riskit, kun taas SaaS-järjestelmissä ulkoisista tekijöistä aiheutuvat riskit ovat merkittävämpiä. Teknologiariskit ovat keskeisempiä perinteisissä järjestelmissä, kun taas tietoon liittyvät riskit, liiketoimintaprosessiriskit ja tietoturvariskit korostuvat SaaS-järjestelmissä. Lisäksi SaaS-järjestelmissä suuri osa riskeistä kuuluu palveluntarjoajan vastuulle, mikä rajoittaa organisaation omia riskienhallintamahdollisuuksia. Tutkimus osoittaa, että kumpikin tietojärjestelmätyyppi tuo oman näkökulman riskienhallintaan. SaaS-järjestelmien käyttö edellyttää huolellista toimittajavalintaa ja luotettavaa palveluntarjoajaa, kun taas perinteisten järjestelmien käyttö edellyttää erityisesti toimivia sisäisiä riskienhallinnan prosesseja.