Tutkielmassa selvitetään, miten tietoturvainvestoinnit näkyvät pienessä kasvuyrityksessä ja mikä on yrityksen odotetun kasvun vaikutus yrityksen tietoturvainvestointitarpeisiin. Pieniksi kasvuyrityksiksi luokitellaan startup-yritykset ja kasvuhakuiset pk-yritykset. Tutkielmassa yhdistetään teoria organisaation kasvusta yrityksen tietoturvainvestointitarpeisiin: miten yrityksen johdon näkemys tietoturvainvestointien tarpeesta muuttuu yrityksen kasvaessa? Tutkielman empiirinen osio toteutetaan kvalitatiivisena tapaustutkimuksena. Tuloksissa kuvataan, miten pienessä, voimakkaasti kasvuhakuisessa, suomalaisessa startup-yrityksessä suhtaudutaan tietoturvainvestointeihin. Tuloksista käy ilmi, että yrityksen tietoturvainvestointien ja odotetun kasvun välillä on yhteys. Investointityyppien välillä on eroa; osa tietoturvainvestoinneista koetaan vain isojen organisaatioiden asiaksi ja tarpeelliseksi vasta kun yritys on jo kasvanut huomattavasti suurempaan kokoluokkaan. Tietoturvaan investoidaan sen verran kuin on välttämätöntä, mutta ei ylimääräistä. Tietoturvainvestointien ei koeta tuovan suoraa kilpailuetua. Ensisijaisesti investoidaan kasvua tuoviin asioihin. Tietoturvan pitää olla riittävällä tasolla, mutta jos ei ole mitään pakottavaa syytä investoida resursseja tietoturvaan, muut asiat menevät edelle. Tarve tietoturvainvestoinneille tulee tyypillisesti yrityksen ulkopuolelta: lainsäädännön vaatimukset ja asiakkaan vaatimukset ovat keskeisimpiä syitä tietoturvainvestoinnille. Investointipäätökset tehdään keskustelun kautta ilman erillisiä työkaluja tai viitekehyksiä. Investoinnit pyritään toteuttamaan mahdollisuuksien mukaan ilman rahallisia investointeja, hyödyntämällä esimerkiksi erilaisia vapaasti saatavilla olevia avoimen lähdekoodin ohjelmistoja. Tapausyrityksessä korostui ”tee se itse”-lähestymistapa tietoturva-asioihin.