Kriminalvården är den myndighet i Sverige som ansvarar för fängelser, häkten och frivård. Myndigheten har länge känt ett behov att inom flera verksamheter kunna få tillgång till delmängder av deras klientsystem i ett mobilt och uppkopplat format. Det största hindret i deras fall med mobilitet och applikationsteknik var säkerheten. Därför genomfördes en riskanalys med hänsyn till frivården och mobilapplikationsteknik. För att välja en lämplig och passande riskanalysmetod jämförde vi ett antal metoder. Det visade sig att metoden CORAS passade bäst. När vi väl genomfört riskanalysen med CORAS försökte vi sedan matcha åtgärderna mot de olika mobilplattformarnas egenskaper för att se hur de kan fullfölja åtgärderna. Mobilplattformarna vi undersökte var Android, Windows Phone 8 och iOS. Resultatet av riskanalysen och jämförelsen av plattformar kan ligga som grund till beslut hos Kriminalvården. / Kriminalvården is the government agency in Sweden which is responsible for prisons, jails and probation. The agency has realized a need of access to a several features of their inmate register systems from mobiles and handsets within different areas in their organization. The safety with the mobility and application technology is a comprehensive issue in this case. Therefore, a risk analysis about mobile application technology was initiated. We took the probation services into account as a concrete scenario where mobile application technology could be used. In order to select an appropriate and adequate risk analysis method, we compared a number of methods. It turned out that the method CORAS was the most suitable method. When we completed the risk analysis with CORAS, we tried to match the treatments against different mobile platforms properties to see how they can pursue the treatments. Mobile platforms we examined were Android, Windows Phone 8 and iOS. The result of the risk analysis and the comparison of mobile platforms can the agency use as a basis for further decisions.

Agile principles for software development are now the industry standard for innovative projects. Agile is often hailed for being flexible, but there is also a commonly held 'truth' that agile principles and software security do not work well together. For this reason it is not uncommon to place all security responsibilities with a separate team, which goes against the agile principles of being team-centered and may affect flexibility or timeframe of a project. Additionally, software security is difficult and requires extensive experience and knowledge, something that varies a lot among software developers. This study presents a threat modeling process tailored for the specific needs and capabilities of the agile developer team. The process combines features of attack trees and abuser stories with other supplementary techniques in a pedagogical instruction manual to create an accessible and easy-to-get-started method intended to be driven by the developers themselves. The process has been developed through extensive review of extant threat modeling methods and the circumstances of the agile team, and trialed through user tests at an agile ITorganization in the financial services. / Agila principer för mjukvaruutveckling är nu industristandard för innovativa projekt. Agila metoder hyllas ofta för sin flexibilitet men det finns också en vidspridd uppfattning att agila metoder och mjukvarusäkerhet inte går bra ihop. Av den anledningen är det inte ovanligt att säkerhetsansvar och -uppgifter drivs av en separat säkerhetsgrupp, vilket går emot de agila principerna om fokus på utvecklarteamet. Detta kan få effekter både för projektets flexibilitet och dess tidsram. Dessutom är IT-säkerhet ett svårt ämne som kräver både erfarenhet och avsevärd kunskap, något som funnits variera mycket bland mjukvaruutvecklare. Den här studien presenterar en hotmodelleringsprocess som skräddarsytts för utvecklarteamets specifika behov och styrkor. Processen kombinerar funktioner från attackträd och abuser stories med andra, komplementära tekniker i en pedagogisk instruktionsmanual för att leverera en lättillgänglig och snabbstartad metod menad att drivas av utvecklarna själva. Processen har utvecklats genom omfattande studier av etablerade hotmodelleringsprocesser, samt den agila teammiljön, och testats och vidareutvecklats genom användartester hos en agil IT-organisation inom finansbranschen.