Detta arbete har undersökt vad en RTU är och vad den fyller för funktion. Med hjälp av SCADA-system kan flera RTUer kopplas samman för att få en övergripande bild av hur det ser ut i exempelvis ett ställverk eller en del av elnätet. Dock finns det många saker som gör att kommunikation över internet inte alltid är säker. Attacker som Stuxnet och NightDragon har visat att det går att göra stor skada för infrastruktur med hjälp av cyberattacker. Dock är det ännu ingen större prioritet att skydda sin RTU eller SCADA mot de mest sofistikerade attackerna eftersom den säkerhet som man redan byggt in skyddar mot de flesta hot. Ifall någon skulle ha tillräckliga kunskaper och resurser för att ta sig in kommer de att kunna göra det, oavsett förebyggande åtgärder.

Examensarbetet är utfört på Axfood AB som vill se om det finns behov av att införa olika skyddsåtgärder beroende på vilken information som kommuniceras i ett trådlöst nätverk i butik. För att komma fram till ett förslag på vilka skyddsåtgärder som är lämpliga att införa vid trådlös kommunikation i en butiksmiljö har jag genomfört en kvalitativ riskanalys. Ett antal väl definierade scenarion har fungerat som en konkret utgångspunkt för riskanalysen. I den kvalitativa riskanalysen har hot som är speciellt intressanta vid trådlös kommunikation identifierats och en riskbedömning gjordes genom att bedöma sannolikhet och konsekvens av dessa hot. Även skyddsåtgärder identifierades för att tillsammans med resultatet från riskbedömningen avgöra vilken nivå av skyddsåtgärder som är lämpliga i de olika scenarierna. Med utgångspunkt i scenarierna har sedan konkreta rekommendationer för olika skyddsåtgärder gjorts. Det har visat sig att det i de flesta fall är samma grundläggande rekommendationer som har getts för de olika scenarierna. Detta examensarbete ska kunna användas av företaget som underlag för att besluta vilka skyddsåtgärder som är nödvändiga att investera i beroende på vilka tjänster som deras trådlösa nätverk ska tillhandahålla. Examensarbetet kan även vara intressant för andra företag som överväger att införa trådlösa nätverk.

In this report hardware based alternatives to password authentication in a Windows domain are evaluated for the needs of a certain company. In order to investigate the demands on such alternatives interviews with people concerned have been carried out. The demands which resulted from the interviews have been used to select types of hardware tokens for evaluation. Two products which offer authentication with smart cards and USB tokens have been selected and closer evaluated. These are RSA Passage which offers both hardware options and Rainbow iKey which uses USB tokens. Both products are evaluated based on the demands and additional evaluation criteria. The information from the evaluations is used to compare the products.

Effektiv hantering av den växande mängden data i dagens IT-samhälle är ett ständigt återkommande problem. Lösningar som innebär att information med krav till snabb åtkomst dubbellagras på flera olika ställen, är bara en av anledningarna till nytänkandet "katalogtjänster''. Eftersom det länge inte funnits några fasta standarder för ett sådant protokoll har olika företag utvecklat sina egna lösningar. Detta innebär naturligt att det blir problem när man vill få olika katalogtjänster utvecklade för olika syften att samarbeta. Protokollet som är tänkt att lösa detta är LDAP (Lightweight directory Access Protocol). Detta arbete behandlar hur man bygger ett centraliserat autentiseringssystem med hjälp av LDAP. Fördelarna med LDAP framför traditionella metoder som NIS/NIS+ diskuteras, samt hur man kan knyta ihop ett nätverk med både Windows- och Linuxdatorer, där informationen om användare och rättigheter finns lagrade centralt i en LDAP-baserad katalogtjänst. Generella säkerhetsbegrepp kring autentisering tas upp, samt vad det egentligen är man behöver skydda vid autentisering och kommunikation via ett nätverk.

Some word processing programs save information that not all users of the program are aware of. This information consists of a number of things. Example of that is who the writer of the document is, the time it took to write it and where on the computer the document is saved. Text that has been changed or removedcan also be saved. This information is not shown in the program and the user will therefore not be aware of its existence. If the document is opened in a text editor that only reads plain ASCII text, this information will be visible. If this information is confidential and also available to people it could become a security risk. In this thesis I will sort out what kind of information this is and in what way it could be a security risk. I will also discuss what measures that can be taken to minimize the risk. This is done partly by studying literature combined with some smaller test that I have performed.

Access control systems are an important concept in the area of computer security. In this master thesis different solutions are analyzed. The focus is on a tool called DW Access. DW Access is developed by Pdb Datasystem AB. A comparison was done that showed that DW Access is lacking some important functionality. After the comparison a base model for an access control system was designed. The new design includes concepts like relation- ships, replacements and time limited access. It also works for generic subjects and objects in the system. This design was later partly implemented in DW Access. The conclusions from this thesis work is that DW Access is a unique tool and there is a market for the application or similar applications. The new functionality was one step forward and the evaluation showed that the potential users liked the new concepts. But it is a very open area because of very unique requirements on the market.

Säkerhetsincidenter kan vara av många olika typer, från IT-relaterade incidenter till inci-denter som påverkar exempelvis brandskyddet. På något sätt måste dessa incidenter tas om hand. Detta kan ske genom manuella procedurer eller med stöd av databaserade incident-hanteringssystem. Denna studie är utförd på Saab Aerospace i Linköping och behandlar primärt företagets hantering av incidenter. Jag har undersökt hur företaget bedriver säker-hetsarbete och hanterar säkerhetsincidenter både vad avser informationssäkerhet som jag anser är nära associerat med sekretess av information, men även säkerhet som är associerad till företagets anläggning (skalskydd). Företaget har planer på att implementera ett informationssystembaserat stöd för incident-hanteringen, ett incidenthanteringssystem. Det primära syftet med studien var att undersöka de olika intressenternas inställning till ett sådant system för att se om detta var något som efterfrågades eller om nuvarande hantering ansågs tillfredsställande. Säkerhetstänkandet inom företaget är högt, vilket till stor del beror på företagets känsliga inriktning med utveckling av bland annat militära stridsplan, och delar till dessa. Av den anledningen blir säkerhetsmomenten för att minimera risken för incidenter av betydelse. Viktiga moment som det arbetas med är incidenthantering, informationsklassning, loggning kontinuitetsplanering och säkerhetskopiering. Vad som framkom i studien var att nuvarande incidenthanteringsrutiner fungerar ostandar-diserat, osystematiskt och decentraliserat. Detta svar är dock generellt och några intressen-ter anser att det för dem fungerar tillfredsställande även om dessa också anser att det finns aspekter av incidenthanteringen som borde ses över. Med ostandardiserat menas att proce-durer varierar mycket mellan olika verksamhetsområden. Med decentraliserat avses att det inte finns någon övergripande funktion för sammanställning och hantering av incidenter, det är således ingen på företaget som har helhetsbilden av incidenthanteringen. Behov av att åtgärda ovannämnda problem finns, ett incidenthanteringssystem skulle såle-des kunna vara en möjlig lösning. Intressenterna är emellertid oense om att ett gemensamt incidenthanteringssystem är något som eftersträvas. Det framförs krav att ett sådant system skulle vara väl sektionerat till de olika verksamhetsområdena för att medarbetare endast ska kunna komma åt relevant information, något som även är bra ur en sekretess och behörig-hetsaspekt. Incidenthanteringssystemet skulle sedan kunna ha en övergripande funktion för sammanställning av incidentrapporter från de olika intressenternas verksamhetsområden.

Uppsatsen syftar till att utvärdera informationssäkerheten i Olofströms kommuns IT-verksamhet för att jämföra resultatet med BITS. Vidare syfte med uppsatsen är att se över de övriga Blekingska kommunernas syn på informationssäkerhet samt hur de arbetar med det. Uppsatsen klarlägger även Olofströms kommuns anställdas syn på informationssäkerhet samt ger en sammanfattning hur deras dator-, lösenords- och e-posthantering ser ut. En tillsyn av Olofströms kommuns dokument "Säkerhetsinstruktion IT, för användare" genomförs för att utvärdera huruvida dokumentet uppnår en acceptabel säkerhetsnivå för informationshantering. Sammanfattningsvis visar resultaten att Olofströms kommun genomför ett aktivt arbete med informationssäkerhet. Resultaten visar även att de övriga Blekingska kommunerna anser att informationssäkerhet är viktigt och de jobbar någorlunda likvärdigt med det. Angående Olofströms kommuns dokument "Säkerhetsinstruktion IT, för användare" föreslås ett antal åtgärder som bör vidtas för att dokumentet ska vara à jour. Slutligen rekommenderas ett eventuellt samarbete mellan de Blekingska kommunerna för att ta fram ett gemensamt styrdokument för användarna.

Syftet med studien var att få en inblick i informationssäkerhet hos organisationer inom Gävleborg och kunna jämföra hur privata och offentliga sektorn arbetar. En kvalitativ studie utfördes för att samla in data från organisationer i Gävleborg. Fem respondenter deltog i semistrukturerade intervjuer. Intervjuerna var på distans och genomfördes med hjälp av videokonferens-tjänster via nätet. Alla organisationer i studien följer ett antal lagar, regler och direktiv vid hantering av information. Det finns en skillnad i vad den privata sektorn behöver följa gentemot den offentliga sektorn. För att upprätthålla informationssäkerheten deltar alla medarbetare inom organisationerna i någon form av utbildning. Informationsklassificeringen sker på olika sätt inom organisationerna

Webbattacker är i dagens läge ett välkänt problem. Syftet med en attack kan vara allt från att enbart förstöra, till att komma åt sekretessklassad information eller drivas av organiserad brottslighet för ekonomisk vinning. Ett stort behov hos många företag är därför att skydda sig mot attacker. Ett system måste garantera att information som finns i systemet enbart kan kommas åt av autentiserade användare. Information som skickas och lagras i systemet får inte avlyssnas eller gå att förändra. Denna rapport redogör för ett projekt där ett webbaserat system, som ett företag ska utveckla, undersöks. För att detta system ska bli säkert mot attacker görs en bedömning av vilken nivå av säkerhet som krävs, samt en riskanalys av systemet och en analys av säkerhetslösningar som täcker dessa risker. Projektet resulterade i en beskrivning av de säkerhetslösningar som skyddar mot systemets risker och som täcker företagets krav på säkerhetsnivå. Resultatet är informativt och ska kunna användas som grund vid utveckling av säkerheten i webbaserade system. / Web attacks are today a well-known problem. The purpose of an attack can vary from only destroying, to access confidential information or be operated by criminal activities for financial gain. Many businesses therefore have a great need to protect themselves against attacks. A system must ensure that only authenticated users can access the information contained in the system. I should not be possible to intercept or change the information that is sent and stored in the system. This report describes a project where a web-based system, that a company is going to develop, will be analyzed. An assessment of the level of security that the system require, a risk analysis of the system and an analysis of security solutions that cover these risks, are made to make the system secure against attacks. The project resulted in a description of the security solutions that protects against the systems risks, and that covers the company's requirements of security. The result is informative and can be used as a basis for the development of the security in web-based systems.