<p> </p><p><strong>Date: </strong>2008-10-06</p><p><strong></strong></p><p><strong>Level: </strong>Bachelor thesis within Information Technology and business economics, 15p, EIK021</p><p><strong></strong></p><p><strong>Authors:</strong> Anna Karlsson, akn05009@student.mdh.se</p><p>Lena-Maria Lindström, llm05002@student.mdh.se</p><p>Magnus Wretlund, mvd05001@student.se</p><p><strong></strong></p><p><strong>Tutor: </strong>Marie Mörndal</p><p> </p><p><strong>Title: </strong>Managing IT-incidents, a case study at ICAs IT department                            Operations</p><p><strong></strong></p><p><strong>Keywords:</strong> IT-incident management, IT-incident management process, IT-incident, ITIL, CCTA</p><p> </p><p><strong>Problem: </strong>An organization can benefit by having an established management process of handling IT-incidents. But how can this be achieved? Are there step-by-step procedures? What´s included in the management process of IT-incidents? Is the size of the organization relevant to which model is to be chosen? Can the work of the writers of this essay result in a recommendation of a specific model for IT-incident management? These questions lead to the following essay question; <strong>How are IT-incidents managed?</strong></p><p><strong>Purpose: </strong>The purpose of this thesis is to describe and discuss how IT incidents can be managed.</p><p><strong>Method:</strong> The writers of this essay have performed a case study at ICA, a Swedish food retail company. Eleven interviews with nine different persons have been carried out. The interviews are analyzed in the chapter called Resultat och analys.</p><p><strong>Conclusion: </strong>Our conclusion is that there are both similarities and differences in Dept. Operations´ management process for handling IT-incidents compared to what is stated in the CCTA-model. Another conclusion is that it is of highest importance for a business to implement a standard procedure for handling IT-incidents. The lack of such a model could result in e.g. financial losses.</p>

<p>Hantering av IT-incidenter är ett växande problem då utvecklingen av datorsystem i företag växer fortare än vad själva organisationerna för att hantera dessa gör. I denna studie kommer IT-incidenter i Landstinget Gävleborg att undersökas. I denna miljö är det extra viktigt att IT-incidenterna behandlas på ett korrekt och effektivt sätt eftersom personers liv bokstavligt talat kan vara beroende av systemen. Trots detta finns inga övergripande rutiner för hur IT-incidenter skall hanteras. Genom gemensamma rutiner kan såväl data- som patientsäkerhet ökas. Genom intervjuer av ett antal nyckelpersoner och studier av de interna riktlinjerna hittades några faktorer som bidrar till att incidenthanteringen inte fungerar i alla faser av arbetet. En bidragande orsak kan vara att olika termer används för att beskriva oönskade händelser vilket gör att det råder oklarheter angående vad som skall rapporteras, även hur och till vem. En annan upptäckt är att uppföljningsarbetet i många fall saknas och i de fall det görs inte sker väldokumenterat och på ett strukturerat sätt. Att kategorisera incidenterna försvåras ytterligare eftersom medicinsk utrustning i många fall datoriserats och anslutits till datanätet.</p>

Thesis covers IT management with emphasis on incident management and its implementation to company, which desires to apply the best practice of information technology service management. First part of the thesis defines common language of modern management of IT processes -- Information Technology Infrastructure Library in its last 3rd version from 2011 (ITIL v3). Furthermore paper analyzes the function and role of Incident Management within company and its connections to other processes. Second part of the thesis describes practical implementation of the Incident Management and comparison of state before and after ITIL compliant processes.

IT-security is a global problem and over the world Computer Emergency Response Teams (CERT) are created in order to solve the problem. The common understanding is that IT-security is important but no straight guideline how to deal with it. The Swedish IT-incident centre (SITIC) started 2003. It is a Swedish solution on an international problem. There are challenges to be met when handling an IT-incident centre – organisation form, activity and result. We believe a general solution in IT-incident management that will suit all parties in the society, is a hard task for SITIC as things stand today. What we can deduce from our investigation is that there is no greater need of SITIC among the global companies. We believe one reason for this is that they are going to create within their companies some sort of CERT function by themselves in the future. This in its turn, depend on that the companies do not have any trust to SITIC, they do not see the benefit with an activity as SITIC because they only see the reporting, they do not believe they are going to get something in return. Conclusion: Incident management is not only about reporting incidents, but a continuous life cycle with phases: detect, report, measure and follow-up. / IT-säkerhet är ett globalt problem och över världen skapas Computer Emergency Respons Teams (CERT) för att försöka att lösa olika problem. Den vanliga uppfattningen är att IT-säkerhet är viktigt men att inga direkta guidelines finns för hur man skall hantera det. SITIC som är det svenska IT-incident centret, startade 1 januari, 2003. Det är en svensk lösning på ett internationellt problem. För ett IT-incident center finns det utmaningar att hantera såsom organisations form, verksamhet och resultat. Vi tror att en generell lösning av hanteringen IT-incidenter som skulle passa alla parter i samhället blir svårt för SITIC att klara av som det ser ut idag. Vad vi kan härleda från vår utredning är att det inte finns något större behov av SITIC för de globala företagen. Vi tror att en av anledningarna är att företagen själva i framtiden tänker starta egna CERT-funktioner. Detta i sin tur kan bero på att företagen inte har något större förtroende för SITIC, de kan inte se någon fördel men verksamheten, de ser endast rapporteringsdelen. Företagen tror inte att de kommer att få något tillbaka när dom rapporterar sina incidenter till SITIC. Slutsats: Incident hantering handlar inte bara om att rapportera incidenter, utan det är en kontinuerlig livscykel innehållande faserna: upptäcka, rapportera, åtgärda och följa upp.

IT-security is a global problem and over the world Computer Emergency Response Teams (CERT) are created in order to solve the problem. The common understanding is that IT-security is important but no straight guideline how to deal with it. The Swedish IT-incident centre (SITIC) started 2003. It is a Swedish solution on an international problem. There are challenges to be met when handling an IT-incident centre – organisation form, activity and result. We believe a general solution in IT-incident management that will suit all parties in the society, is a hard task for SITIC as things stand today. What we can deduce from our investigation is that there is no greater need of SITIC among the global companies. We believe one reason for this is that they are going to create within their companies some sort of CERT function by themselves in the future. This in its turn, depend on that the companies do not have any trust to SITIC, they do not see the benefit with an activity as SITIC because they only see the reporting, they do not believe they are going to get something in return. Conclusion: Incident management is not only about reporting incidents, but a continuous life cycle with phases: detect, report, measure and follow-up. / IT-säkerhet är ett globalt problem och över världen skapas Computer Emergency Respons Teams (CERT) för att försöka att lösa olika problem. Den vanliga uppfattningen är att IT-säkerhet är viktigt men att inga direkta guidelines finns för hur man skall hantera det. SITIC som är det svenska IT-incident centret, startade 1 januari, 2003. Det är en svensk lösning på ett internationellt problem. För ett IT-incident center finns det utmaningar att hantera såsom organisations form, verksamhet och resultat. Vi tror att en generell lösning av hanteringen IT-incidenter som skulle passa alla parter i samhället blir svårt för SITIC att klara av som det ser ut idag. Vad vi kan härleda från vår utredning är att det inte finns något större behov av SITIC för de globala företagen. Vi tror att en av anledningarna är att företagen själva i framtiden tänker starta egna CERT-funktioner. Detta kan bero på att företagen inte har något större förtroende för SITIC, de kan inte se någon fördel men verksamheten, de ser endast rapporteringsdelen. Företagen tror inte att de kommer att få något tillbaka när dom rapporterar sina incidenter till SITIC. Slutsats: Incident hantering handlar inte bara om att rapportera incidenter, utan det är en kontinuerlig livscykel innehållande faserna: upptäcka, rapportera, åtgärda och följa upp. / Ulrika Isaksson, 0708-353984 Karin Kvarnström 0708-140151 Malin Nilsson 0708-626844

Hantering av IT-incidenter är ett växande problem då utvecklingen av datorsystem i företag växer fortare än vad själva organisationerna för att hantera dessa gör. I denna studie kommer IT-incidenter i Landstinget Gävleborg att undersökas. I denna miljö är det extra viktigt att IT-incidenterna behandlas på ett korrekt och effektivt sätt eftersom personers liv bokstavligt talat kan vara beroende av systemen. Trots detta finns inga övergripande rutiner för hur IT-incidenter skall hanteras. Genom gemensamma rutiner kan såväl data- som patientsäkerhet ökas. Genom intervjuer av ett antal nyckelpersoner och studier av de interna riktlinjerna hittades några faktorer som bidrar till att incidenthanteringen inte fungerar i alla faser av arbetet. En bidragande orsak kan vara att olika termer används för att beskriva oönskade händelser vilket gör att det råder oklarheter angående vad som skall rapporteras, även hur och till vem. En annan upptäckt är att uppföljningsarbetet i många fall saknas och i de fall det görs inte sker väldokumenterat och på ett strukturerat sätt. Att kategorisera incidenterna försvåras ytterligare eftersom medicinsk utrustning i många fall datoriserats och anslutits till datanätet.

Date: 2008-10-06 Level: Bachelor thesis within Information Technology and business economics, 15p, EIK021 Authors: Anna Karlsson, akn05009@student.mdh.se Lena-Maria Lindström, llm05002@student.mdh.se Magnus Wretlund, mvd05001@student.se Tutor: Marie Mörndal   Title: Managing IT-incidents, a case study at ICAs IT department                            Operations Keywords: IT-incident management, IT-incident management process, IT-incident, ITIL, CCTA   Problem: An organization can benefit by having an established management process of handling IT-incidents. But how can this be achieved? Are there step-by-step procedures? What´s included in the management process of IT-incidents? Is the size of the organization relevant to which model is to be chosen? Can the work of the writers of this essay result in a recommendation of a specific model for IT-incident management? These questions lead to the following essay question; How are IT-incidents managed? Purpose: The purpose of this thesis is to describe and discuss how IT incidents can be managed. Method: The writers of this essay have performed a case study at ICA, a Swedish food retail company. Eleven interviews with nine different persons have been carried out. The interviews are analyzed in the chapter called Resultat och analys. Conclusion: Our conclusion is that there are both similarities and differences in Dept. Operations´ management process for handling IT-incidents compared to what is stated in the CCTA-model. Another conclusion is that it is of highest importance for a business to implement a standard procedure for handling IT-incidents. The lack of such a model could result in e.g. financial losses.

In this 7.5 HEC B-level thesis in Computer Science, a service desk web application is designed for Swedish government agencies with integrated major incident reporting functionality to the Swedish Civil Contingencies Agency (Myndigheten för samhällsskydd och beredskap). There are several advantages to integrating the major incident reporting procedure into the regular incident management process - information would no longer have to be duplicated, and the problems of untraceability and under-reporting could additionally be solved. The proof-of-concept application was designed and partially developed with ASP.NET Core (MVC) web framework and Bootstrap front-end framework. The user interface was evaluated with heuristic evaluation by the author and two master’s students in Information Security at Luleå Technical University. Although the proposed software and interface design may have left room for improvement, it did highlight the societal need for an efficient and responsible incident management process and the general benefits of integration.

This study aims to shed light on what a comparison between cybersecurity intelligence and public health surveillance systems can yield in practical improvements. The issue at hand is best described by the amount of threats both systems must detect. Intelligent malicious software, malware, designed by humans to spread and reap havoc in the abundance of unprotected networks worldwide and contagious diseases with millions of years of evolution behind their design to bypass human defences, infect and multiply. These two threats stand as mighty competitors to actors who try to monitor their presence to be able to give advice on further action to hinder their spread. The sheer amount of experience in public health of dealing with surveillance of contagious disease can contribute with important lessons to cyber intelligence when malware is becoming an even more alarming threat against everybody who uses the Internet. To compare them both this study uses high reliability theory to understand how Folkhälsomyndigheten, Sweden’s main authority in public health surveillance, and CERT-SE, Sweden’s national computer emergency response team, operate to make their surveillance as reliable as possible to detect emerging threats. Some key findings of the study points to the lack of regional or global binding policy’s to share information in the cyber security sector of which CERT-SE takes part in. The major roll of trust-based information sharing can be subject to shifts in relationships between states and excludes states with which no bilateral arrangements are made, but who may possess information of urgent necessity. The lack of arrangements in the cybersecurity sector, correspondent to the International health regulations by World Health Organization in public health, stands as a major difference between the two sectors access to information. However, this study may not stretch as far as to prove that the greater access to information would have proved to be of ease in a specific cyberincident. Case studies of this kind or further research of how agreements can be made in an anarchistic domain like the Internet are to be continued from this study.