<p>Examensarbetet är utfört på Axfood AB som vill se om det finns behov av att införa olika skyddsåtgärder beroende på vilken information som kommuniceras i ett trådlöst nätverk i butik. För att komma fram till ett förslag på vilka skyddsåtgärder som är lämpliga att införa vid trådlös kommunikation i en butiksmiljö har jag genomfört en kvalitativ riskanalys. Ett antal väl definierade scenarion har fungerat som en konkret utgångspunkt för riskanalysen.</p><p>I den kvalitativa riskanalysen har hot som är speciellt intressanta vid trådlös kommunikation identifierats och en riskbedömning gjordes genom att bedöma sannolikhet och konsekvens av dessa hot. Även skyddsåtgärder identifierades för att tillsammans med resultatet från riskbedömningen avgöra vilken nivå av skyddsåtgärder som är lämpliga i de olika scenarierna. Med utgångspunkt i scenarierna har sedan konkreta rekommendationer för olika skyddsåtgärder gjorts. Det har visat sig att det i de flesta fall är samma grundläggande rekommendationer som har getts för de olika scenarierna.</p><p>Detta examensarbete ska kunna användas av företaget som underlag för att besluta vilka skyddsåtgärder som är nödvändiga att investera i beroende på vilka tjänster som deras trådlösa nätverk ska tillhandahålla. Examensarbetet kan även vara intressant för andra företag som överväger att införa trådlösa nätverk.</p>

IT-användandet bland Sveriges företag är mycket stort och utvecklingen går snabbt framåt. Samtidigt som teknologin skapar möjligheter så skapar den även hot mot företagen själva. Dessa hotbilder glöms ofta bort och konsekvenserna kan bli att känslig information hamnar i fel händer. Undersökningen handlar om anställdas kunskap om den egna verskamhetens IT-säkerhetspolicy. I undersökningen granskas och jämförs även IT-säkerhetspolicys från ett mindre företag och en större kommunal organisation. Som metod har enkäter och intervjuer använts. Resultatet visar att kunskapen hos de anställda kring den egna IT-säkerhetspolicyn är varierande och att de båda policyerna ser mycket olika ut. En IT-säkerhetspolicy bör inte anses som en problemlösare i sig, utan användandet kan även ge nackdelar. Den kan ge stöd och tydlighet i arbetet och kan underlätta i beslutsfattande situationer och öka säkerheten i företaget. Det räcker dock inte med att ha en detaljrik och heltäckande IT-säkerhetspolicy, om de anställda inte känner till att den finns eller inte vet vad den innehåller. En IT-säkerhetspolicy bör vara ett levande dokument som tas upp för gemensam diskussion och revideras med jämna mellanrum. Nyckelord: IT-strategi, IT-säkerhetspolicy, organisation, enkät, intervju.

Denna studie fokuserar på den mänskliga faktorn av informationssäkerhet. Människan tenderar att vara en svag länk i en organisations försvar mot hot till informationssäkerheten. Angripare utnyttjar denna svaghet genom att manipulera de anställda att utföra åtgärder som gynnar angriparen.  Genom en studie av etablerade ramverk, standarder och modern litteratur har denna studie presenterat vilka säkerhetsrisker som existerar samt rekommendationer hur en organisation kan skydda dess användare mot dessa kritiska säkerhetsrisker. De kritiska säkerhetsrisker som har presenterats i denna studie är aktuella risker som påverkar alla moderna organisationer. Studiens resultat visar att den mänskliga faktorn spelar en viktig roll inom informationssäkerheten och bör behandlas därefter. Studien fann att det finns en mängd aktuella risker inom informationssäkerheten som relaterar till den mänskliga faktorn och varierar i allt från dataintrång till riktade attacker.

Examensarbetet är utfört på Axfood AB som vill se om det finns behov av att införa olika skyddsåtgärder beroende på vilken information som kommuniceras i ett trådlöst nätverk i butik. För att komma fram till ett förslag på vilka skyddsåtgärder som är lämpliga att införa vid trådlös kommunikation i en butiksmiljö har jag genomfört en kvalitativ riskanalys. Ett antal väl definierade scenarion har fungerat som en konkret utgångspunkt för riskanalysen. I den kvalitativa riskanalysen har hot som är speciellt intressanta vid trådlös kommunikation identifierats och en riskbedömning gjordes genom att bedöma sannolikhet och konsekvens av dessa hot. Även skyddsåtgärder identifierades för att tillsammans med resultatet från riskbedömningen avgöra vilken nivå av skyddsåtgärder som är lämpliga i de olika scenarierna. Med utgångspunkt i scenarierna har sedan konkreta rekommendationer för olika skyddsåtgärder gjorts. Det har visat sig att det i de flesta fall är samma grundläggande rekommendationer som har getts för de olika scenarierna. Detta examensarbete ska kunna användas av företaget som underlag för att besluta vilka skyddsåtgärder som är nödvändiga att investera i beroende på vilka tjänster som deras trådlösa nätverk ska tillhandahålla. Examensarbetet kan även vara intressant för andra företag som överväger att införa trådlösa nätverk.

IT- och informationssäkerhet är ett ständigt aktuellt ämnesområde. ITsäkerhetsarbetei små organisationer framstår som ett underforskat område. Föratt göra en kartläggning av hur arbete med risk, hot och säkerhet kan se ut i småorganisationer har vi genomfört en explorativ intervjustudie med representanterför små organisationer om deras arbete med IT- och informationssäkerhet. Vihar dessutom genomfört intervjuer med experter på området för att få ettbredare perspektiv. Tolkningen och analysen av intervjusvaren har utförtsgenom att först tolka svaren utifrån Security Controls och därefter analyserasvaren utifrån fem temaområden som vi funnit i materialet. Vi går däreftervidare med en diskussion kring hur vi funnit att de studerade organisationernaser på hot, risk och säkerhet och hur de arbetar med Security Controls settgenom de tre säkerhetsdimensionerna. Avslutningsvis föreslår vi fortsattforskning inom området. / IT and information security is a recurring theme. IT security in smallorganizations appear to be an under-researched area. To make a survey of thework on risk, threat and security might look like in small organizations, weconducted an exploratory interview with representatives of small organizationsabout their work with IT and information security. We also conducted interviewswith experts in the field to get a broader perspective. The interpretation andanalysis of the interview responses have been carried out by first interpret theresponses based Security Controls, and then analyze the responses on fivethematic areas which we found in the material. We will then continue with adiscussion of how we have found that the studied organizations, look at threats,risk and safety and how they work with the Security Controls seen through thethree security dimensions. Finally, we suggest further research in this area.

Internetanvändande har de senaste 20 åren växt på en global nivå från 2 % till 40 %. Detta har ökat den allmänna hotbilden mot organisationer och deras sårbarhet till förlust av viktig information. Idag har flera organisationers värde större omfattning som består av information. International Organization for Standardization (ISO) samt International Electrotechnical Commision (IEC) bildar ett system som används för global standardisering inom informationssäkerhet. ISO 27001 är ett hjälpmedel för att skapa ett strukturerat och effektivt arbetssätt för organisationer att öka den allmänna säkerheten samt kontrollen inom organisationen.  Syftet med studien är att beskriva hur personalens förutsättningar påverkas vid en implementering av ISO 27001-standarden i en medelstor organisation. För att ta reda på hur personalens förutsättningar påverkas vid en ISO 27001-certifiering utfördes en kvalitativ datainsamling, i form av intervjuer, på en medelstor organisation som nyligen har infört ISO 27001. Fyra intervjuer utfördes med personer som arbetar med IT-säkerhet på undersökningsföretaget.  Studien beskrev att anställdas förutsättningar påverkades, genom att de var tvungna att arbeta efter en ny arbetsstruktur i samband med införandet av ISO 27001. Anställda var positiva till att ISO-certifieras, eftersom att det ansågs vara en del av säkerhetsarbetet. Det fanns också en osäkerhet kring hur det dagliga arbetet samt rutinerna skulle påverkas av ISO 27001.

Den här uppsatsen går teoretiskt och praktiskt igenom IPv6 för att skapa en förståelse för det nya protokollet. Uppsatsen beskriver utöver den teoretiska genomgången av protokollet även det praktiska arbete som ligger bakom implementationen som är tänkt att kunna ge såväl privatpersoner som mindre organisationer tillgång till en säker IPv6 lösning även om Internetleverantören endast kan erbjuda IPv4.   Arbetet är gjort på eget initiativ då behovet av kunskap kring IPv6 växer lavinartat och då privatpersoner troligen kommer att vara bland de sista som erbjuds IPv6 direkt från sin Internetleverantör. / This paper takes a theoretical as well as a practical approach to what IPv6 is in order to create an understanding for the new protocol. In addition to the theoretical review of the protocol, this paper also describes the work that has been done in order to create an implementation that is supposed to bring  secure IPv6 support to both private individuals and smaller organizations, even if the Internet service provider only offers IPv4.   This paper and implementation is done on a personal initiative, since the need for knowledge regarding IPv6 is rapidly increasing and private individuals probably will be among the last to be offered native IPv6 support from their Internet service providers.

Säkerhetsincidenter kan vara av många olika typer, från IT-relaterade incidenter till inci-denter som påverkar exempelvis brandskyddet. På något sätt måste dessa incidenter tas om hand. Detta kan ske genom manuella procedurer eller med stöd av databaserade incident-hanteringssystem. Denna studie är utförd på Saab Aerospace i Linköping och behandlar primärt företagets hantering av incidenter. Jag har undersökt hur företaget bedriver säker-hetsarbete och hanterar säkerhetsincidenter både vad avser informationssäkerhet som jag anser är nära associerat med sekretess av information, men även säkerhet som är associerad till företagets anläggning (skalskydd). Företaget har planer på att implementera ett informationssystembaserat stöd för incident-hanteringen, ett incidenthanteringssystem. Det primära syftet med studien var att undersöka de olika intressenternas inställning till ett sådant system för att se om detta var något som efterfrågades eller om nuvarande hantering ansågs tillfredsställande. Säkerhetstänkandet inom företaget är högt, vilket till stor del beror på företagets känsliga inriktning med utveckling av bland annat militära stridsplan, och delar till dessa. Av den anledningen blir säkerhetsmomenten för att minimera risken för incidenter av betydelse. Viktiga moment som det arbetas med är incidenthantering, informationsklassning, loggning kontinuitetsplanering och säkerhetskopiering. Vad som framkom i studien var att nuvarande incidenthanteringsrutiner fungerar ostandar-diserat, osystematiskt och decentraliserat. Detta svar är dock generellt och några intressen-ter anser att det för dem fungerar tillfredsställande även om dessa också anser att det finns aspekter av incidenthanteringen som borde ses över. Med ostandardiserat menas att proce-durer varierar mycket mellan olika verksamhetsområden. Med decentraliserat avses att det inte finns någon övergripande funktion för sammanställning och hantering av incidenter, det är således ingen på företaget som har helhetsbilden av incidenthanteringen. Behov av att åtgärda ovannämnda problem finns, ett incidenthanteringssystem skulle såle-des kunna vara en möjlig lösning. Intressenterna är emellertid oense om att ett gemensamt incidenthanteringssystem är något som eftersträvas. Det framförs krav att ett sådant system skulle vara väl sektionerat till de olika verksamhetsområdena för att medarbetare endast ska kunna komma åt relevant information, något som även är bra ur en sekretess och behörig-hetsaspekt. Incidenthanteringssystemet skulle sedan kunna ha en övergripande funktion för sammanställning av incidentrapporter från de olika intressenternas verksamhetsområden.

I dagens samhälle är lösenord en central del av var människas vardag. Medvetenheten om vikten av ett säkert lösenord och vilka hot mot informationssäkerheten som existerar är en viktig del av en organisations säkerhetsarbete. Arbetet undersökte hur studenter på Linnéuniversitetet hanterar sina lösenord samt hur medvetna de är om existerande hot och attacker som kan äventyra lösenordets integritet. För att samla in data genomfördes en enkätundersökning. Ett program skapades med syfte att betygsätta användarnas lösenord och på ett pedagogiskt vis utbilda dem i hur ett säkert lösenord skapas. Resultaten visade att studenter i hög grad återanvänder lösenord och att det finns skillnader mellan olika grupper i graden av säkerhetsmedvetenhet. De som mottagit någon form av utbildning inom IT-säkerhet har större kunskap om hot och attacker, samt hanterade sina lösenord på ett mer säkert sätt. / In todays society, passwords are a central part in the daily routine of the common man. The importance of a safe password and knowledge of what threats against information security exists, is an important part of an organization’s security. This work studied how students at the Linnaeus University handles their passwords and how aware they are of existing threats and attacks that can compromise the integrity of their password. A survey was done to collect data, and a program was created with the purpose of grading the users passwords and in an educational way teach them how to create a secure password. The results showed that students reuse their passwords frequently and that there are some differences between groups regarding their security awareness. Those who have received some sort of education concerning IT-security had greater knowledge about threats and attacks, and they also handled their passwords with a more secure manner.

Att kunna använda information på rätt sätt, och att kunna skydda sina informationstillgångar är livsviktigt för dagens företag. Skulle fel information komma ut kan det innebära allvarliga konsekvenser för företaget. Denna B-uppsats har fokus på nätverkssäkerhet. Uppsatsen kommer att, med hjälp av intervjuer, litteraturstudier och egna experiment, ge läsaren en bild av hur ett företags IT-infrastruktur ser ut, vilka olika typer av hot det kan utsättas för, samt vilka verktyg som kan användas för att hitta svagheter i ett företags IT-nätverk.