Security in the healthcare sector has historically been insufficient, seeing several high-profile cyber-attacks crippling availability of equipment and vital services with demands of ransom sums, and intrusions collecting sensitive patient data en masse. For this reason, digital services intended for medical use need to be convincingly secure in order to be adopted. This report investigates how to implement sufficient information security for a system involving a digital pill organiser with mobile application connectivity intended for professional medical use. Each component of the currently-indevelopment Dosis Pro system is systematically evaluated in order to assess which security measures need to be taken for the service to be considered adequately secure. The analysis is structured around the ISO IEC 27001:2013 guidelines, and potential solutions are suggested on a per-component basis based on a broad literature study in related research. The result is practical solutions for 19 highlighted problem areas, which should achieve a reasonable level of security overall in combination with the careful data flow of the service. Further, to achieve an exceptionally secure system it is advisable to test the solutions on a complete system, and continuously carry out similar evaluations and improve its design throughout several years of operation. / Hälsovårdssektorn har genom tiderna utstått många angrepp mot sina digitala verktyg och tjänster. Det har rådit allt från storskaliga dataintrång till förhindrande av kritiska offentliga tjänster med krav på lösensummor. På grund av det här måste digitala produkter avsedda för medicinskt bruk visas vara säkra för att bli accepterade. I detta examensarbete undersöks det hur man kan implementera fullgod datasäkerhet för ett system kring en digital pillerdosa med appanslutning avsedd för bruk inom vården. I rapporten undersöks systematiskt varje komponent av Dosis Pro-tjänsten för att avgöra vilka säkerhetsrisker som existerar och vilka åtgärder som behöver vidtas för att tjänsten ska kunna konstateras vara säker. Analysen struktureras enligt riktlinjerna från ISO IEC 27001:2013, lösningar föreslås komponentvis utifrån en bred litteraturstudie inom relaterad forskning. Resultatet är praktiska lösningar för 19 identifierade problemområden, vilka tillsammans bör uppnå en godkänd säkerhetsnivå medräknat tjänstens försiktiga data-flöde. Vidare, för att uppnå ett exceptionellt säkert system, rekommenderas det att testa lösningarna i ett färdigt system, och kontinuerligt utföra liknande utvärderingar för att göra förbättringar under flera år av drift.

This study has examined how self-assessment and improvement tools for cybersecurity should be designed with a special focus on small to medium-sized enterprises (SME). This has resulted in the development of a new and innovative tool, presented in the study, to better address the specific limitations and needs of the target group. By analyzing existing tools such as MSB’s Infosäkkollen and conducting interviews with the target group, key insights and shortcomings of already existing tools were identified. The study emphasizes the importance of flexibility, simplicity, and practical usability in the design of the tool. SME currently make up 99.9% of all companies in Sweden and 96% of the workforce. To improve cyber resilience in Swedish society, it is of utmost importance that all companies, regardless of size, have access to the tools and resources required to effectively enhance their security. The developed tool aims to bridge the gap between existing tools and the needs of the target group, thus contributing to improved cybersecurity resilience within the Swedish business landscape. / Denna studie har undersökt hur verktyg för självskattning och förbättring av cybersäkerhet bör utformas med speciell inriktning mot målgruppen små till medelstora företag (SME). Detta har resulterat i utvecklingen av ett nytt och innovativt verktyg, som presenteras i studien, för att bättre bemöta målgruppens specifika begränsningar och behov. Genom analys av befintliga verktyg som MSB:s Infosäkkollen och intervjuer med målgruppen, identifierades viktiga insikter och brister hos redan existerande verktyg. Studien betonar vikten av flexibilitet, enkelhet och praktisk användbarhet vid utformningen av verktyget. SME utgör idag 99.9% av alla företag i Sverige och 96% av arbetskraften. För att förbättra cyberresiliensen i det svenska samhället är det av yttersta vikt att alla företag, oavsett storlek, ges tillgång till de verktyg och resurser som krävs för att effektivt höja deras säkerhet. Det utvecklade verktyget syftar till att minska gapet mellan befintliga verktyg och målgruppens behov och bidrar således till förbättrad cybersäkerhetsresiliens inom den svenska näringslivsarenan.

Under 2017 hittades sårbarheten Blueborne som gjorde att en person kunde ta sig in i mobiltelefoner eller datorer helt obemärkt genom att enheten endast ha igång bluetooth. Bluetoothsäkerheten behövs tas på minst lika stort allvar som alla andra enheter som tillexempel wifi eller annan trådlös utrustning som kan äventyra att information hamnar i orätta händer, för skulle felaktig information nå en person med ont uppsåt så skulle konsekvenserna vara förödande för privatpersoner eller för företag. Denna uppsats behandlar frågor genom att intervjua personer på företag och genom enkätundersökning, det har påvisats att majoriteten av företag har bristande kunskap eller saknar någonting som kan varna en användare eller administratör vid en attack. Diskussion kring attackers potentiella förödelse mot företag när det kommer kring information och drift och hur det går att skydda sig.

Trained security experts can be a mitigating factor to sophisticated cyberattacks that aim to violate the confidentiality, integrity, and availability of information. Reproducible sessions in a safe training environment is an effective way of increasing the excellence of security experts. One approach to achieving this is by using cyber ranges, which essentially is a set of hardware nodes that can virtually represent a large organization or system. The Swedish Defense Research Agency (FOI) develops and maintains a fully functioning cyber range and has the ability to automatically deploy sophisticated attacks against organizations and systems represented in this cyber range through a system called SVED. In this thesis, the capability to deploy different types of cyberattacks through SVED against virtual organizations in a cyber range, CRATE, is investigated. This is done by building a dataset of publicly disclosed security incidents from a database and attempting to represent each of them in SVED, and subsequently instantiating these attack representations against organizations in CRATE. The results show that the prevalence of at least one CVE-entry (Common Vulnerabilities and Exposures) in the incident description is a key factor to be able to represent an attack in SVED. When such an entry does exist, SVED is likely able to implement a representation of the attack. However, for certain type of attacks a CVE-entry is not enough to determine how an attack was carried out, which is why some attacks are harder to implement in SVED. This was the case for Denial of Service (DoS) attacks, which are too reliant on infrastructure rather than one or more vulnerabilities, and SQL injections, which are more reliant on the implementation of database access. Finally, CRATE is able to handle almost all attacks implemented in SVED, given that the correct vulnerable application software is installed on at least one machine in one of the organizations in CRATE.

No description available.

IT-system är något som finns nästan överallt, även i myndigheter. Dessa system har många gånger en betydande roll för verksamheten, och kravhanteringsprocessen är central för att systemen ska stödja verksamheten som tänkt. IT-system som används inom Försvarsmakten ska uppfylla ett stort antal säkerhetskrav, vilka många härstammar från styrdokumentet Krav på Säkerhetsfunktioner (KSF). Dessa krav är på hög nivå och ger utrymme för tolkning. Denna uppsats syftar till att studera hur kunskap från kravhanteringsprocessen kan återanvändas; till exempel krav, kravtolkningar, eller arbetssätt. Studien har utförts genom att intervjua konsulter på Lüning Consulting, vilka jobbar nästan uteslutande mot Försvarsmakten, och analyserats med en modell för återanvändning inom kravhantering. Studien visade att kontext, organisation och sekretess är tre nyckelfaktorer som måste tas hänsyn till för att myndigheter ska kunna införa återanvändning. Den tydliga byråkratin, med lagar och styrdokument, kan både möjliggöra och hindra återanvändning, och att återanvända utan kontext i åtanke kan få konsekvenser. Då många myndigheter hanterar sekretessbelagd information, må det vara personuppgifter eller försvarshemligheter, är det också av stor vikt att förstå när återanvändning helt enkelt inte är möjlig. / IT systems are present almost everywhere, even in government authorities. These systems have a significant role for the business, and the requirement management process is an important part in making sure that systems are supporting the business as intended. IT systems used in the Armed Forces must meet a large amount of security requirements, many of which derive from the Krav på Säkerhetsfunktioner (KSF) document. These are high level requirements, which allow for interpretation. This essay seeks to examine how knowledge from the requirements engineering process can be reused; e.g. requirements, requirements interpretations, or work methods. The study was conducted by interviewing consultants at Lüning Consulting, which work almost exclusively with the Armed Forces. The data is analyzed by using a model for reuse in requirements engineering. The study shows that context, organization and confidentiality are three key factors that must be taken into account in order for authorities to reuse knowledge from the requirements engineering process. The bureaucracy, with laws and control documents, can both enable and prevent reuse, and reuse without context in mind can have negative consequences. Since many authorities handle confidential information, may it be personal data or defense secrets, it is also important to understand when reuse is simply not possible

Wireless Protected Setup (WPS) är ett säkerhetsprotokoll för trådlösa nätverk. Dess design medför en allvarlig säkerhetsbrist som kan möjliggöra att obehöriga kan få åtkomst till ett lösenordskyddat trådlöst nätverk. Vid attack finns det olika verktyg tillgängliga att använda. I denna rapport jämförs mjukvaruverktygen Reaver och Bully i attack mot WiFi’s WPS-protokoll, där Bullys prestanda tidigare har påvisats vara mer effektiv och förutsätts snabbare utföra brute-forceattack jämfört med Reaver. Ett praktiskt laborationsexperiment har utförts för att undersöka vilken skillnad i hastighet som kan ses mellan verktygen Reaver och Bully i en brute-forceattack. Experimentet utfördes genom att mäta tiden det tog för de två verktygen att testa 100 PIN-nycklar mot en router utan skyddsmekanismer hos WPS. Resultatet visar att Bully utför en brute-forceattack i högre hastighet jämfört med Reaver. Dock, med den högre attackhastigheten som Bully innehar, kan stabilitetsproblem vid attack medföras, vilket öppnar upp för framtida diskussion om högre hastighet bör prioriteras över stabilitet för lyckade attacker. / Wireless Protected Setup (WPS) is a security protocol for wireless networks. Its design contains a serious security flaw that could allow an attacker access to a password-protected wireless network. An attack can be executed using various tools available. In this report, the software-tools Reaver and Bully are compared in performance against WiFi’s WPS-protocol, where Bully previously has been shown to be more effective and predicted faster to execute a bruteforce-attack. A practical laboration has been executed in order to determine differences in speed that can be seen between the tools Reaver and Bully in a bruteforce-attack. The experiment was done by measuring the time it took both tools to test 100 PIN-numbers against a router without protection for WPS. The result shows that Bully performs a bruteforce-attack in higher speed compared to Reaver. However, with the higher attack-speed that Bully uses, some stability issues may follow, opening the topic of future discussion regarding priorities of speed vs. stability for successful attacks.

IT utgör en stor del av majoriteten av folks vardagliga liv. Smartphones och surfplattor har om möjligt ytterligare ökat vår användning av tekniska enheter och prylar på en daglig basis. Arbetet tas med hem i en större grad med hjälp av laptops, VPN och molnmöjligheter. Mail kan tas emot i princip var och närsomhelst på dygnet. Men hur bra är säkerheten? På arbetsplatsen hanteras mycket av IT-säkerheten och ansvaret för den ofta av erfarna och dedikerade anställda, men hur ser det ut hemma där användaren själv har ansvaret för sin IT-säkerhet? I denna studie analyseras och identifieras risker och problem vid hantering av olika aktiviteter relaterade till IT-säkerhet i hemmet. Motivationsteorin TMT och en konceptuell modell av aktiviteter relaterade till IT-säkerhet användes för att ta fram frågorna till intervjuerna och för att analysera svaren. Information har samlats in genom intervjuer med personer i olika åldrar och med varierande erfarenhetsbakgrund. Risker har identifierats relaterat till brister i hemanvändares motivation att utföra aktiviteterna lösenordshantering och säkerhetskopiering samt bristande värderingar för aktiviteten utbildning.

As advancement and usage of data communication has increased exponentially on a global scale, with a devastating exposure to attacks and varying security threats to home offices as well as to large enterprises, there is always a need for enhanced network protection. The IT department of the company OneDefence, located in western Sweden, was chosen for the thesis and based on the stated information from the organisation, aims were set on how to improve their network defence capabilities. The aim of this thesis is to list ten countries posing the most serious IT threats, and to limit the attack surface of OneDefence’s IT network as much as possible while still providing the necessary services to users abroad. After researching the countries, a prototype was set up to mimic OneDefence’s topology of interest and test attacks were conducted as detailed in the Methodology chapter. The results of the investigations showed the countries posing most serious cyber threats included China, Russia and North Korea among others which were statistically calculated based on the total number of recognised cyberwarfare attacks. The results obtained from the different DoS attacks in the prototype showed that an IPS should be at the heart of an organisation's network defence for combating these intrusions, as well as potentially other types. With the help of a prototype built based on the organisation's topology, several attacks were somewhat successfully mitigated with the equipment used on hand, with only a low percentage of packets allowed to pass through the security unit. Lastly, to explore further enhancements of defence capabilities of OneDefence, a comparison between different products and devices were performed. This resulted in products from the Fortinet brand such as FortiGate NGFW and UTM capabilities as they are offering several advantages compared to competitors. / Då stora framsteg och användning av datakommunikation har ökat exponentiellt på en global skala, med en förödande exponering av attacker och säkerhetshot mot hemanvändare såväl som stora företag, finns detalltid ett behov av förbättrad nätverksskydd. IT-avdelningen hos företaget OneDefence, valdes för att utföra examensprojektet och baserade sig på organisationens angivna information för att förbättra deras nätverksförsvar. Syftet med denna rapport är att sammanställa en lista på tio länder som utgör de allvarligaste IT-hoten i världen, samt begränsa attackytan för organisationens nätverk så mycket som möjligt medan man behåller alla nödvändiga tjänster till användare utomlands. Efter att ha undersökt länderna, anordnades en prototyp för att efterlikna delar av OneDefences topologi av intresse och testattacker utfördes enligt metodologikapitlet. Resultaten av utredningarna visade att från de länder som utfört de allra allvarliga cyberhoten inkluderade bland annat Kina, Ryssland och Nordkorea, som har beräknats statistiskt baserat på antalet igenkända cyberwarfare attacker. Resultaten från de olika DoS-attackerna visade att en IPS bör vara kärnan i en organisations nätverksförsvar för att kunna bekämpa dessa intrång, samt potentiellt andra typer. Med hjälp av den prototyp som byggdes baserad på organisationens topologi, blockerades flera attacker rätt framgångsrikt, med en låg procentandel av paketen som gick genom säkerhetsenheten. Slutligen utforskades ytterligare förbättringar av försvarsförmågan hos organisationen genom att jämföra olika produkter och enheter. Detta resulterade i produkter från Fortinet-varumärket såsom FortiGate NGFW med UTM förmåga, då de erbjuder flera fördelar jämfört med konkurrenter.

Smarta elnät nämns ofta som ett sätt att hantera ökad elektrifiering av transporter och industri och en växande andel väderberoende elproduktion. Ett syfte med det här examensarbetet är att studera möjliga följder för lokalnätägaren Sala-Heby Energi Elnät AB, om småhuskunder använder smart styrning av elvärmesystem för att sänka sina elnätsfakturor. Med rådande tariffmodell betalar småhusägaren för den gångna månadens tre högsta timmedeleffekter kl. 07 till 19 helgfria vardagar. Hur nätägaren påverkas av styrning, är en central fråga för projektet Auto-Flex, som startade i januari 2021. Uppsatsens litteraturstudie pekar på att efterfrågeflexibilitet kan ge olika följder för elnätet och för elmarknadens parter, beroende på vilka incitament som används för att skapa ett flexibelt beteende. Med efterfrågeflexibilitet avses här kunders förmåga att flytta eller minska sitt lastuttag från elnätet. I det här examensarbetet utförs beräkningar i Excel för att undersöka följderna av laststyrning och analysen utgår från historiska elmätardata från ca 140 anonymiserade hushållskunder samt från data över effektuttag från regionnätet. Beräkningarna visar att styrning som gynnar kunden ekonomiskt blir en förlustaffärför Sala-Heby Energi Elnät AB, trots sänkt effektuttag från regionnätet. Det gäller, i de flesta fall, även när extra styrning läggs till under timmar då effektuttaget från regionnätet är högt. Resultaten bygger på förenklade beräkningar, där ingen hänsyn tagits till hur effektsänkning av elvärmesystem samspelar med väderfaktorer eller med styrningens varaktighet. Samma effektsänkning har antagits vid varje styrtillfälle och för alla hushåll. Ett andra syfte med det här examensarbetet är att undersöka hur huvudaktörerna i projektet Auto-Flex ser på säkerhetsfrågor i samband utvecklingen mot ett mer IT-beroende elnät. Därför genomfördes två semistrukturerade intervjuer, med integritet, leveranssäkerhet och affärsmodeller som teman. Intervjupersonerna lyfte inga allvarliga hot kopplade till projektet Auto-Flex. Samtidigt kunde de se teoretiska risker med storskalig smart laststyrning i kapacitetssvaga elnät. Mer forskning behövs om smarta elnät och hållbarhet. Kopplingen mellan incitament till flexibilitet och flexibilitetens inverkan på elnätet, hur sårbarheter kopplade till informationsteknik påverkar elnätets leveranssäkerhet och hur smartteknik står sig miljömässigt i förhållande till nätutbyggnad är tre intressanta områden. / By facilitating demand side management, smart grids are expected to smooth the way for a transition to cleaner electric energy. This bachelor’s thesis aims to analyse the consequences for a distribution system operator (DSO) of direct load control,which is set to minimize the consumer’s bill for power transmission. This is also a central theme in the recently initiated Auto-Flex smart grid project, with main actors DSO Sala-Heby Energi Elnät AB and tech company Ngenic AB. The included study of scientific articles points out that the impact of demand response on electric grids is largely determined by incentives used to harvest demand side flexibility. In this thesis, the consequences of direct load control are examined by means of simplified calculations in Excel, analysing electric meter data from approximately 140 anonymous customers, in addition to power supply data for the township connection to the regional distribution grid. If customers with electric heating systems would install load control equipment to lower their power transmission bills, the local DSO would experience reduced revenues. The reduction in revenues would not be offset economically by curbed peak power transmission from the regional grid, according to the executed calculations. Even if extra load control was added in peak days, the net economic result for the local DSO would still be negative in most of the studied cases. Individual characteristics of heating systems and buildings have not been accounted for in this study, neither has the correlation between load reduction, outdoor temperature and load control duration. A second aim of this thesis is to examine attitudes of the main actors in the Auto-Flex project on confidentiality, reliability and demand side management business models in relation to the development of smart grids. Through semi-structured interviews, it was revealed that neither chief executive officer of Ngenic AB, Björn Berg, nor chief grid officer of Sala-Heby Energi Elnät AB, Per-Erik Johansson, see any severe threats against customer confidentiality, nor against power reliability, when implementing direct load control within the project. However, it was pointed out that an electric grid with very low physical capacity could become vulnerable to load control failures. Further examination of the connection between business models, power reliability, and cyber security are crucial to ensure socially, economically, and environmentally sustainable smart grids.