Formal analysis of security protocols is becoming increasingly relevant. In formal analysis, a model is created of a protocol or system, and propositions about the security of the model are written. A program is then used to verify that the propositions hold, or find examples of where they do not. This report uses formal methods to analyse the authentication aspect of a protocol that allows private individuals, enterprises, and systems to securely and asynchronously share sensitive data. Unpublished, early drafts of the protocol were studied and algorithms described in it were verified with the help of the formal verification tool Tamarin Prover. The analysis revealed two replay attacks. Improvements to the protocol were suggested based on this analysis. In later versions of the protocol, the improvements have been implemented by the protocol developers. / Det blir alltmer relevant med formell analys av säkerhetsprotokoll. I formell analys så skapas en modell av ett protokoll eller ett system, och påståenden om modellens säkerhet skrivs. Ett program används sedan för att verifiera att påståendena gäller, eller för att hitta exempel där de inte gäller. Den här rapporten avänder formella metoder för att analysera autentiseringsaspekten av ett protokoll som tillåter privatpersoner, företag och system att asynkront dela känslig information på ett säkert sätt. Opublicerade och tidiga utkast av protokollet studerades och de algoritmer som beskrivs i protokollet verifierades med hjälp av Tamarin Prover. Analysen avslöjade två återspelningsattacker. Förbättringar till protokollet föreslogs baserat på denna analys. I senare versioner har protokollutvecklarna implementerat förslagen.

Alla människor är beroende av mat. Sverige har en god livsmedelsindustri där sista steget är dagligvaruhandeln som hjälper till att Sveriges befolkning får mat på bordet. I och med att digitaliseringen ökat i vårt samhälle har det även senaste åren rapporterats i media om dataintrång riktade mot företag i Sverige. 2021 fick Coop stänga ner sina butiker då kassasystem slutade fungera på grund av en utpressningsattack mot leverantören av mjukvaran till kassasystemen som företaget använder.  Ökningen av dataintrång i Sverige har lett till att det blir allt viktigare att skydda informationen hos företagen. Information spelar en stor roll i en organisations affärsverksamhet där informationen kommer i kontakt med både teknik och människor. Det gör att ett aktivt informationssäkerhetsarbete är viktigt för att säkerhetsställa konfidentialiteten, integriteten och tillgängligheten hos företagets information. Genom en kvalitativ studie bestående av intervjuer med ledning och medarbetare på ett företag inom dagligvaruhandeln studerades hur företaget förhåller sig och arbetar med informationssäkerhet. Resultatet från intervjuerna analyserades genom att använda en tematisk analys där teman identifieras ur empirin. Resultaten av studien analyserades och diskuteras utifrån teorin med fokus på informationssäkerhetspolicys, säkerhetsmedvetenhet och organisationskultur. Slutligen diskuteras vikten av utbildning och träning för att öka säkerhetsmedvetenheten i företagets organisationskultur. / All humans need food. Sweden has a well functioning food industry, where the final step in the chain is the grocery trade and where the people can buy their food. As digitalization has increased in our society there have also been reports in the media in recent years about ransomware attacks on companies in Sweden. In 2021 the grocery chain Coop had to close their stores when their cash register system stopped working because of a ransomware attack against the supplier of the software of the system for the company’s cash registers.  The increase of computer breaches in Sweden has made it increasingly important to protect the information at companies. The information plays an essential role in an organization's business processes where it comes in contact with both technology and people. This means that active information security work is important to ensure the confidentiality, integrity and availability of the organization’s information. With the use of a qualitative study consisting of interviews with the management and employees of a company in the grocery trade a study was performed on how the company relates to and works with information security. The result from the interviews was analyzed using thematic analysis where themes were identified from the collected data. The results from the study were analyzed and discussed based on the theory with focus on information security policies, security awareness and organizational culture. Lastly the importance of education and training to increase the security awareness in the company’s organizational culture was discussed.

Syftet med uppsatsen är att öka kunskapen kring organisationers och kringliggande aktörers förmåga att stärka den digitala motståndskraften i digitala leveranskedjor genom införande av ett omfattande regelverk. Uppsatsen beskriver hur tillkommande regelverk med höga krav på informationssäkerhet inom de digitala leveranskedjorna påverkar en enskild organisation. Uppsatsen beskriver även implikationerna ur ett övergripande systemperspektiv. Utifrån införandet av Digital Operational Resilience Act (DORA) beskrivs både potentiella hinder som riskerar hämma Sveriges digitala motståndskraft och de möjliggörande åtgärder som leder till att Sveriges digitala motståndskraft stärks. Uppsatsen identifierar genom en fallstudie ett antal hinder som enskilda organisationer bör beakta, men som även har stora beroenden till andra kringliggande aktörer och systemet i sin helhet. Uppsatsen beskriver att det kan uppstå följdeffekter som lätt leder till oönskade effekter. Komplexitetshöjningen genom tillkommande regelverk kräver medvetna handlingar av ett stort antal aktörer för att undvika att hinder blir alltför hämmande och därmed hindrande för Sveriges digitala motståndskraft. Speciellt mindre leverantörers situation lyfts som problematisk i sammanhanget. Uppsatsen identifierar behovet av en holistisk inställning som nödvändig för att kunna skapa utrymme för medvetna handlingar. Komplexitetshöjningen som tillkommande regelverk innebär behöver hanteras både internt inom en enskild organisation och genom externa samarbeten. Uppsatsen beskriver att identifierade möjliggörande åtgärder inte enbart bör värderas utifrån direkta effekter, utan även utifrån mer långsiktiga indirekta effekter och resurspåverkan i systemet. Först då finns det förutsättningar att genom medvetna handlingar uppnå positiv effekt och därmed stärka Sveriges digitala motståndskraft.

In a short time touchscreens has become one of the most used methods for input to smartphones and other machines such as cash registers, card terminals and ATMs. While the technology change was quick it introduces the possibility of new security holes. Compromising emanations is a possible security hole in almost all electronic equipment. These emanations can be used in a side-channel attack if they leak information that compromise the security of the device. This thesis studies a single-board computer (SBC) with a touchscreen and a smartphone in order to evaluate if any usable information leaks regarding what is done on the touchscreen i.e. where on the screen a user touches. It is shown that the location of a touch can be read out from information leaking through the power cable and wirelessly from the single-board computer. It is also shown that basic information can be read out wirelessly from the smartphone but further testing is required to evaluate the possibility to extract usable information from the device.

Many organisations experience the new general data protection regulation (GDPR) as difficult to understand and are unsure as to how they should formulate and communicate a policy that is complied by the organisation's employees. ePrivacy is a separate regulation that works as a compliment to GDPR and makes the regulation even more complex. The purpose of this study is to identify recommendations to formulate policies that increases likelihood that the policy is complied by the organisation's employees. The study was conducted as a case study with a participating company. In this study a policy has been developed within the context of the GDPR and ePrivacythat was then used in interviews with employees of the participating company. This was done in order to research the policy development process and handling of policies in that company. With this research, the knowledge of factors within policy development that affect the employees likelihood to comply with and be aware of the organisation's policies will increase. The recommendations that are formulated as a result of the study may be usedby developers to increase the likelihood that the organisation's policies are complied with and that the employees are more aware of the policies. The recommendations of the study is that developers should take advantage of user involvement in the policy development process. This gives the employees their chance to affect their own work and their processes themselves which will increase their self efficacy and awareness of policies. / Många organisationer upplever att nya dataskyddsförordningen (GDPR) ärsvar att förstå och hur de ska formulera och kommunicera en policy som efterlevs och följs av organisationens anställda. ePrivacy är en separat förordning som är tänkt att komplettera dataskyddsförordningen och gör förordningen än mer komplex. Syftet med studien är att identiera rekommendationer för att formulera policys som höjer sannolikheten att de efterlevs och följs av organisationens anställda. Undersökningen har utförts som en fallstudie på det medverkande företaget. I denna studie har det inom kontexten dataskyddsförordningen och ePrivacy formulerats en policy som sedan användes vid intervjuer med anställda på det medverkande företaget. Detta för att undersöka Policyutvecklingsprocessen och hantering av policys på företaget.Med den här undersökningen ökar kunskapen om vilka faktorer inom policyutveckling som påverkar anställdas sannolikhet att följa organisationens policys och ökar policy-medvetenhet inom organisationen. De rekommendationer som formuleras som ett resultat av undersökningen kan nyttjas av utvecklare för att öka sannolikheten att organisationens policys efterlevs och följs av anställda samt ökar medvetenheten om organisationens policys. Studiens rekommendationer är att utvecklare bör nyttja användarinvolvering i dess policyutvecklingsprocess. Detta ger anställda chansen att påverka sin vardagoch dess arbetsprocesser själva vilket bidrar till höjd upplevd självförmågaoch medvetenhet om policys.

Information är idag en värdefull resurs i organisationer som blir mer och mer beroende av sina informationssystem. Information utsätts för olika hot och den behöver skyddas för att organisationer effektivt ska kunna driva sin verksamhet. Ett systematiskt informationssäkerhetsarbete hjälper organisationer att uppnå och upprätthålla en tillräcklig nivå av informationssäkerhet.   Studiens syfte är att undersöka hur informationssäkerhet hanteras inom organisationer i allmänhet i nuläget. En fallstudie har genomförts på Folktandvården, Region Jönköpings län för att undersöka hur Folktandvårdens medarbetare hanterar informationssäkerheten. Dessutom syftar studien till att utvärdera medvetenhet om informationssäkerhet hos medarbetarna på Folktandvården och att presentera förslag på hur hanteringen av personuppgifter kan förbättras i organisationer.  Blandade tekniker har använts för att samla information.  Litteraturstudier inom området informationssäkerhet har genomförts. Empirisk data har samlats in genom en enkätundersökning, intervjuer och skriftliga frågor som har skickats via e-post till utvalda ansvariga som jobbar specifikt med frågor som berör informationssäkerhet inom Folktandvården. Denna studie använder de svenska standarderna SS-ISO/IEC 27001:2014 och SS-ISO/IEC 27002:2014 för att utvärdera informationssäkerhet på Folktandvården, Region Jönköpings län samt att få en bild av hur informationssäkerhet hanteras inom organisationer. Organisationer kan upprätthålla säkerhet i sin informationshantering genom att tillämpa ett ledningssystem för informationssäkerhet (LIS) som bevarar konfidentialitet, riktighet (integritet) och tillgänglighet av information.  Informationssäkerhetsarbetet och införandet av LIS skiljer sig mellan organisationer eftersom de kan påverkas av organisationens behov och mål, storlek och struktur. Fallstudiens resultat visar att Folktandvården, Region Jönköpings län genomför en aktiv hantering av informationssäkerhet. Folktandvården klarar de flesta kraven som ställdes i standarderna. Däremot föreslås det i studien att fler utbildningsprogram ordnas för att öka medvetenheten kring informationssäkerhet. Dessa utbildningsprogram bör uppdateras regelbundet för att det fortsätter att vara i linje med organisatoriska policy och rutiner. Det rekommenderas även att organisationen utför informationsklassning fullt ut enligt den modellen som Folktandvården har. Dessutom rekommenderas att utveckla planeringen av kontinuitet för informationssäkerhet. Resultatet från enkätundersökningen visar att medarbetarna är medvetna om hur de hanterar informationssäkerhetsincidenter och upplever att systemen är tillgängliga för de behöriga. Flera av de förslag som presenterades av denna studie har hörsammats och kommer att leda till vidare arbete inom Folktandvården. Organisationers personuppgifter bör skyddas genom att tillämpa regler enligt gällande författningar. En ansvarig person i organisationen bör ge vägledning till de anställda om sitt ansvar för hantering av personuppgifter. / Information today is a valuable resource for organizations which become more and more dependent on their information systems. Information subject to various threats and the need to be protected in order that organizations can effectively run their business. A systematic information security helps organizations to achieve and maintain a sufficient level of information security. The study aims to investigate how information is managed within organizations in general. A case study has been performed in Folktandvården (the Public Dental Service), Region Jönköping County to investigate how the organization handle information security. In addition, the study aims to evaluate awareness of information security among employees at the business and to present proposals on how to improve handling of personal data. Mixed techniques have been used to gather information. Literature studies in the field of information security has been implemented. The empirical data collected through a questionnaire, interviews and written questions sent by e-mail to managers in Folktandvården. This study uses the standards SS-ISO / IEC 27001:2014 and SS-ISO / IEC 27002:2014 to evaluate the information in Folktandvården, Region Jönköping County and to get a picture of how information is managed within organizations. Organizations can maintain the security of their information by implementing an information security management system (ISMS) that preserves the confidentiality, integrity and availability of information. Information security and ISMS application differs between organizations, which could be affected by the organization's needs and goals, size and structure. Case study results show that Folktandvården, Region Jönköping County implements an active management of information. The organization manages most of the specifications in the standards. However this study proposes to organize more training programs for information security awareness. These programs should be updated regularly in order to continue to be in line with organizational policies and procedures. It is recommended that the organization performs information classification fully in accordance with the model it has. Additionally, it is recommended to develop the planning of continuity for information. The results from the questionnaire show that the employees are aware of how they handle information security incidents and they think that the systems are available for authorized access. Several of the proposals presented by this study have been heeded and will lead to further work in Folktandvården. Organizations' personal information should be protected by applying the rules in accordance with applicable regulations. A responsible person in the organization should provide guidance to employees about their responsibility for the handling of personal data.

Informationssäkerhet är ett område som kommit att sättas alltmer i fokus hos organisationer. Tidigare har främst tekniska lösningar för att skydda viktig information fått uppmärksamhet, det är först på senare tid som informationssäkerhet har börjat uppfattas som ett komplext område som innefattar såväl tekniska, som organisatoriska och mänskliga faktorer. För att eftersträva en god informationssäkerhet inom organisationen bör ett grundligt arbete läggas på att utveckla informationssäkerhetspolicys och säkerhetsansvariga måste kontinuerligt utbilda och skapa medvetenhet hos anställda kring vilka hot som finns mot organisationen ifall informationssäkerhetsbestämmelser inte efterlevs. Huvudsyftet i föreliggande studie har varit att undersöka vilka faktorer som styr anställdas efterlevnad av informationssäkerhetspolicys. Ytterligare delsyfte har varit att undersöka hur den faktiska efterlevnaden av informationssäkerhetsbestämmelser avspeglar sig inom två vårdverksamheter i Landstinget i Östergötland. För att uppfylla studiens syfte har fallstudier genomförts där såväl observationer som intervjuer med personal legat till grund för datainsamlingen. Resultatet visar att säkerhetsmedvetandet och efterlevnaden av säkerhetsbestämmelser inom de undersökta organisationerna är tämligen god, men det finns skillnader i graden av efterlevnad. Resultaten visar att anställda i viss mån hoppar över säkerhetsbestämmelser för att effektivisera sitt arbete. Den vanligaste säkerhetsbestämmelsen som visade på bristande efterlevnad var att en del anställda slarvade med att logga ut eller låsa datorn då denna lämnades oövervakad. Faktorer som visat sig vara avgörande för ifall säkerhetsbestämmelser efterlevs eller inte är bland annat ifall den anställde anser att beteendet övervakas, hur väl medveten man är kring konsekvensen av att säkerhetsbestämmelser inte efterlevs, samt hur stor sannolikhet man anser det vara att hotet realiseras. Ytterligare faktorer som visat sig spela roll är ifall den anställde anser att säkerhetsbestämmelsen ligger i konflikt med andra intressen, såsom effektivitet eller bekvämlighet. För att kunna införa effektiva policyåtgärder krävs det därmed att policyutvecklare förstår vad som motiverar anställda till att följa säkerhetsbestämmelser och vilka värderingar som ligger bakom deras beteende. / Information security has grown into a field of study that has gained increasingly attention within organizations. In the early days focus of the field has primerly been on technical solutions in order to protect information. Only recently information security has come to be seen as a complex area including both technical, organizational and human factors. In order to strive for a high degree of information security within the organization, emphasis has to be placed on developing a functional information security policy. Just as important is that security managers continually educate and create awareness amongst employees with regards to existing threats if information security rules are not respected. The main purpose in regards to this study has been to investigate the determinants of employees' compliance with information security policies. A further aim of the study has been to examine how the actual compliance of information security regulations is reflected in two healthcare clinics in the county council of Östergötland. In order to fulfill the purpose of the study, case studies were carried out in the clinics, where both filed studies and interviews with staff members formed the basis for data collection. The results show that security awareness and compliance with safety regulations within the surveyed organizations are fairly good, but there are differences in the level of compliance. The results show that employees to some degree overlook safety rules in order to make their work more efficient. The most common security rule that showed non-compliance was where employees occasionally did not logg off or lock the computer as it was left unattended. Determinants that showed to have an influence on whether or not employees comply with information security policys are among other factors to what extent the employee belives that the behavior is being monitored, awareness about conseqences from not complying with the security rules, as well as to what extent one belives that the actual threat occurs. Additional determinants that were found to have an influence on the actual behavior with regards to compliance is to what extent the employee considers the regulations to be in conflict with other interests, such as efficiency or convenience. In order to introduce effective policy measures knowledge is needed where policy makers understand what motivates employees to comply with safety rules, as well as the values that underlie their behavior.

Den 25e maj 2018 träder den nya dataskyddsförordningen, GDPR, i kraft. I och med detta kommer alla medlemsstater i den europeiska unionen få en gemensam lag som skärper tidigare regler och ställer högre krav på organisationers personuppgiftsbehandling. Syftet med detta arbete har varit att undersöka och kartlägga hur verksamheter som behandlar känsliga personuppgifter anser sig bli påverkade av GDPR, samt hur de arbetar för att uppfylla kraven från denna nya förordning. Känsliga personuppgifter är sådana som exempelvis avslöjar en persons sexuella läggning, politiska åsikt, religiösa övertygelse eller fackliga tillhörighet och för att uppfylla syftet utfördes därför en fallstudie på sex stycken fackförbund av olika storlek. Datainsamlingen gjordes med hjälp av intervjuer med en person från varje förbund som har god insikt och överblick över organisationens GDPR-arbete. Resultaten från studien visar att fackförbunden anser att den nya dataskyddsförordningen är komplex och svårtolkad men att den ändå medför positiva konsekvenser för både organisationen och medlemmarna. Alla personuppgifter som fackförbunden hanterar faller direkt under känsliga personuppgifter eftersom de kan härledas till facklig tillhörighet, och detta gör att förbunden anser sig ställas inför högre krav på informationssäkerhet i jämförelse med många andra verksamheter. Bland annat möter de stora utmaningar i hur de skall kunna kommunicera med sina medlemmar i framtiden eftersom missbruksregeln försvinner och även ostrukturerat material inkluderas i den nya dataskyddsförordningen. Det går inte att säga generellt vilka åtgärder förbunden vidtagit för att förbereda sig inför de nya kraven från GDPR men det är tydligt att både tekniska och administrativa säkerhetsåtgärder behövs. Exempelvis uppgraderar många av förbunden sina IT-system och upphandlar helt nya ärendehanteringssystem, samtidigt som de dessutom inför rutiner för gallring och för hantering av personuppgiftsincidenter. / On 25 May 2018, the new data protection regulation, GDPR, will come into effect. With this, all members of the European Union will have a common law that sharpens previous rules and puts higher demands on organisations' personal data processing. The purpose of this study has been to investigate and map how businesses dealing with sensitive personal data consider themselves being affected by GDPR, and how they work to meet the requirements of this new regulations. Sensitive personal data are what for example reveals a person's sexual orientation, political opinion, religious conviction or union affiliation and therefore, to fulfil the purpose, a case study with six trade unions of different sizes was performed. The data collection was made with help of interviews with one person from each trade union, who has good insight and overview over the organisation's work with the GDPR. The results from the study show that the trade unions find the new data protection regulation to be complex and hard to interpret but that it nevertheless causes positive consequences for both the organisation and the members. All personal data that the trade unions handle fall directly under sensitive personal data since they may be derived to union affiliation and this leads to where the trade unions considering themselves facing higher demands on information security in comparison to many other businesses. Among other things, they face major challenges in how they are going to communicate with their members in the future, as even unstructured material is included in the new data protection regulation.  It's not possible to say in general what actions the unions have taken to prepare for the new requirements of the GDPR, but it's clear that both technical and administrative safety actions are needed. For example, many of the unions are upgrading their IT systems or purchasing brand new case management systems while also introducing new routines for clearing of data and for management of personal data incidents.

Året är 2017 och den ökande användningen av enheter som är kopplade mot internet har exploderat okontrollerat. Enheter modifieras i en snabb takt för att kunna kopplas samman med syftet att få en mer effektivare vardag, i folkmun häftigare enheter och framförallt för att generera en ökad försäljning av dessa produkter. Kommunikationsverktygen kopplas samman och därmed samlas en stor mängd data på enskilda enheter som kan bli sårbara i form av övervakning, intrång och övertagande för syften som innehavaren kan vara helt omedveten om. Om individens enhet är medverkande i scenariot att stänga ned servern som håller en samhällstjänst uppe under en tidpunkt av en allvarlig fysisk attack mot Sverige: Vem bär i så fall skulden? Detta kallas överbelastningsattack och är en av många potentiella sårbarheter i dagens samhälle.   Internet of Things är ett nytt fenomen som är relativt outforskat med många öppna och obesvarade frågor. Forskningen ligger otvivelaktigt steget efter. Det gemensamma i forskningsartiklarna är slutsatsen: vi ska forskare vidare inom detta område. Alarmerande eftersom enheterna redan är närvarande i vardagen. Informationssäkerheten och individens personliga integritet är vad som står på spel, och frågan är vad individerna är villiga att offra för att ha de senaste produkterna.   Metoden och genomförandet av denna kandidatuppsats har bestått av det explorativa tillvägagångssättet. En litteraturstudie av forskningsartiklar och personliga intervjuer har genomförts med relevanta individer inom området.   Denna kandidatuppsats kommer inte att ge facit på vad som bör göras härnäst. Målet är att upplysa om olika problemställningar avseende fenomenet Internet of Things. I uppsatsen ligger fokuseringen på att generera en beskrivning av hur informationssäkerhet och personlig integritet kan påverka skapande och användandet av enheter som är uppkopplade mot Internet of Things.   Syftet med denna explorativa studie är att identifiera och beskriva faktorer som bidrar med ett framgångsrikt skapande och användande av Internet of Things enheter med fokusering på informationssäkerhet och personlig integritet. Slutsatserna är att faktorer som påverkar är bekräftelse av identitet, standarder, otillgänglig åtkomst samt användarkontroll.

Att bedriva startups i ett informationsbaserat samhälle medför idag flera utmaningar. För att nå framgång måste företagets resurser användas på rätt sätt. I en tid där informationssäkerhet spelar en allt större roll ska det här till en avvägning mellan att uppnå en bra säkerhetsnivå, samtidigt som de affärsmässiga aspekterna måste prioriteras. I arbetet undersöks hur svenska startups hanterar sin informationssäkerhet. Arbetet syftar även till att undersöka hur utbredd medvetenheten är inom sex svenska startups gällande informationssäkerhet samt hur mycket det prioriteras. Arbetet resultat visar att medvetenheten kring informationssäkerheten är hög men att det fortfarande är brister när det gäller att omsätta denna medvetenhet till praktisk handling och att det är de affärsorienterade målen som prioriteras högst inom en svensk startup. / To run a startup in an information based society can cause a lot of challenges. To reach success, the company’s resources must be used in a proper way. In a time where information security has a big role, there must be a balance between keeping a high level of security meanwhile the business orientated expectations must be prioritized. This thesis will examine how a startup manages its information security. It does also focus on the awareness of information security within six swedish startups considering information security and also it’s priority. The results of the study shows that awareness of information security is high, but there are still shortcomings in putting this awareness into practice. The study also shows that the business-orientated goals are the highest priority within a swedish startup.