<p>Verksamheters säkerhetsproblem i samband med informationssystem och informationsteknik (IS/IT) är ett område som uppmärksammats kraftigt de senaste åren. Denna avhandling syftar till att ge en ökad förståelse av informationssäkerhet; begreppet i sig, dess hantering i</p><p>verksamheter samt dess betydelse för verksamheter. För att nå en ökad förståelse för informationssäkerhet och dess hantering består avhandlingen till stora delar av konceptuella resonemang. Avhandlingens huvudsakliga kunskapsbidrag är:</p><p>- En kritisk granskning och en revidering av den begreppsapparat som dominerar i Sverige inom området informationssäkerhet och dess hantering.</p><p>- En generisk modell (ISV-modellen) avseende verksamheters hantering av informationssäkerhet.</p><p>ISV-modellen beskriver vilka grundläggande förutsättningar, aktiviteter, resultat och konsekvenser som kan kopplas till hantering av informationssäkerhet i verksamheter. Informationssäkerhetsområdet betraktas utifrån ett perspektiv som har sin grund i Skandinavisk informationssystemforskning. Ett viktigt kännetecken hos detta perspektiv är att IS/IT betraktas i en verksamhetskontext där bl a människors roller och aktiviteter utgör en viktig del.</p><p>Studien bygger på både teoretiska och empiriska studier som har skett parallellt och genom växelverkan. De teoretiska studierna har främst bestått av litteraturstudier och konceptuellt modellerande som har konfronterats med empiriskt material vilket huvudsakligen har hämtats genom en fallstudie på en kommun i Bergslagen.</p>

<p>Informationssäkerhet är något väldigt aktuellt i dagsläget då mer och mer information och arbetsuppgifter datoriseras. Det är därför viktigt att de som arbetar med datorer har en god informationssäkerhetsmedvetenhet. Denna studie är utförd på Skatteverkets kontor i Linköping genom främst ett antal intervjuer. Studien inriktar sig på personalens informations- säkerhetsmedvetenhet samt hur Skatteverkets åtgärder påverkar personalens informations- säkerhetsmedvetenhet.</p><p>Den teoretiska referensramen byggs till största del upp av teori kring informationssäkerhet och informations- säkerhetsmedvetenhet, samt även till viss del av organisationsteori. Teorin har sedermera fått utgöra hur informationssäkerheten bör se ut, generellt sett, i en organisation. Genom intervjuer och Skatteverkets interna informationsmaterial har vi tagit reda på hur informationssäkerheten ska se ut enligt Skatteverkets policy. Efter intervjuerna med personalen på Skatteverket har vi sedan tolkat hur den faktiska informationssäkerhets- medvetenheten bland personalen på Skatteverket i Linköping avspeglar sig.</p><p>Det som har framkommit i denna studie är att personalen på Skatteverket har en informationssäkerhetsmedvetenhet som är på en nivå som inte leder till några speciellt verksamhetskritiska situationer. Det har även framkommit att Skatteverkets åtgärder i teorin är väl genomtänkta, men att alla åtgärder tyvärr inte alltid uppfattats av personalen. Detta framför allt på grund av bristande kommunikation och den organisation som Skatteverket har i form av en linjestabsorganisation.</p>

<p>Denna uppsats dokumenterar en fallstudie som gjordes hösten 2006 vid Linde Material Handling i Örebro. Företaget var på väg att expandera och planerade att utöka användningen av IT i verksamheten. I samband med detta gavs undertecknade i uppdrag att utforma en informationssäkerhetspolicy för verksamheten. I en litteraturstudie kunde det konstateras att det inte fanns några enklare riktlinjer för att utforma sådana policies, varmed syftet blev att göra detta. Genom en fallstudie på företaget där vi utformade en IS-policy för deras verksamhet, och även gjorde intervjuer med ledning och dokumentationsanalyser, utrönas vilka problem som kan uppstå och vilka överväganden som bör göras för att utforma en lyckad policy. Riktlinjerna kan användas av företag som känner igen sig i fallbeskrivningen. Vi har i arbetet avgränsat oss från att studera hur en policy ska införas eller utvärderas.</p><p>De riktlinjer vi utformade kan sammanfattas som följande:</p><p>* Utforma minimalistiskt</p><p>Policyn bör vara enkel, de föreskrifter och sidor som finns bör vara få till antalet och endast omfatta det absolut viktigaste.</p><p>* Tillgodose användaracceptans</p><p>Policyns innehåll ska inte uppfattas som kränkande eller alltför omständligt av de anställda.</p><p>* Formulera och ordna mål</p><p>Det är viktigt att se till att de säkerhetsmål som finns i verksamheten hjälper till att uppfylla de mer generella organisatoriska målen.</p><p>* Förankra i beslutande organ</p><p>Säkerhetsarbetet bör vara förankrat i ledningen.</p><p>* Uppdelning i delpolicies</p><p>Det kan vara aktuellt med olika delpolicies för olika delar av verksamheten</p><p>om dessa skiljer sig märkbart åt.</p>

<p>I datornätverk blir användandet av WLAN (trådlösa nätverk) allt vanligare tack vare sin smidighet. Det är framförallt bekvämare att använda trådlösa nätverk då man slipper allt kablage och ofta är oberoende av var man befinner sig för att använda nätverket. Trådlösa nätverk är dock inte helt problemfria. Den främsta anledningen till detta är att informationen färdas genom radiovågor istället för genom kablade nätverk. Detta gör att WLAN är i riskzonen för avlyssning, där informationen kan utsättas för obehörig åtkomst om den inte är väl skyddad. Detta problem är grunden till denna uppsats.</p><p>Den här uppsatsen är en utredning som har gått ut på att ta fram generella riktlinjer för hur myndigheter skall uppnå god säkerhet i WLAN. Anledningen till att vi ville ta fram generella riktlinjer åt myndigheter var på grund av en rapport vi fann genomförd av krisberedskapsmyndigheten (KBM) 2008. Denna uppmärksammade att myndigheter ofta hoppar på nya tekniker utan att ha tillräckligt kunskap nog om dem, och att säkerhetstänket ofta får låg prioritet vid införandet av nya system. Ytterligare en artikel skapade av KBM från 2007, pekar på att myndigheter även har bristande säkerhet i sina DNS-system.</p><p>Eftersom vi koncentrerade oss på WLAN funderade vi då på, om nu säkerhetstänket får så låg prioritet och är så dåligt ställt i myndigheternas DNS-system, hur är det då ställt med säkerheten i WLAN?</p><p>Vi konstaterade efter att vi gjort förfrågningar till flera myndigheter, att ytterst få myndigheter hade något WLAN eller planerade att införskaffa det. Anledning till detta tror vi var att myndigheter var skeptiska till att det går att få ett WLAN säkert och hade bristande kunskap inom området.</p><p>Vi tog fram de generella riktlinjerna genom en kvalitativ metodansats, där vi genomfört litteraturstudier, undersökning av myndigheters policys samt intervju av expert på WLAN.</p><p>Resultatet visade att myndigheter behöver både administrativa säkerhetsåtgärder, tekniska säkerhetsåtgärder samt en specifik fysisk säkerhetsåtgärd för att uppnå god säkerhet i WLAN.</p>

No description available.

Informationssäkerhet är ett begrepp som blir allt mer aktuellt inom organisationer idag. Hotnivån som dagens allt mer ihopkopplade system ställs införär hög. Detta ställer krav på att organisationer och myndigheter skall kunna hantera störningar som orsakas av sådana attacker. Målet är att verksamheten skall påverkas så lite som möjligt eller att eventuella effekter skall vara kortlivade, verksamheten skall kunna hållas kontinuerlig eller oavbruten. Detta mål kräver att avbrotts- och katastrofscenarion förutses och planläggs innan de inträffar. Syftet med denna uppsats är att ge kunskap om hur kontinuitet för IT-stödet inom Landstinget i Östergötland säkerställs. Arbetet med att förutse och planera för störningar har på senare tid blivit allt vanligare och kallas vanligen för kontinuitetsplanering. Vi ser kontinuitetsplaneringen som en process som producerar en kontinuitetsplan. Delar som termer och definitioner, säkerhetspolicy, informationssäkerhet och förvaltning utgör råvarorna i planeringen och kontinuitetsplanen är produkten. I denna uppsats har vi kommit fram till att ett system eller en verksamhet kan befinna sig i ett av två tillstånd, normalfas och insatsfas. I insatsfasen har en planerad eller oplanerad störning inträffat som kan göra att vardagliga rutiner inte räcker till för att klara av situationen. Arbetet med att upprätthålla kontinuitet går ut på att planera för- och minimera tiden som verksamheten befinner sig i insatsfasen.

Social engineering handlar om metoder för att infiltrera organisationers datorsystemgenom att manipulera eller utnyttja användarna för att komma över information. Det är idag ett betydande säkerhetsproblem eftersom få organisationer utbildar sin personal i att hantera den här typen av angrepp. Med den här uppsatsen vill vi undersöka fenomenet. Intervjuer har utförts inom en stor organisation för att få inblick i hur stor medvetenheten om fenomenet är och vad som görs för att skydda sig emot det. Det finns tydliga tecken på att social engineering fortfarande är ett relativt okänt område som inte har spenderats tillräckligt med resurser på. Studien har gett en insikt om hur viktigt det är att medvetandegöra organisationers anställda om vad sociala manipulatörer kan åstadkomma. Vår förhoppning är att den här uppsatsen kommer att medverka till en ökad medvetenhet kring social engineering och de risker som det innebär.

Informationssäkerhet är något väldigt aktuellt i dagsläget då mer och mer information och arbetsuppgifter datoriseras. Det är därför viktigt att de som arbetar med datorer har en god informationssäkerhetsmedvetenhet. Denna studie är utförd på Skatteverkets kontor i Linköping genom främst ett antal intervjuer. Studien inriktar sig på personalens informations- säkerhetsmedvetenhet samt hur Skatteverkets åtgärder påverkar personalens informations- säkerhetsmedvetenhet. Den teoretiska referensramen byggs till största del upp av teori kring informationssäkerhet och informations- säkerhetsmedvetenhet, samt även till viss del av organisationsteori. Teorin har sedermera fått utgöra hur informationssäkerheten bör se ut, generellt sett, i en organisation. Genom intervjuer och Skatteverkets interna informationsmaterial har vi tagit reda på hur informationssäkerheten ska se ut enligt Skatteverkets policy. Efter intervjuerna med personalen på Skatteverket har vi sedan tolkat hur den faktiska informationssäkerhets- medvetenheten bland personalen på Skatteverket i Linköping avspeglar sig. Det som har framkommit i denna studie är att personalen på Skatteverket har en informationssäkerhetsmedvetenhet som är på en nivå som inte leder till några speciellt verksamhetskritiska situationer. Det har även framkommit att Skatteverkets åtgärder i teorin är väl genomtänkta, men att alla åtgärder tyvärr inte alltid uppfattats av personalen. Detta framför allt på grund av bristande kommunikation och den organisation som Skatteverket har i form av en linjestabsorganisation.

<p>This report describes a final thesis done during the spring of 2008 as part of the bachelor degree in computer engineering degree at the School of Engineering in Jönköping.</p><p>The client is working in the consulting business and is involved in, amongst others, work regarding information security. Within this field they perform so called Threat, Risk and Vulnerability assessments. Today these assessments are done by a predefined method, but many details are controlled by the person documenting the project. A wish was made that the implementation was standardized, it should also ease the task of estimating the need for time and money. The solution for this seems to be a software tool. This software should handle the data from the assessments and generate foundations for reports.</p><p>The question formulation that has been used is:</p><p>• What are the possibilities to, with software, improve the workflow for handling the information from the assessments?</p><p>• What are suitable techniques to handle this?</p><p>To plan the software focus was put on the assessment and the types of input to them. These inputs were identified through descriptions in literature and informal interviews with analytics. The handling of the information remained unspecified as to not steer the design of the application in a direction that was formed after accustomed patterns, instead an objective solution was sought after.</p><p>The resulting software fulfills all requirements that were specified at the beginning of the project, and it shows that the possibilities to improve the workflow are great. It is possible even with very small means to make it easier for the person doing the documentation. The report resulting from the assessments then become more standardized and make it easier to verify its validity.</p>

Den tekniska utvecklingen i samhället går fortare och fortare framåt. Idag är det inte ovanligt att mobiltelefonerna används för att göra bankärenden, hantera e-post och vara aktiv på sociala medier. Tekniker och lösningar som utvecklas ska vara kostnadseffektiva och användarvänliga, men är detta på bekostnad av informationssäkerheten? Frågeställningar som har besvarat handlar om vilka sårbarheter i tekniken som angripare kan utnyttja för att ta sig in i en telefon, hur det upptäcks och vilka proaktiva åtgärder som kan implementeras. Dessutom har det undersökts hur personer använder sina smarta telefoner och hur pass insatta personer är inom telefonernas säkerhet. På vilka sätt en mobiltelefon kan innebära en säkerhetsrisk i samhället har undersökts genom att en fallstudie utförts. Studien är kvantitativ då bland annat en enkät har skickats ut på ett socialt medie för att undersöka allmänhetens medvetenhet och kunskap gällande mobiltelefoners informationssäkerhet. I studien har hela 210 respondenter deltagit, av dessa är det exempelvis endast 17 % som tycker det är självklart att använda antivirusprogram på mobiltelefonen. Dessutom är det enbart 27 % som prioriterar säkerheten före pris, utseende och popularitet, när de ska ladda ner en app. Genom att räkna ut korrelationer mellan respondenternas svar så kunde flertalet samband fastställas, exempelvis påvisas det att personer som anser sig ha bra koll på informationssäkerhet inte använder anti-virus på sin smarttelefon. Allmänhetens insikt och beteende gällande informationssäkerhet är i många avseenden direkt avgörande när det kommer till tekniska lösningars säkerhet. Om en anslutning har säkerhetsbrister är det extra viktigt att enheter används på ett korrekt och skyddande sätt, så att inte informationsläckage uppstår. Resultatet av studien kan användas som underlag för vidare forskning inom arbetet med mobiltelefoners informationssäkerhet. Fallstudien har gjorts på uppdrag av två utvecklingsingenjörer, vilka har utvecklat Portiér, ett portlås som ska låsas upp med hjälp av användarens mobiltelefon. Informationssäkerheten i portlåset har undersökts på det sättet att riskidentifiering och konsekvensbedömning har sammansats till en riskanalys. Genom fallstudien kunde frågan kring huruvida smarttelefonen utgör en säkerhetsrisk i samhället eller inte besvaras. / The technical development of society goes faster and faster. Today it is not rare that we use mobile phones to make banking transactions, manage email and be active on social media. Technologies and solutions that are developed should be cost-effective and user-friendly, but is it at the expense of information security? It ́s important to consider how unauthorized persons can penetrate a mobile phone, how it ́s detected and what proactive measures can be implemented. Moreover, in this study it has been investigated how people use their smart phones and how familiar people are in the phones' security. In what ways a cell phone can cause a security issue in modern society has also been raised in a case study. This study performed a quantitative analysis where a questionnaire was sent via social media to examine public awareness regarding mobile phones information. In the study, 210 respondents participated, of these, for example, only 17% responded that it ́s obvious to use antivirus program on their mobile phone. Moreover, only 27% that prioritize safety before price, appearance and popularity, when considering downloading an app. By calculating correlations between respondents' answers, several pertience established. Among other things, demonstrated correlation between people who, although they claimed to have good eye of information security, they did not use anti-virus on your smart phone. Public awareness and behavior regarding information security is in many respects crucial when it comes to technical solutions, security. If a connection involves security flaws, it ́s especially important that the devices are used correctly and in protective manner, to avoid information leakage. The results of the study can be used as a basis for further research and work in the field of mobile phone information security. The case study has been conducted in collaboration with two development engineers, who have developed a modern door lock which can be unlocked using a mobile phone. The information security in the door lock has been investigated and analyzied in the way that risk identification and impact assessment has the same batch to a risk analysis. The question to be answered through the case study is the one regarding whether the smartphone constitute a security risk in the society or not.