Information är en viktig tillgång för organisationer och därför är också informationssäkerhet viktigt för företag som vill skydda sin information. Företag inför informationssäkerhetspolicys som är en syn på hur företagets ledning vill att informationssäkerheten ska skötas. Det är ett problem att anställda väljer att inte följa vissa delar eller hela säkerhetspolicyn av olika anledningar. Detta arbete utför en fallstudie på ett företag för att se hur anställda efterlever den säkerhetspolicy som finns. Strategin för undersökningen är generell och den visar hur företag kan gå tillväga för att identifiera brister i efterlevnaden av säkerhetspolicyn. Resultat visar att flera av de anställda på företaget inte följer den policy som ledningen har tagit fram. I framtiden skulle det vara intressant att utföra en större undersökning som sträcker sig över flera företag.

Svenska kommuner står inför den komplexa och omfattande uppgiften att skapa grundläggande informationssäkerhet för förvaltningsverksamhet. Denna uppgift förutsätter ett ledningssystem för informationssäkerhet, en betydande del av ledningssystemet är att upplåta en informationssäkerhetspolicy. Policydokumentet bör enligt tidigare forskning hållas levande genom revidering för att säkra kvaliteten inom informationssäkerhetsarbetet. Syftet med denna studie är att studera hur svenska kommuner bedriver arbetet med att hålla informationssäkerhetspolicyn levande, dvs. revidera denna. Studien genomförs med en kvalitativ datainsamlingsmetod där tre personer med en ledande befattning inom informationssäkerhetsarbete i utvalda kommuner intervjuas. Undersökningen beskriver hur kommunerna i studien bedriver arbetet med att revidera informationssäkerhetspolicyn. Slutsatsen är att svenska kommuner reviderar informationssäkerhetspolicyn, men inte på ett sådant sätt att policyn kan betraktas som ett levande styrdokument.

<p>Denna uppsats dokumenterar en fallstudie som gjordes hösten 2006 vid Linde Material Handling i Örebro. Företaget var på väg att expandera och planerade att utöka användningen av IT i verksamheten. I samband med detta gavs undertecknade i uppdrag att utforma en informationssäkerhetspolicy för verksamheten. I en litteraturstudie kunde det konstateras att det inte fanns några enklare riktlinjer för att utforma sådana policies, varmed syftet blev att göra detta. Genom en fallstudie på företaget där vi utformade en IS-policy för deras verksamhet, och även gjorde intervjuer med ledning och dokumentationsanalyser, utrönas vilka problem som kan uppstå och vilka överväganden som bör göras för att utforma en lyckad policy. Riktlinjerna kan användas av företag som känner igen sig i fallbeskrivningen. Vi har i arbetet avgränsat oss från att studera hur en policy ska införas eller utvärderas.</p><p>De riktlinjer vi utformade kan sammanfattas som följande:</p><p>* Utforma minimalistiskt</p><p>Policyn bör vara enkel, de föreskrifter och sidor som finns bör vara få till antalet och endast omfatta det absolut viktigaste.</p><p>* Tillgodose användaracceptans</p><p>Policyns innehåll ska inte uppfattas som kränkande eller alltför omständligt av de anställda.</p><p>* Formulera och ordna mål</p><p>Det är viktigt att se till att de säkerhetsmål som finns i verksamheten hjälper till att uppfylla de mer generella organisatoriska målen.</p><p>* Förankra i beslutande organ</p><p>Säkerhetsarbetet bör vara förankrat i ledningen.</p><p>* Uppdelning i delpolicies</p><p>Det kan vara aktuellt med olika delpolicies för olika delar av verksamheten</p><p>om dessa skiljer sig märkbart åt.</p>

The following study is dedicated to investigate what kind of problems an organisation might stumble upon in the process of implementing a policy related to information security. Alongside investigating the eventual problems occurring in the implementation process of an organisation, the study also sets out to analyse how an organisation can motivate staff in order to follow the guidelines of a policy. The collection of empirical data was done using interviews. In order to seek answers to our research questions a theoretical background is presented that illustrate the need for information security after which motivational theories are applied to our collected data. To summarise the results of the study we find a gap of knowledge between the employees of the organisation. The organisational level of an employee together with the degree of participation in working with a policy seems connected to both the employee’s knowledge of a policy as well as how well the employee are motivated to learn about and follow the guidelines provided from a policy.

No description available.

Denna uppsats dokumenterar en fallstudie som gjordes hösten 2006 vid Linde Material Handling i Örebro. Företaget var på väg att expandera och planerade att utöka användningen av IT i verksamheten. I samband med detta gavs undertecknade i uppdrag att utforma en informationssäkerhetspolicy för verksamheten. I en litteraturstudie kunde det konstateras att det inte fanns några enklare riktlinjer för att utforma sådana policies, varmed syftet blev att göra detta. Genom en fallstudie på företaget där vi utformade en IS-policy för deras verksamhet, och även gjorde intervjuer med ledning och dokumentationsanalyser, utrönas vilka problem som kan uppstå och vilka överväganden som bör göras för att utforma en lyckad policy. Riktlinjerna kan användas av företag som känner igen sig i fallbeskrivningen. Vi har i arbetet avgränsat oss från att studera hur en policy ska införas eller utvärderas. De riktlinjer vi utformade kan sammanfattas som följande: * Utforma minimalistiskt Policyn bör vara enkel, de föreskrifter och sidor som finns bör vara få till antalet och endast omfatta det absolut viktigaste. * Tillgodose användaracceptans Policyns innehåll ska inte uppfattas som kränkande eller alltför omständligt av de anställda. * Formulera och ordna mål Det är viktigt att se till att de säkerhetsmål som finns i verksamheten hjälper till att uppfylla de mer generella organisatoriska målen. * Förankra i beslutande organ Säkerhetsarbetet bör vara förankrat i ledningen. * Uppdelning i delpolicies Det kan vara aktuellt med olika delpolicies för olika delar av verksamheten om dessa skiljer sig märkbart åt.

Det digitala samhället har möjliggjort hybrida arbetsplatser, vilket tillåter anställda att fördela sin tid på olika platser utanför organisationens egna kontor. I takt med denna utveckling tillkommer även fler informationssäkerhetsrisker, vilket gör att informationssäkerhet blir allt mer integrerat i vårt samhälle. I och med detta ämnar studien att utforska vilka informationssäkerhets-relaterade utmaningar kommunala verksamheter har mött vid övergången till hybrida arbetsplatser. Studien utfördes genom en abduktiv fallstudie där empiri samlades in genom kvalitativa datainsamlingsmetoder, som bestod av en dokumentgranskning samt att fem anställda intervjuats inom en kommunal verksamhet. Empirin som samlats in analyserades genom att ställa den nuvarande situationen mot teorier om hur ett informationssäkerhetsarbete ska bedrivas. I diskussionen lyfter vi betydelsen av ledningens delaktighet inom området informationssäkerhet samt bristen på ett systematiskt arbete med informationssäkerhet. Diskussionen behandlar även utmaningar med informationssäkerhetsarbete vid övergången till hybrida arbetsplatser. Studien visar på att informationssäkerhetspolicyer och riktlinjer inte efterföljs vilket indikerar att ledning bör ta större ansvar i informationssäkerhetsarbetet.

Cyberattacker blir allt vanligare och inget pekar på att denna trend kommer att vända.Samtidigt är vi mer beroende av våra IT system än vi någonsin varit, och att förlorakontrollen över dessa kan få förödande konsekvenser. En betydande majoritet avlyckade cyberangrepp mot organisationer börjar med snedsteg bland personalen. Informationssäkerhetspolicyer finns till för att motverka dessa angrepp och stärkaorganisationers informationssäkerhet. En av nyckeldelarna för att dessa ska varaeffektiva är att efterlevnaden är god bland personalen. Studiens syfte är därför attundersöka vilka aspekter som påverkar efterlevnaden och med insamlade data kommamed rekommendationer och förslag för förbättrad hantering och kommunikation avinformationssäkerhetspolicyer. Data samlades in i kommunala förvaltningar viasemistrukturerade intervjuer med 14 respondenter. Intervjudata kodades ochanalyserades för att komma fram till de slutliga resultaten. Genom intervjuerna undersöktes personalens ISP medvetenhet, hur de kommunicerasoch hur ofta de repeteras. Samma gäller för utbildningar sett till informationssäkerhet.Den insamlade data visar att personalen förstår vikten av den säkerhetsklassadeinformationen de har tillgång till på deras arbetsplats. Utbildning och repetition av dessaär bristfällig på de flera av kommunerna medan personalen är positivt inställda till ökadrepetition och utbildning. Studiens slutsats lägger fram rekommendationer över hur kommuner i Sverige kanarbeta för att uppnå förbättring av personalens efterlevnad avinformationssäkerhetspolicyer.

Syftet med denna flerfallstudie är att granska Svenska IT-konsultbolags informationssäkerhetspolicies (ISP). Vissa forskare argumenterar att införandet av en ISP är den allra viktigaste säkerhetsaspekten för en organisation. Studiens metodologiska ansats är en flerfallstudie baserad på kvalitativa djupintervjuer, tidigare forskning och ITkonsultbolagens ISP:s. Resultaten har analyserats och jämförts med hur en ISP bör implementeras för att klassas som effektiv enligt olika standarder. Resultaten visar att ITkonsultbolag tenderar att hänvisa till de anställdas egen ansvarskänsla istället för att implementera en felfri ISP. Organisationerna förväntar sig att anställda har ett genuint intresse för IT-säkerhet vilket därmed kan vara en orsak till att organisationer inte värderar sin ISP högre. Samtliga respondenter ansåg trots detta att den mänskliga faktorn är det största hotet mot IT-säkerheten.

Många företag klarar sig inte i dagsläget utan någon form av IT-stöd. Stora mängder informat-ion används och lagras i organisationers dagliga arbete. Viss information behöver skyddas från obehörig tillgång eller användning. Ett av de största hoten mot organisationers information som lätt förbises är dess egna anställda. Anställda i en organisation arbetar dagligen med information och är i mest kontakt med den. Något som uppmärksammats av MSB och andra tredje parter som undersökt svenska kommuners säkerhet är att det har visat sig att den är, om något, under-målig. En informationssäkerhetspolicy är en form av styrdokument som används för att an-ställda ska veta vad som förväntas av dem och hur dem ska skydda informationen. För att en informationssäkerhetspolicy ska vara effektiv så måste de anställda inom organisationen efter-leva den. Uppsatsen består av en undersökning av hur efterlevnaden av informationssäkerhets-policyn ser ut på en kommunal verksamhet. Utifrån theory of planned behavior undersökte vi hur attityd till beteendet, subjektiv norm och upplevd kontroll av det egna beteendet påverkar en individs intention att utföra ett visst beteende. Genom semistrukturerade intervjuer och doku-mentanalys drogs slutsatserna att trots att ingen av respondenterna blivit introducerade till in-formationssäkerhetspolicyn så efterlever de den bra.