Cybersäkerhetsrisker är idag ett högaktuellt ämne som fortsätter växa i betydelse. Svaret på problemet handlar dock om mer än bara tekniska lösningar. Snarare bör fokus läggas på människorna inom organisationen genom att förhindra att de exponerar svagheter i organisationens säkerhetssystem. Denna studie syftar till att undersöka hur verksamheter kan organiseras med ambition att skydda sig mot cybersäkerhetsrisker. För att söka svar på frågan utgår undersökningen från tidigare forskning på cybersäkerhet samt det teoretiska ramverket microfoundations där begreppen roller, rutiner och regler behandlas. En kvalitativ metod har valts där respondenter med erfarenhet av arbete inom cybersäkerhet har intervjuats. Resultatet visar att hela verksamheten bör inkluderas i säkerhetsarbetet och att ett säkerhetstänk alltid måste finnas med i de dagliga arbetsuppgifterna för att således få in säkerhet som rutin.

I takt med den ökade digitaliseringen har nya aktörer och risker vuxit fram inom den finansiella sektorn. Trots det faktum att riskspektrat har ökat, visar tidigare studier på att det saknas tillräcklig kunskap i vissa organisationers riskhantering. Den här studien syftar därför att undersöka och redogöra för hur fintech-bolag hanterar cyberrisker där två stycken fintech-bolag med verksamhet på e-betalning har observerats. Därutöver har även en intervju med Finansinspektionen genomförts i syfte att undersöka vilka regulatoriska krav som ställs på fintech-bolag gällande hantering av cyberrisker. Den empiriska datan visar att fintech-bolagens hantering av cyberrisker är tämligen subjektiv och kvalitativ och att det inte finns några regulatoriska krav på hur de ska arbeta, utan snarare rekommendationer. Även om det inte finns några exakta krav på fintech-bolag visar studien på att fintech-bolag följer Finansinspektionens rekommendationer avseende hantering av cyberrisker och att de följer de regelverk som kan härledas från GDPR, PSD2 och betaltjänstlagen. Företagen arbetar också med förebyggande åtgärder, såsom tester och träning.

Forskningen inom cyberområdet är ett relativt nytt område och det finns en brist på cyberteorier som prövats på olika fall. Genom att jämföra de teorier som Bebber och Matania et al. har publicerat, hur en stats strategi avseende cybersäkerhet kan analyseras, kan bristen som identifierats kompletteras. Resultatet visar att både Bebber och Matania et al. kan användas i detta syfte och ger en god överblick över den svenska strategin avseende cybersäkerhet men med lite olika resultat. Resultatet är likväl samstämmigt avseende att den svenska strategin för cybersäkerhet utgår från ett passivt och robust cyberförsvar med en hög resiliens. Ett antal åtgärder har genomförts under 2019 och pågår fortfarande för att stärka den nationella cybersäkerheten. Inom Försvarsmakten finns det emellertid ett arbete att genomföra gällande att doktriner, planeringsmetoder och organisationsutveckling möter de framtida uppgifterna som ställs på cyberförsvaret.

Verksamheter verkar i sårbara miljöer genom IT och digitalisering. Komplexiteten med den digitaliserade cybermiljön medför risker för ökade sårbarheter och en ökning av cyberbrottslighet och cyberangrepp som påverkar säkerheten. Det finns därför behov att verksamheter och samhället ska vara motståndskraftiga och förberedda mot potentiella incidenter. Kontinuitetshantering säkerställer att en verksamhet kan fortsätta trots störningar eller kriser. Det ökar beredskapsnivån för att kunna fortsätta verksamheten under störningar. För att undersöka hur kontinuitetshantering kan användas som ett komplement till riskhantering för att hjälpa verksamheter att öka sin cybersäkerhet har en kvalitativ studie genomförts. Studiens syfte är att skapa utökad förståelse kring vikten av ett fungerande cybersäkerhetsarbete och framhäva vikten av kontinuitetshantering. Studien baseras på sex semistrukturerade intervjuer med respondenter av majoritet inom offentlig sektor. Studien bevisar att genom kombination av kontinuitetshantering och riskhantering kan verksamheter förberedas mot potentiella kriser. Tillsammans kan verksamheter skapa en holistisk strategi för cybersäkerhet som tar hänsyn till förebyggande av åtgärder och incidenthantering.

Med dagens tekniska utveckling har hotbilden kring cyberattacker ökat, vilket gör att företag söker strategier och lösningar för att uppnå ökad resiliens. Studien undersöker således hur organisationer, med utgångspunkt i risk- och krishantering, organiserar samt strukturerar sig för att uppnå ökad cybersäkerhet och följaktligen resiliens mot cyberattacker, det studien benämner cyberresiliens. Genom identifiering och analys av faktorer, vilka bidrar till cyberresiliens, identifieras tre huvudvägar företag kan ta för ökad cyberresiliens: organisatoriska strukturer, rollfördelning och strukturerade arbetsprocesser, vilka utgör studiens analysmodell. Studien bygger på en kvalitativ ansats vilken grundar sig i semistrukturerade intervjuer med konsulter inom cybersäkerhetsområdet. Resultatet indikerar genom studerande av de tre vägarna att risk- och krishanteringselement används för att uppnå ökad cyberresiliens. Dock upptäcks brister i det proaktiva arbetet och decentraliseringsprocesser, vilka förhindrar effektivt arbete och mynnar ut i den övergripande slutsatsen att en integration av fler anställda behöver ske för att skapa mer medvetna organisationer för ökad cyberresiliens.

Medicinteknik är ett fält med en hög grad av digitalisering som erbjuder många viktiga tjänster inom sjukvården. Sjukvården har på senare år visat sig sårbar för intrång och cyberattacker med goda incitament för fientliga aktörer. Mer uppkopplade system förenklar användningen och integreringen av olika medicinska apparater och system men medför även risker som en följd av att mer av systemet blir tillgängligt för externa aktörer. Nya innovationer och en mer digitaliserad bransch kan alltså medföra problem om nödvändiga säkerhetsåtgärder inte vidtas. Branschen undersöks utifrån följande frågeställning: Hur arbetar medicintekniska företag för att motverka risker och hot inom cybersäkerhet? För att belysa nutidsläget inom branschen gjordes med en kvalitativ utgångspunkt en kartläggning av de risker och hot som branschen upplever med avgränsning på små och medelstora företag inom Sverige. Data samlades in genom ett antal semistrukturerade intervjuer med viss anpassning utifrån organisationens verksamhetsbeskrivning.Totalt utfördes 15 intervjuer, 13 med företag verksamma inom medicinteknik eller medicinframställning. En intervju utfördes med en kontakt på Läkemedelsverket och en intervju utfördes med två kontakter som arbetar med informationssäkerhetsfrågor inom en svensk region. Intervjuerna analyserades sedan med hjälp av tematisk analys. Den tematiska analysen resulterade i sju teman. Bland de intervjuade verksamheterna bedömdes generellt risken för intrång i verksamheten som låg, tjänster eller anslutna produkter som brukas av slutanvändare uppfattades dock som mer utsatta. Intervjuerna utfördes under en övergångsperiod till nya förordningar som ställer strängare krav på patientsäkerhet samt cybersäkerhet för medicintekniska produkter. Kraven som dessa förordningar ställer samt eventuella krav från vården identifierades som den primära motivationen att investera i informationssäkerhet bland de intervjuade företagen. Ett flertal respondenter framförde kritik mot de nya regelverken och hävdade att arbetet som krävs för att uppnå kraven är alltför omfattande för mindre verksamheter och risken att företag eller produkter skulle lämna marknaden som en följd framhävs. Synpunkten från Läkemedelsverket och regionen skiljde sig och de betraktade kraven som ställdes som rimliga samt nödvändiga.Resultaten från intervjuerna visar ett behov av ökat stöd för små och medelstora verksamheter för att kunna uppnå de krav som ställs samt vägleda mindre verksamheter. / MedTech is a sector with a high degree of digitization and responsible for providing many of the innovations and services the health care sector makes use of. In recent years the healthcare sector has shown itself to be vulnerable to intrusions and cyberattacks. Increasingly connected devices confer benefits through increased interoperability of devices and systems, easier access and handling of medical records along with general ease of use. Connecting these devices also puts them at risk of being remotely accessed however, meaning many recent innovations may be problematic if these risks are not properly mitigated. Given how interwoven the sectors mentioned above are there is a high likelihood that insufficient security measures in Medtech will impact healthcare adversely. In hopes of illuminating some of the threats and risks the MedTech sector is currently facing, the following question is asked: How do companies within MedTech work to mitigate cybersecurity risks and threats? To answer these questions a survey was done with focus on small and medium sized entities within MedTech based in Sweden. Data was collected through interviews. A total of 15 interviews were conducted, 13 of which were interviews with companies active within the field of MedTech or medicine.One interview was performed with Läkemedelsverket, a supervisory authority within MedTech and one interview was performed with two contacts within a Swedish county council who hold advisory roles regarding information security. The transcribed interviews were analysed thematically to discern common patterns and findings throughout the interviews. The thematic analysis resulted in 7 themes. Among the interviewed companies the majority perceived the likelihood of an intrusion within their company as low and security efforts were primarily directed towards the service or product on offer where the risk and eventual consequences of an intrusion was deemed to be higher. The interviews took place during a transitional period between old directives and new regulations with more stringent requirements regarding security and cybersecurity for medical devices. Complying with the new regulations and eventual requirements from caregivers were the primary motivators behind investment in cybersecurity among the interviewed companies. A number of respondents critiqued the new regulations on the grounds that the workload complying with the regulation brings is excessive for small enterprises and might cause an exodus of products and companies from the sector. This view was not shared by the respondent from Läkemedelsverket nor the respondents from the Swedish county council who considered the new requirements reasonable and necessary. The results show a need for further support among small and medium sized enterprises in order to handle regulatory demands.

As technology and Internet use continue to grow globally, cybersecurity has become an increasingly important topic to ensure the safety of individual consumers online. It is a growing cause for concern that cyber attacks are on the rise, as has been the case during the global pandemic. Cybersecurity awareness among the general population is of utmost importance to mitigate and prevent cyber attacks. One of the primary purposes of this study was to identify the existence and measure the extent of knowledge gaps between experts and non-experts, within the field of cybersecurity. This was done by evaluating how experts and non-experts rate the severity of different vulnerabilities. Through extensive collaboration with a technology startup within the f ield of digital design and e-commerce, four vulnerabilities were identified in the startup’s IT environment. These vulnerabilities were simplified and described in four separate scenarios, for the sake of being digestible for a nonexpert audience. The scenarios were used to construct an extensive survey, which asked participants how they would rate the severity of each scenario, using a 1-5 Likert scale. Severity was measured using three vulnerability metrics, including Attack Complexity (AC), Remediation Level (RL) and Confidentiality (C). In many cases, experts and non-experts rated the severity of the studied vulnerabilities similarly. However, the results of this study primarily showed that there doesexiststatistically significant differences intheperceivedseverity between the groups. Using expert responses as a baseline, it was possible to identify for which metrics and in which contexts the lack of cybersecurity awareness existed among non-experts. This lack of awareness was equated with the existence of a knowledge gap. For future work, it would be of great interest to further analyze the extent of and how to reduce this knowledge gap. / I takt med att den internetbaserade teknologiska användningen fortsätter att öka på global skala blir cybersäkerhet desto viktigare för att skydda konsumenter från cyberangrepp online. Under pandemins gång har antalet cyberattacker ökat markant och detta är högst oroväckande. Allmänhetens medvetenhet kring cybersäkerhet är av yttersta vikt för att mitigera och förhindra cyberattackerna. Ett av dem främsta syftena med denna studie var att undersöka eventuella kunskapsskillnader mellan experter och ickeexperter inom cybersäkerhetsområdet. Detta undersöktes genom att evaluera hur experter och icke-experter bedömer allvaret i olika cybersäkerhetsbrister. Genom ett gediget samarbete med en startup inom digital design och ehandel, identifierades fyra separata säkerhetsbrister i företagets IT system. Dessa brister förklarades på en översiktlig nivå i olika scenarier, för att underlätta förståelsen bland icke-experter. Dessa scenarier användes därefter till att utveckla en omfattande undersökningsenkät, vars syfte var att undersöka hur deltagare bedömer allvaret i scenarierna utifrån en 1-5 Likertskala. Allvaret beräknades genom att deltagarna bedömde tre olika sårbarhetsaspekter för varje scenario: cyberattackens komplexitet (AC), åtgärdhetens komplexitet (RL) och konfidentialitet (C). I många fall gjorde experter och icke-experter en likvärdig bedömning kring allvaret i dem undersökta cybersäkerhetsbristerna. Emellertid fanns det i andra sammanhang uppenbara och statistiskt säkerställda skillnader i bedömningarna mellan grupperna. Genom att använda experternas bedömning som måttstock, visade studien i vilka sammanhang och för vilka sårbarhetsaspekter icke-experter saknade en gedigen medvetenhet kring. Denna bristfälliga medvetenhet likställdes med att en kunskapslucka existerade mellan grupperna. Inför framtida forskning är det av stort intresse att undersöka omfattningen av och metoder att reducera denna kunskapslucka.

No description available.

Användandet av internet ökar ständigt och allt fler företag digitaliserar sin verksamhet. Dock har detta lett till att kriminaliteten ökar på de digitala plattformarna. Detta sätter hög press på företag att satsa på sin datasäkerhet för att hänga med i utvecklingen. Målsättningen med denna rapport är att kategorisera allmänhetens uppfattning om digitala hot och ställa dessa i jämförelse med den forskning som finns. Detta för att se vilka hot som allmänheten behöver eller inte behöver oroa sig för. Rapporten lägger även ett stort fokus på de ekonomiska konsekvenser som cyberattackerna har på samhället. Resultatet visar att allmänheten rent generellt har dålig uppfattning om de digitala hoten även fast de överlag uppskattar hoten som allvarliga. Detta visar på en kunskapslucka hos befolkningen vilket kan vara naturlig då utvecklingen har gått mycket fort inom området.   De hot som denna rapport lyfter upp är några av de mest relevanta digitala hot som finns på marknaden idag. Detta kompletteras med en genomgång av de ekonomiska konsekvenser och prognoser för framtida konsekvenser av cyberattacker. / The use of the internet is constantly increasing and more and more companies are digitizing their work. However, this has led to an increase in crime on the digital platforms. This puts a lot of pressure on companies to invest in their data security to keep up with the progress of cyber crime. The aim of this report is to categorize the public's perception of digital threats and compare them with existing research. This is to see what threats the public needs or does not need to worry about. The report also places great emphasis on the economic consequences that cyber attacks have on society. The result shows that the general public has a poor perception of the digital threats, even though they generally regard the threats as serious. This shows a knowledge gap among the population, which may be natural as the development has been very fast in the scientific area. The threats that this report highlights are some of the most relevant digital threats on the market today. This is supplemented by a review of the economic consequences and forecasts for future consequences of cyber attacks.

During recent years, cyber-threats has become an increasing problem in society. Incidents during the previous decade has shown that cyber-attacks can cause severe consequences for states, businesses, and organisations all over the world. There has also been an increase in cyber-crimes like phishing and other types of scams and extortion, which threatens the general public. As a result, information and cyber-security has become a hot topic among technology developers as well as in policy discussions. This paper studies an EU-common policy and a Swedish national policy on cyber-security to find out how cyber-threats are represented as a problem within the EU and in Sweden. The study then applies a theoretical framework of policy transfer to explain how the represented problem has changed in the transfer from European to Swedish context. The study finds that in the transference the scope of the represented problem has widened, both in terms of what is considered a threat as well as in who the policy aims to protect. This study aims to increase the understanding on how governance based on discursive visions, affects the solution a problem receives.