Industrial Internet of Things (IIoT) implementeras i snabb takt. Attackytan för cyberhot inom IIoT-nätverk har utvidgats i takt med en mer utbredd användning, och cybersäkerhet för IIoT-enheter har inte varit i fokus. Brister i att upprätthålla säkerhet kan resultera i allvarliga konsekvenser för företag genom bland annat produktionsavbrott, ekonomiska förluster och stöld av affärshemligheter. Arbetets syfte har varit att öka säkerheten för IIoT-nätverk genom att analysera MQTT och OPC UA ur ett säkerhetsperspektiv,  två kommunikationsprotokoll som förekommer inom IIoT-nätverk. Arbetet belyser hur olika nivåer av implementerad säkerhet för MQTT och OPC UA förhåller sig till upprätthållandet av konfidentialitet, riktighet och tillgänglighet. MITC AB är ett företag som bedriver samarbeten med Mälardalens Universitet och Mälardalens industri. MITC AB vill öka kunskapen för cybersäkerhet inom IIoT-nätverk och strävar efter att minska cyberhotens inverkan. Arbetet har innefattat litteraturstudier av tidigare arbeten inom området och egna experiment där vi utifrån olika scenarier har utfört cyberattacker mot IIoT-nätverk som implementerar MQTT och OPC UA. Experimentens resultat visade att det utan adekvat säkerhet är möjligt att med relativt enkla medel komma åt och manipulera data. Resultaten belyser också skillnader mellan MQTT och OPC UA ur ett säkerhetsperspektiv. Litteraturstudien tillsammans med experimenten har resulterat i en sammanställning av de åtgärder som krävs för att efterleva konfidentialitet, riktighet och tillgänglighet i IIoT-nätverk som implementerar MQTT eller OPC UA. Det här arbetet bidrar till att öka förståelsen för cybersäkerhet inom IIoT-nätverk, och kan fungera som underlag vid val av protokoll för implementering hos MITC AB och deras samarbetspartners.

Cybersäkerhetsrisker är idag ett högaktuellt ämne som fortsätter växa i betydelse. Svaret på problemet handlar dock om mer än bara tekniska lösningar. Snarare bör fokus läggas på människorna inom organisationen genom att förhindra att de exponerar svagheter i organisationens säkerhetssystem. Denna studie syftar till att undersöka hur verksamheter kan organiseras med ambition att skydda sig mot cybersäkerhetsrisker. För att söka svar på frågan utgår undersökningen från tidigare forskning på cybersäkerhet samt det teoretiska ramverket microfoundations där begreppen roller, rutiner och regler behandlas. En kvalitativ metod har valts där respondenter med erfarenhet av arbete inom cybersäkerhet har intervjuats. Resultatet visar att hela verksamheten bör inkluderas i säkerhetsarbetet och att ett säkerhetstänk alltid måste finnas med i de dagliga arbetsuppgifterna för att således få in säkerhet som rutin.

I takt med den ökade digitaliseringen har nya aktörer och risker vuxit fram inom den finansiella sektorn. Trots det faktum att riskspektrat har ökat, visar tidigare studier på att det saknas tillräcklig kunskap i vissa organisationers riskhantering. Den här studien syftar därför att undersöka och redogöra för hur fintech-bolag hanterar cyberrisker där två stycken fintech-bolag med verksamhet på e-betalning har observerats. Därutöver har även en intervju med Finansinspektionen genomförts i syfte att undersöka vilka regulatoriska krav som ställs på fintech-bolag gällande hantering av cyberrisker. Den empiriska datan visar att fintech-bolagens hantering av cyberrisker är tämligen subjektiv och kvalitativ och att det inte finns några regulatoriska krav på hur de ska arbeta, utan snarare rekommendationer. Även om det inte finns några exakta krav på fintech-bolag visar studien på att fintech-bolag följer Finansinspektionens rekommendationer avseende hantering av cyberrisker och att de följer de regelverk som kan härledas från GDPR, PSD2 och betaltjänstlagen. Företagen arbetar också med förebyggande åtgärder, såsom tester och träning.

Forskningen inom cyberområdet är ett relativt nytt område och det finns en brist på cyberteorier som prövats på olika fall. Genom att jämföra de teorier som Bebber och Matania et al. har publicerat, hur en stats strategi avseende cybersäkerhet kan analyseras, kan bristen som identifierats kompletteras. Resultatet visar att både Bebber och Matania et al. kan användas i detta syfte och ger en god överblick över den svenska strategin avseende cybersäkerhet men med lite olika resultat. Resultatet är likväl samstämmigt avseende att den svenska strategin för cybersäkerhet utgår från ett passivt och robust cyberförsvar med en hög resiliens. Ett antal åtgärder har genomförts under 2019 och pågår fortfarande för att stärka den nationella cybersäkerheten. Inom Försvarsmakten finns det emellertid ett arbete att genomföra gällande att doktriner, planeringsmetoder och organisationsutveckling möter de framtida uppgifterna som ställs på cyberförsvaret.

Verksamheter verkar i sårbara miljöer genom IT och digitalisering. Komplexiteten med den digitaliserade cybermiljön medför risker för ökade sårbarheter och en ökning av cyberbrottslighet och cyberangrepp som påverkar säkerheten. Det finns därför behov att verksamheter och samhället ska vara motståndskraftiga och förberedda mot potentiella incidenter. Kontinuitetshantering säkerställer att en verksamhet kan fortsätta trots störningar eller kriser. Det ökar beredskapsnivån för att kunna fortsätta verksamheten under störningar. För att undersöka hur kontinuitetshantering kan användas som ett komplement till riskhantering för att hjälpa verksamheter att öka sin cybersäkerhet har en kvalitativ studie genomförts. Studiens syfte är att skapa utökad förståelse kring vikten av ett fungerande cybersäkerhetsarbete och framhäva vikten av kontinuitetshantering. Studien baseras på sex semistrukturerade intervjuer med respondenter av majoritet inom offentlig sektor. Studien bevisar att genom kombination av kontinuitetshantering och riskhantering kan verksamheter förberedas mot potentiella kriser. Tillsammans kan verksamheter skapa en holistisk strategi för cybersäkerhet som tar hänsyn till förebyggande av åtgärder och incidenthantering.

Med dagens tekniska utveckling har hotbilden kring cyberattacker ökat, vilket gör att företag söker strategier och lösningar för att uppnå ökad resiliens. Studien undersöker således hur organisationer, med utgångspunkt i risk- och krishantering, organiserar samt strukturerar sig för att uppnå ökad cybersäkerhet och följaktligen resiliens mot cyberattacker, det studien benämner cyberresiliens. Genom identifiering och analys av faktorer, vilka bidrar till cyberresiliens, identifieras tre huvudvägar företag kan ta för ökad cyberresiliens: organisatoriska strukturer, rollfördelning och strukturerade arbetsprocesser, vilka utgör studiens analysmodell. Studien bygger på en kvalitativ ansats vilken grundar sig i semistrukturerade intervjuer med konsulter inom cybersäkerhetsområdet. Resultatet indikerar genom studerande av de tre vägarna att risk- och krishanteringselement används för att uppnå ökad cyberresiliens. Dock upptäcks brister i det proaktiva arbetet och decentraliseringsprocesser, vilka förhindrar effektivt arbete och mynnar ut i den övergripande slutsatsen att en integration av fler anställda behöver ske för att skapa mer medvetna organisationer för ökad cyberresiliens.

Medicinteknik är ett fält med en hög grad av digitalisering som erbjuder många viktiga tjänster inom sjukvården. Sjukvården har på senare år visat sig sårbar för intrång och cyberattacker med goda incitament för fientliga aktörer. Mer uppkopplade system förenklar användningen och integreringen av olika medicinska apparater och system men medför även risker som en följd av att mer av systemet blir tillgängligt för externa aktörer. Nya innovationer och en mer digitaliserad bransch kan alltså medföra problem om nödvändiga säkerhetsåtgärder inte vidtas. Branschen undersöks utifrån följande frågeställning: Hur arbetar medicintekniska företag för att motverka risker och hot inom cybersäkerhet? För att belysa nutidsläget inom branschen gjordes med en kvalitativ utgångspunkt en kartläggning av de risker och hot som branschen upplever med avgränsning på små och medelstora företag inom Sverige. Data samlades in genom ett antal semistrukturerade intervjuer med viss anpassning utifrån organisationens verksamhetsbeskrivning.Totalt utfördes 15 intervjuer, 13 med företag verksamma inom medicinteknik eller medicinframställning. En intervju utfördes med en kontakt på Läkemedelsverket och en intervju utfördes med två kontakter som arbetar med informationssäkerhetsfrågor inom en svensk region. Intervjuerna analyserades sedan med hjälp av tematisk analys. Den tematiska analysen resulterade i sju teman. Bland de intervjuade verksamheterna bedömdes generellt risken för intrång i verksamheten som låg, tjänster eller anslutna produkter som brukas av slutanvändare uppfattades dock som mer utsatta. Intervjuerna utfördes under en övergångsperiod till nya förordningar som ställer strängare krav på patientsäkerhet samt cybersäkerhet för medicintekniska produkter. Kraven som dessa förordningar ställer samt eventuella krav från vården identifierades som den primära motivationen att investera i informationssäkerhet bland de intervjuade företagen. Ett flertal respondenter framförde kritik mot de nya regelverken och hävdade att arbetet som krävs för att uppnå kraven är alltför omfattande för mindre verksamheter och risken att företag eller produkter skulle lämna marknaden som en följd framhävs. Synpunkten från Läkemedelsverket och regionen skiljde sig och de betraktade kraven som ställdes som rimliga samt nödvändiga.Resultaten från intervjuerna visar ett behov av ökat stöd för små och medelstora verksamheter för att kunna uppnå de krav som ställs samt vägleda mindre verksamheter. / MedTech is a sector with a high degree of digitization and responsible for providing many of the innovations and services the health care sector makes use of. In recent years the healthcare sector has shown itself to be vulnerable to intrusions and cyberattacks. Increasingly connected devices confer benefits through increased interoperability of devices and systems, easier access and handling of medical records along with general ease of use. Connecting these devices also puts them at risk of being remotely accessed however, meaning many recent innovations may be problematic if these risks are not properly mitigated. Given how interwoven the sectors mentioned above are there is a high likelihood that insufficient security measures in Medtech will impact healthcare adversely. In hopes of illuminating some of the threats and risks the MedTech sector is currently facing, the following question is asked: How do companies within MedTech work to mitigate cybersecurity risks and threats? To answer these questions a survey was done with focus on small and medium sized entities within MedTech based in Sweden. Data was collected through interviews. A total of 15 interviews were conducted, 13 of which were interviews with companies active within the field of MedTech or medicine.One interview was performed with Läkemedelsverket, a supervisory authority within MedTech and one interview was performed with two contacts within a Swedish county council who hold advisory roles regarding information security. The transcribed interviews were analysed thematically to discern common patterns and findings throughout the interviews. The thematic analysis resulted in 7 themes. Among the interviewed companies the majority perceived the likelihood of an intrusion within their company as low and security efforts were primarily directed towards the service or product on offer where the risk and eventual consequences of an intrusion was deemed to be higher. The interviews took place during a transitional period between old directives and new regulations with more stringent requirements regarding security and cybersecurity for medical devices. Complying with the new regulations and eventual requirements from caregivers were the primary motivators behind investment in cybersecurity among the interviewed companies. A number of respondents critiqued the new regulations on the grounds that the workload complying with the regulation brings is excessive for small enterprises and might cause an exodus of products and companies from the sector. This view was not shared by the respondent from Läkemedelsverket nor the respondents from the Swedish county council who considered the new requirements reasonable and necessary. The results show a need for further support among small and medium sized enterprises in order to handle regulatory demands.

I dagens samhälle utgör molntjänstlösningar en central roll för många företag, inte minst små- och medelstora företag. Risker och hot i molntjänster har ökat i och med digitaliseringen. Att förhålla sig till hot och risker kopplat till cybersäkerhet är en viktig och väsentlig del för att skydda företaget mot attacker och dataförlust vid användningen av molntjänster. Små- och medelstora företag har därför en betydelsefull uppgift i att förstå och ha kunskap om hur de kan arbeta med att bekämpa cyberrisker och hot som kan uppstå vid användning av molntjänster. Att använda sig av olika säkerhetsstrategier kan bidra till att förbättra företagets säkerhet i molnet. Det råder en brist på expertis, ansvar och kunskap bland små- och medelstora företag att använda sig av lämpliga säkerhetsstrategier för att förbättra säkerheten i molntjänster. Detta leder till att små- och medelstora företag löper risk att utsättas för rådande risker och hot vid användning av molntjänster.I studien har olika säkerhetsstrategier identifierats och i vilken utsträckning dessa används av små- och medelstora företag. Detta har i sin tur besvarat frågeställningen: ”Hur används säkerhetsstrategier av små- och medelstora företag för att förbättra säkerheten vid användning av molntjänster?”. Syftet med studien har varit att förmedla kunskap och förståelse för hur små- och medelstora företag själva använder sig av säkerhetsstrategier för att förbättra säkerheten vid användning av molntjänster.I denna studie har kvalitativa forskningsmetoder använts för att ta itu med frågeställningen. Datainsamlingen har skett genom semistrukturerade intervjuer och analysen av data har utförts genom tematisk analys med bottom-up tillvägagångssätt. Resultaten från studien belyser identifierade säkerhetsstrategier och användningen av dessa bland små- och medelstora företag.

As technology and Internet use continue to grow globally, cybersecurity has become an increasingly important topic to ensure the safety of individual consumers online. It is a growing cause for concern that cyber attacks are on the rise, as has been the case during the global pandemic. Cybersecurity awareness among the general population is of utmost importance to mitigate and prevent cyber attacks. One of the primary purposes of this study was to identify the existence and measure the extent of knowledge gaps between experts and non-experts, within the field of cybersecurity. This was done by evaluating how experts and non-experts rate the severity of different vulnerabilities. Through extensive collaboration with a technology startup within the f ield of digital design and e-commerce, four vulnerabilities were identified in the startup’s IT environment. These vulnerabilities were simplified and described in four separate scenarios, for the sake of being digestible for a nonexpert audience. The scenarios were used to construct an extensive survey, which asked participants how they would rate the severity of each scenario, using a 1-5 Likert scale. Severity was measured using three vulnerability metrics, including Attack Complexity (AC), Remediation Level (RL) and Confidentiality (C). In many cases, experts and non-experts rated the severity of the studied vulnerabilities similarly. However, the results of this study primarily showed that there doesexiststatistically significant differences intheperceivedseverity between the groups. Using expert responses as a baseline, it was possible to identify for which metrics and in which contexts the lack of cybersecurity awareness existed among non-experts. This lack of awareness was equated with the existence of a knowledge gap. For future work, it would be of great interest to further analyze the extent of and how to reduce this knowledge gap. / I takt med att den internetbaserade teknologiska användningen fortsätter att öka på global skala blir cybersäkerhet desto viktigare för att skydda konsumenter från cyberangrepp online. Under pandemins gång har antalet cyberattacker ökat markant och detta är högst oroväckande. Allmänhetens medvetenhet kring cybersäkerhet är av yttersta vikt för att mitigera och förhindra cyberattackerna. Ett av dem främsta syftena med denna studie var att undersöka eventuella kunskapsskillnader mellan experter och ickeexperter inom cybersäkerhetsområdet. Detta undersöktes genom att evaluera hur experter och icke-experter bedömer allvaret i olika cybersäkerhetsbrister. Genom ett gediget samarbete med en startup inom digital design och ehandel, identifierades fyra separata säkerhetsbrister i företagets IT system. Dessa brister förklarades på en översiktlig nivå i olika scenarier, för att underlätta förståelsen bland icke-experter. Dessa scenarier användes därefter till att utveckla en omfattande undersökningsenkät, vars syfte var att undersöka hur deltagare bedömer allvaret i scenarierna utifrån en 1-5 Likertskala. Allvaret beräknades genom att deltagarna bedömde tre olika sårbarhetsaspekter för varje scenario: cyberattackens komplexitet (AC), åtgärdhetens komplexitet (RL) och konfidentialitet (C). I många fall gjorde experter och icke-experter en likvärdig bedömning kring allvaret i dem undersökta cybersäkerhetsbristerna. Emellertid fanns det i andra sammanhang uppenbara och statistiskt säkerställda skillnader i bedömningarna mellan grupperna. Genom att använda experternas bedömning som måttstock, visade studien i vilka sammanhang och för vilka sårbarhetsaspekter icke-experter saknade en gedigen medvetenhet kring. Denna bristfälliga medvetenhet likställdes med att en kunskapslucka existerade mellan grupperna. Inför framtida forskning är det av stort intresse att undersöka omfattningen av och metoder att reducera denna kunskapslucka.

No description available.