Informationssäkerhet innefattar idag mer än bara tekniska lösningar. Företag behöver i allt störreutsträckning involvera de anställda i IT-säkerhetsarbetet då majoriteten av IT-säkerhetsincidenteridag orsakas av den mänskliga faktorn. Små företag står inför samma IT-säkerhetsutmaningar somstora företag utan att nödvändigtvis ha tillgång till samma expertis och resurser som de storaföretagen. Tidigare studier har identifierat IT-säkerhetsmedvetenheten hos de anställda som ennyckelfaktor i företagens IT-säkerhet. Denna studie använder en abduktiv forskningsansats med enkvalitativ datainsamling för att undersöka IT-säkerhetsmedvetenheten hos anställda vid tre svenskasmåföretag. Studien genomförde tre fokusgruppintervjuer med tre deltagarna från tre olikasmåföretag i Norrbotten och resultatet visar att de anställda har viss medvetenhet om hur manarbetar IT-säkert men undervärderar värdet på informationen de hanterar och hotbilden små företagutsätts för vilket resulterar i en avslappnad attityd till IT-säkerhet. Den avslappnade attityden ochbristen på riktlinjer över hur de ska arbeta IT-säkert resulterar i en IT-säkerhetskultur somgenomsyras av sunt förnuft där företagen blir sårbara då deras IT-säkerhet blir utlämnad till varjeenskild anställds IT-säkerhetsmedvetenhet och förmåga att fatta kritiska IT-säkerhetsbeslut.