Changes is always a relevant factor in organisations. The 25th of May 2018 the General Data Protection Regulation (GDPR) becomes enforceable as EU law, which will be a cause for change for a lot of organisation’s way of handling data, possibly endangering the information’s security. This essay aims to study three organizations and how they have prepared for GDPR. They will be analyzed from a change-management- and information security perspective, to conclude how the organisations conceive the magnitude of the change, and to see how they have implemented solutions for keeping the data safe after the 25th of May. The study’s result show that three participating organizations in the study all have implemented solutions that fulfill the, for the study, selected intersections of the McCumber Cube-model for Information Security, albeit in different ways. The three organization's attitude towards the changemanagement in preparation of GDPR doesn’t reflect the view of the researchers, who after analyzing GDPR sees it as a bigger project. The conclusion is that even though all participants have made their own interpretation of GDPR, an answer to the question of which kind of interpretation is closest to the actual truth, won’t be answered until a precedent is set. / Förändring är alltid en relevant aspekt för organisationer. Den 25 maj 2018 träder den nya dataskyddsförordningen, GDPR, i kraft och kommer innebära att alla organisationer behöver genomgå viss förändring för att motsvara de krav GDPR ställer. Förändringens magnitud och påverkan på organisationerna kan mätas med hjälp av en modell som skapats av Anderson & Anderson. Lagen genomförs för att EU ska få en gemensam lagstiftning och för att stärka den personliga integriteten. För att nå dessa mål kommer det ställas krav på organisationernas informationssäkerhet. Ett mätinstrument för att se hur väl företag sköter sin informationssäkerhet är McCumber-kuben. Genom intervjuer med representanter från tre organisationer framkommer information om hur dessa har hanterat förändringsarbetet inför GDPR och hur de hanterar informationssäkerheten utifrån McCumberkuben. Med analys om hur GDPR tolkas så anses lagen kräva en stor förändring hos organisationerna. Någonting som inte framkommer vid intervjuerna. Organisationerna anser sig uppfylla kraven angående informationssäkerhet och det kan mycket väl vara så att de gör detta. Dock är utfallet av GDPR fortfarande ovisst. Då alla organisationer gjort tolkningar av den lag som kommit och dessa tolkningar behöver inte vara likadana. Prejudicerande domar kommer krävas innan det går att säkerställa huruvida organisationerna uppfyller kraven som GDPR ställer.

Background: IT-security is included in the concept of information security, which considers all the security of handling information within an organisation. Good IT-security is about finding the right level of measurement, however, it is hard to implemement new IT-solutions in an organisation, particularly within the health care field, where sensitive information are handled daily. Lately the Swedish government, together with county- and city council, understand the importance of IT and health care. Carelink, an organisation of interest, is working actively for the presumption of benefit by using IT within the health care field. During spring 2006 the Swedish government introduced a national IT-strategy. SITHS, Säker IT inom Hälso- och sjukvården, is a project running by Carelink and is based upon using Smart Cards as an identification. Smart Cards can be used as accesscards for logging on to a computersystem in an organsiation in order to secure an indentity. Purpose: The purpose with this thesis is to investigate the assumptions for how Smart Cards, as a part of a total security solution, can increase the ITsecurity within the Healt Care field. Method: The study was initiated with literature and suitable references to informationssecurity, Smart Cards and Healthcareinformatic. Our empirical study was carried out at Ryhov Hospital in Jönköping, one of Sweden’s newest hospitals. Both qualitative and quantitative studies were conducted, because we chose to do interviews and surveys. The interviews were conducted in order to get a deeper understanding for the organisation and the survey was made in order to investigate the attitudes among the nurses and doctors about the security of computer use. Result: Smart Cards can, according to our studie, increase the IT-security within the Health Care field by creating a safer identification with the use of ITsupport. Smart Cards can also make the process of logging on and off to a computer system easier, which leads to better logging and mobilisation. The study also demonstrates that users are not afraid of the changes a smart card will represent within their organization. / Bakgrund: IT-säkerhet ingår i begreppet informationssäkerhet som avser all säkerhet vid hantering av information inom en organisation. God IT-säkerhet handlar om att hitta rätt nivå med tillhörande åtgärder och nya IT lösningar, men detta är inte enkelt att införa i organisationer och speciellt inte i vården som dagligen hanterar känslig information. Under senare år har regeringen tillsammans med landsting och kommuner fått upp ögonen för vilken nytta IT kan utgöra inom vården. Intresseorganisationen Carelink arbetar aktivt för att skapa förutsättningar att använda IT inom vården, och under våren 2006 har även regeringen presenterat en Nationell IT-strategi. Projektet SITHS, Säker IT inom Hälso- och Sjukvården, drivs av Carelink och bygger på att använda smarta kort som säker identifikation. Korten kan bland annat användas som passerkort och vid inloggning till ett datasystem för att säkerhetsställa en identitet. Syfte: Syftet med denna uppsats är att undersöka förutsättningarna för hur smarta kort, som en del av en total säkerhetslösning, kan förbättra IT-säkerheten inom hälso- och sjukvården. Metod: Studien påbörjades med en genomgång av lämplig litteratur om informationssäkerhet, smarta kort samt vårdinformatik. Den empiriska studien utfördes sedan på Länssjukhuset Ryhov i Jönköping, som är ett av Sveriges nyaste sjukhus. Här genomfördes både kvalitativa och kvantitativa studier, då vi valde att göra ett antal intervjuer samt en enkätundersökning bland vårdgivarna. Intervjuerna gjordes för att få en djupare förståelse för organisationen, och enkätundersökningen för att undersöka attityderna till dagens datoranvändning samt hur säkerheten kring datoriseringen upplevs bland de anställda. Resultat: Enligt studien kan smarta kort förbättra IT-säkerheten inom hälso- och sjukvården genom att skapa en säker identifiering vid användning av ITstöd. Smarta kort kan även bidra till en förenklad in- och utloggningsprocess i ett datorsystem, vilket i sin tur leder till bättre spårbarhet samt ökad mobilitet bland användarna. Undersökningen visar att majoriteten av användarna inte är emot den förändring ett smart kort kan bidra till, utan snarare tvärt om.

Hantering av information blir allt viktigare i dagens informationssamhälle då information är en av de värdefullaste tillgångarna för verksamheter. Syftet med uppsatsen har varit att skapa ett styrdokument för IT-administratörer som hjälper dem vid klassificering av informationssystem. Styrdokumentet har som uppgift att kontrollera att informationssystem lever upp till verksamheternas krav som finns på konfidentialitet, integritet, tillgänglighet och spårbarhet. Styrdokumentets vetenskapliga värde har verifierats genom att utvalda IT-administratörer undersökt och utvärderat styrdokumentet. Resultatet visar att styrdokumentet kan användas som ett hjälpmedel. Det är lättförståeligt, lämpar sig för mindre tekniska personer och kan även i vissa fall effektivisera klassificeringsprocessen. Slutsatsen är att behovet av denna typ av styrdokument för klassificering av informationssystem behövs inom verksamheter. / Information management is increasingly important in today’s information society as information is one of the most valuable assets for businesses. The purpose of this paper was to create a steering document for IT administrators and to help them when classifying information systems. The steering document is responsible for verifying that information systems meet businesses requirements of confidentiality, integrity, availability, and traceability. The scientific value of the steering document has been verified by selected IT administrators, who have investigated and evaluated it. The results show that the steering document may be used as a guideline for information system classification. It is easily understandable, suitable for less technical people, and may in some cases make the classification process even more efficient. The conclusion is that this type of steering document for information system classification is needed within businesses.

För att försöka förklara den rubricerade frågan har jag använt teori om säkerhetisering av hotbilder. Metoden har varit en kvalitativ jämförande fallstudie. Jag har undersökt tre fall - två inom informationssäkerhet och ett inom krishantering.Vad krävs för att en säkerhetspolitisk fråga (hotbild) ska bryta igenom ’glastaket’ och hamna på den högsta politiska nivån (i detta fall inom Regeringskansliet)? Sårbarhets- och säkerhetsutredningen föreslog 2001 samordningsfunktioner inom Regeringskansliet för både informationssäkerhet och krishantering. Regeringen valde dock att delegera ansvaret för bägge funktionerna till myndighetsnivån när Krisberedskapsmyndigheten bildades 2002. Ett antal ytterligare utredningar inom informationssäkerhet har sedan föreslagit detta på nytt, utan något resultat. Den ”Oxenstiernska”byråkratimodellen med självständiga myndigheter är svår att ändra! Den enda avgörande skillnaden mellan fallen är tsunamin 2004, där resultatet blev en krishanteringsfunktion inom Regeringskansliet. En möjlig slutsats av detta är att det kommer att krävas en ’cyber-tsunami’ för att motsvarande ska ske inom informationssäkerhet! Alternativt att samhällsdebatten förändras på ett avgörande sätt och tunga aktörer börjar kräva en sådan funktion.

Mobiltelefoner innehåller idag en stor mängd information som är av stort forensiskt intresse. Att skydda informationen i sin telefon är en självklarhet för många och utvecklarna av de mobila operativsystemen lägger nu större vikt på säkerhet och skydd av information. Kryptering är idag standard i de flesta mobiltelefoner och det leder till problem vid utvinning. Arbetet tar upp och jämför hur kryptering hanteras av iOS, Android och Windows Phone och vilka tillvägagångssätt som finns vid utvinning av data genom att kringgå skärmlåsen som krävs för att krypteringen ska fungera. Arbetet ger även en inblick på molnlagring i och med att det blir allt vanligare och kan komma att bli mer relevant för forensiker eftersom telefonerna blir allt svårare att utvinna data ifrån. Dessutom ges en liten inblick på forensiska verktyg som finns idag, vilka brister de har och vad som är oklart hos dem.  Frågeställningarna har besvarats genom att en grundläggande litteraturstudie genomförts för att få den bakgrundsfakta som krävs. Därefter gjordes det experiment för att visa på brister i de forensiska verktygen. Avslutningsvis svarade två it-forensiker från polisen på intervjufrågor via mail, det gjordes för att lyfta fram problematiken och visa på hur situationen ser ut i arbetslivet idag.  Arbetets resultat visar på att alla operativsystem ger, beroende på hur användaren har anpassat telefonen, möjlighet till fullt skydd mot utvinning. Och därmed klarar de forensiska verktygen som finns idag inte av att utvinna någon relevant information ifrån de senaste mobiltelefonerna. Som forensiker borde man utnyttja att molnlagring börjat användas mer och mer, då det där kan finns mycket bra information. Slutsatser som kan dras efter arbetet är att det behövs nya metoder för att utvinna data ifrån mobiltelefoner då de metoder som tidigare använts inte är kompatibla med de senaste telefonerna på grund utav de krypteringsfunktioner som används. Det finns metoder som kan fungera, men dessa metoder fungerar bara med rätt förutsättningar, vilket gör att det inte är en lösning som man alltid kan applicera. Forensiker borde även utforska möjligheten att få fram information ifrån molnlagringstjänster ifall data på telefonen är oåtkomlig för alla utom ägaren. Arbetet syftar inte till att ta fram nya metoder för utvinning eller arbetssätt inom det stora området forensik, utan kartlägger problemområdet inom mobilforensik och ger förslag på och diskuterar möjliga lösningar.

Företag investerar idag väldigt mycket pengar på att säkra sina fysiska och logiska tillgångar med hjälp av tekniska skyddsmekanismer. Dock är all säkerhet på något sätt beroende av den enskilde individens omdöme och kunskap. Hur går det avgöra att organisationen kan lita på individens omdöme och kunskap? Hur går det avgöra om en organisation har en god kultur kring säkerhet? Genom att utvärdera säkerhetskulturen kan organisationer få ett utökat underlag i riskhanteringsarbetet samt en bättre förmåga att hantera det som hotar verksamhetens tillgångar. Den forskning som finns idag på området säkerhetskultur är både oense kring vad som utgör god säkerhetskultur men framför allt hur kulturen ska utvärderas. Denna forskningsansats är således ett försök att ta fram en intuitiv utvärderingsmetod som organisationer kan använda för att utvärdera sin säkerhetskultur. Utvärderingsmetoden liknar en gap-analys där en organisations önskade kultur fastställs och datainsamling sker genom en enkätundersökning. Dataunderlaget sammanställs och används för att skapa ett index för den rådande kulturen i jämförelse med den önskade kulturen. I detta inledande försök testas undersökningens reliabilitet genom Cronbach's alpha och validiteten testas genom en form av konfirmatorisk faktoranalys. Resultatet visar hur ett index som representerar en organisations säkerhetskultur skapas. Det går att påvisa god reliabilitet på utvärderingsmetoden och författaren finner goda argument för nyttan av en sådan metod i det proaktiva säkerhetsarbetet. Dock har omständigheter gjort det mycket svårt att påvisa god validitet i denna inledande undersökning.

IT utgör en stor del av majoriteten av folks vardagliga liv. Smartphones och surfplattor har om möjligt ytterligare ökat vår användning av tekniska enheter och prylar på en daglig basis. Arbetet tas med hem i en större grad med hjälp av laptops, VPN och molnmöjligheter. Mail kan tas emot i princip var och närsomhelst på dygnet. Men hur bra är säkerheten? På arbetsplatsen hanteras mycket av IT-säkerheten och ansvaret för den ofta av erfarna och dedikerade anställda, men hur ser det ut hemma där användaren själv har ansvaret för sin IT-säkerhet? I denna studie analyseras och identifieras risker och problem vid hantering av olika aktiviteter relaterade till IT-säkerhet i hemmet. Motivationsteorin TMT och en konceptuell modell av aktiviteter relaterade till IT-säkerhet användes för att ta fram frågorna till intervjuerna och för att analysera svaren. Information har samlats in genom intervjuer med personer i olika åldrar och med varierande erfarenhetsbakgrund. Risker har identifierats relaterat till brister i hemanvändares motivation att utföra aktiviteterna lösenordshantering och säkerhetskopiering samt bristande värderingar för aktiviteten utbildning.

This thesis examines the legal means by which the Swedish government authorities can outsource personal data to be processed on digital clouds by private cloud providers as of May 25th, 2018. The objective of the thesis is to identify and examine to which extent legal obstacles and restrictions to such procedures occurs in the personal data protection regulation. Cloud computing is an information technology business model which could provide government au-thorities with higher administrative efficiency and lower administrative costs. The essential charac-teristics of cloud computing require that the cloud providers are entrusted with a portion of control of the IT-environment and data security, depending on the types of clouds and services provided. The thesis analyses particularly two questions. The first question is to which extent the legal require-ment to provide personal data with an appropriate level of security constrains government authori-ties to submit control of the IT-environment to private contractors. The second question targeted in the thesis is whether government authorities can disclose personal data that is subjected to official secrecy to the cloud providers.

This thesis is based on a case study of two Swedish municipalities. I have studied which strategies archivists and registrars use for managing and preserving e-mail within these organizations. The study constitutes a comparison between a municipality that has introduced a e-archive and one that has not done so. I also explore how the way in which e-mail is managed has changed over time in the municipalities since The General Data Protection Regulation (GDPR) was introduced in Sweden and throughout the EU in 2018. The study was conducted through qualitative methods. Semi-structured interviews with archivists and registrars from the two municipalities were completed. The empirical material from the interviews has been analysed using qualitative content analysis. This means that notes and transcriptions of the interviews was sorted and categorized and then transformed into the results of the study. The thesis theoretical framework consists of information culture and I have analysed in which way the information culture has changed in the organizations since the GDPR came into force. In addition, I also analysed my results from an information security perspective, since this is up-to-date with the GDPR and is an important aspect to consider in relation to of e-government and records management in the society today. The results show that there are a lot of challenges in the municipalities studied concerning management and preservation of e-mail, especially regarding how the people working in the organization tackle the e-mail. There is a great need that increased education about records management reaches out more in the organizations.The conclusion of this challenges is that information culture also has changed noticeably since the GDPR was introduced. The result of this has in many cases meant that many employees have gained a greater awareness that they need to start reviewing their e-mail inboxes, but they do not know how or in what way it should be done. To solve these problems, it is therefore essential that the education initiatives between archivists and registrars and the employees, that had begun to be implemented in the municipality’s, continues to be expanded. In conclusion and in summary, I would like to emphasize that it is important to consider information culture in organizations today. It is important both to be able to develop the organization's records management and also in a wider social context, in order to satisfy a good structure of public documents and our democratic right to take part of these. In addition to this, in my study, I have come to the conclusion that it is essential to consider the information security both within the public organizations and from a wider societal context, especially linked to management and preservation of e-mail. So far, the topic of managing and preserving e-mail linked to strategies used by organizations and how people influence these has been a rather unexplored area in the field of archival science. This study aims to create new knowledge about an area that is both current and important from a wider societal perspective as well as from an archival science perspective. This is a two years master's thesis in Archival Science.

Organisationer står idag inför flera olika hot mot deras IT-säkerhet där ett av de vanligaste hoten är skadliga användarbeteenden som främst orsakas av interna användare. Det kan vara svårt att veta för organisationer vad för användarbeteenden som kan utgöra ett hot samt vilka orsaker som kan bidrar till dessa beteenden. Det är i dagens samhälle viktigt för organisationer att förbereda sig samt vara medvetna om de hot en användare utgör för att kunna vidta de rätta åtgärderna om det skulle uppstå. Syftet med denna studie är att undersöka vilka orsaker till användarnas beteenden som utgör ett hot för en organisations IT-säkerhet och vilka åtgärder som har vidtagits. En kvalitativ metod i form av fem olika intervjuer har valts där en intervjuguide låg som grund till intervjufrågorna. En individuell intervju hölls med en användare av Högskolan i Borås samt en gruppintervju med IT-avdelningen från Högskolan i Borås. Studien resulterade i att 10 användarbeteenden, 25 orsaker och 22 vidtagna åtgärder framkom samt att det finns relationer mellan dem. Det kan vara svårt för organisationer att vara helt förberedda på hot men det är enligt vår studie möjligt att identifiera användarbeteenden, orsaker samt åtgärder. Med utbildning kan organisationer göra sina användare mer säkerhetsmedvetna och därmed minska riskerna för de skador användarbeteenden kan utgöra. / Organizations today are facing several different threats to their IT security where one of the most common threats is malicious user behaviors that are mainly caused by internal users. It can be difficult for organizations to know what user behaviors can pose a threat and what causes can contribute to these behaviors. In today's society, it is important for organizations to prepare and be aware of the threats a user poses in order to be able to take the right measures if they should arise. The language of this study is written in swedish and the purpose of this study is to investigate what causes in users' behavior constitute a threat to an organization's IT security and what measures have been taken. A qualitative method in the form of five different interviews has been chosen where an interview guide was the basis for the interview questions. An individual interview was held with a user of the University of Borås and a group interview with the IT department from the University of Borås. The study resulted in 10 user behaviors, 25 causes and 22 measures taken and that there are connections and relationships between them. It can be difficult for organizations to be fully prepared for threats, but according to our study it is possible to identify user behaviors, causes and measures. With education, organizations can make their users more security-conscious and thus reduce the risks of the damage that user behavior can cause.