Cybersäkerhetsrisker är idag ett högaktuellt ämne som fortsätter växa i betydelse. Svaret på problemet handlar dock om mer än bara tekniska lösningar. Snarare bör fokus läggas på människorna inom organisationen genom att förhindra att de exponerar svagheter i organisationens säkerhetssystem. Denna studie syftar till att undersöka hur verksamheter kan organiseras med ambition att skydda sig mot cybersäkerhetsrisker. För att söka svar på frågan utgår undersökningen från tidigare forskning på cybersäkerhet samt det teoretiska ramverket microfoundations där begreppen roller, rutiner och regler behandlas. En kvalitativ metod har valts där respondenter med erfarenhet av arbete inom cybersäkerhet har intervjuats. Resultatet visar att hela verksamheten bör inkluderas i säkerhetsarbetet och att ett säkerhetstänk alltid måste finnas med i de dagliga arbetsuppgifterna för att således få in säkerhet som rutin.

Information är en tillgång som liksom andra viktiga tillgångar har ett värde fören organisation och därmed måste få ett lämpligt skydd. Målet medinformationssäkerhet är således att skydda informationen mot olika hot. Det ärviktigt för flera olika intressenter att den information företag delger är trovärdigoch rättvisande, något som en revisor har till uppgift att säkerställa. Att granskadatorprogram är en av de svåraste uppgifterna som finns för en revisor.Antalet komplexa system ökar ständigt och därför behövs ofta experthjälp iform av IT-revisorer.Syftet med uppsatsen är att beskriva vilka krav som idag ställs på företagsinformationssäkerhet, sett ur revisionssynpunkt och hur de här kraven harförändrats över tiden. Syftet har även varit att beskriva vad som innefattas ibegreppet och att beskriva den process som sker då en revisor granskar företagoch dess informationssystem. För att studera det här har revision som är ITrelateradbehandlats för att undersöka problemområdet genom att användakvalitativ metod. Intervjuer har skett med två IT-revisorer på en revisionsbyrå,en IT-säkerhetsarkitekt på bank, en revisor vid Skatteverket samt en driftschefpå ett postorderföretag.Informationssäkerhet handlar om att skydda den värdefulla och känsligainformationen mot olika former av hot och på så vis säkerställaorganisationens fortlevnad. Det här går att uppnå på olika sätt.De slutsatser som dragits från studien är att noggrannheten att efterleva kravenpå informationssäkerhet har blivit viktigare idag. Dock är kraven i sig desammasom förr. Företag skall nu som då lagra information på en fysiskt säker plats.Då en IT-revisor granskar ett företags informationssäkerhet är målet medgranskningen att säkra affärsriskerna. Det här görs på olika sätt bl. a.beroende på företagets storlek och komplexiteten i deras system. / Uppsatsnivå: D

<p>Examensarbetet är utfört på uppdrag av Generic Systems i syfte att bl.a. utreda begreppet Information Assurance (IA) utifrån given definition (IA is the process of establishing trust for the information we use in our business). Fokus kom att hamna på taktiska militära ledningssystem inklusive ingående individer.</p><p>Det finns ett stort behov av en sådan här studie av flera anledningar bl.a. eftersom det just nu pågår ett paradigmskifte; från förvaltar- till förbrukarattityd och från <i>need to know</i> till <i>need to share</i>. Det innebär alltså att ett helt nytt synsätt på information håller på att växa fram</p><p>Första slutsatsen som drog var att IA är ett verkligt multidisciplinärt ämne som kräver djupa kunskaper inom många och vitt skilda områden t.ex. systemvetenskap, datasäkerhet och organisationsteori. En annan slutsats jsom drogs var att för att en användare ska känna tilltro till information måste tre grundkrav vara uppfyllda: användaren måste ha förtroende för systemet som förmedlar informationen, informationen i sig måste uppvisa vissa kvaliteter och slutligen påverkar egenskaper hos användaren den upplevda tilltron.</p><p>Med utgångspunkt i Försvarsmaktens behov så visade det sig att de centrala förändringarna som krävs för att uppnå effekten IA bland annat är ökat fokus på användbarhet i systemutvecklingen och flexiblare individanpassad utbildning. Utbildningen måste tillse såväl tillräcklig teknisk kompetens som säkerhetsmedvetande hos personalen. Andra delar som bör förändras är informationsarkitekturen; ökad separation mellan datamodell och informationsmodell är önskvärd.</p>

A student at the Technical University in Jönköping was given an assignment from Falköping municipality. The assignment was to evaluate their IT systems 'users' awareness of information security and even present suggestions for IT-Users to improve their information security within Falköping municipality. Falköping municipality consists today of seven administrations. The target groups for the study of the information security are a pilot group consisting of 30 IT Users and four different managers from various administrations within Falköping Municipality. The purpose of this work is mainly to indicate an understanding of the importance of the information security knowledge among IT Users in Falkopings municipality, mainly those who use their smartphones and tablets for work-related activities. This work aims to answer the following questions: • How wide is the awareness of information security among municipality's IT users? • How can information security improve among the municipality's IT users? Theories that work consists of are mainly what information security is, how it is handled and the threats and risks that may create problems for the municipality, basically when IT Users use their smart phones and tablets. The Work Implementation started with sending surveys to a pilot group of IT- system users and the student even interviewed four general managers working in Falköpings municipality. Both the questionnaires results and interviews results are presented in diagram and text. The result from both surveys and interviews was very positive and it shows that the municipality investigated IT-Users are very aware and have knowledge about information security, when they use their smart phones and tablets. There are some suggestions presented for the IT-Users to improve their security in their smart phones and tablets. At the end of the report a discussion as well as a conclusion is presented. In conclusion there are some points, which explain how risk awareness among municipality’s investigated IT Users appears in the current situation and also there are some suggestions presented for the IT-Users to improve their security in their smart phones and tablets in the future. Falköping municipality should in the future make a larger study to produce a risk assessment. The risk assessment should discuss various threats and risks that IT-systems users experience with their use of smartphones and tablets in their workplace. The student hopes that this thesis will be a good basis for future studies.

<p>Denna rapport ingår tillsammans med en muntlig presentation som examination i kursen Examensarbete i ADB, 20p vid Högskolan i Skövde. Kursen ingår som slutmoment på det systemvetenskapliga programmet.</p><p>Undersökningen, vilken genomfördes i samarbete med företaget Arthur Andersen, hade som syfte att utvärdera verktyg och metoder för riskanalys av verksamheters informationssäkerhet.</p><p>Medelst intervjuer av 5 experter inom området, samt med en dokumentstudie, utvärderades problemställningen kvalitativt. Resultatet blev en analys av existerande verktyg och metoder för riskanalys, med avseende på deras olika fördelar och nackdelar, samt deras resultat.</p>

<p>Tillsammans med en muntlig presentation ingår den här rapporten som examination i kursen Examensarbete i ADB, 20p vid Högskolan i Skövde. Kursen är det sista momentet på det dataekonomiska programmet.</p><p>Syftet med undersökningen, som genomfördes i samarbete med företaget Arthur Andersen i Stockholm, var att utvärdera om Change Management kan användas som stöd vid införandet av informationssäkerhet i olika organisationer. Dessutom skulle undersökningen visa lämpliga mått för att kunna mäta resultatet av införandeprocessen.</p><p>Med hjälp av besöksintervjuer av personer med erfarenhet av arbete med informationssäkerhet, gjordes en kartläggning över hur införandet av informationssäkerhet går till idag. Kartläggningen låg sedan till grund för en jämförelse med metodstegen i Change Management. Resultatet av arbetet blev en utvärdering av om Change Management är lämpligt som stöd vid införandet av informationssäkerhet.</p>

<p>Allt hårdare konkurrens har medfört att det är desto viktigare att beslutsansvariga i ett företag fattar snabba och korrekta beslut. För att förbättra och effektivisera beslutsfattandet och samtidigt skapa sig fördelar i förhållande till marknadskonkurrenterna, kan beslutsansvariga använda sig av ett datalager. Datalagret kan genom enorma mängder data som är insamlade från ett stort antal olika system, generera stora fördelar för ett företag. Men detta gäller dock endast under förutsättningen att datalagret är skyddat på ett lämpligt vis. Syftet med studien är att undersöka vilka lämpliga skyddsåtgärder som kan användas för att uppnå och bibehålla ett säkert datalager.<em> </em>För att besvara frågeställningen genomfördes en litteraturstudie och två intervjuer med företag som använder sig av datalager. Resultatet av den teoretiska undersökningen visar att fyra administrativa och fem logiska skyddsåtgärder är lämpliga att användas i syfte med att uppnå och bibehålla god informationssäkerhet i ett datalager. Den empiriska undersökningen bekräftar det sistnämnda, dock med vissa undantag.</p>

<p>Inom vårdområdet hanteras en stor mängd känslig information och den bör finnas tillgänglig utan organisatoriska hinder. Många vårdanställda får snabbare och enklare tillgång till information genom informationsteknik (IT), men IT ställer även nya krav på medvetandet om informationssäkerhet.</p><p>Den i detta arbete studerade litteraturen menar att användarna är den största orsaken till att brister uppkommer i informationssäkerheten. Det kan bland annat förebyggas genom upprättande av informationssäkerhetspolicy samt genom att ge information till och utbilda användaren vid införande av informationssystem.</p><p>Syftet med arbetet var att fastställa hur användare av datorjournaler påverkas av kraven på informationssäkerhet och hur användarna påverkar informationssäkerheten. Vidare var syftet att ta reda på om de rekommendationer som Datainspektionen gett ut efterföljs av användarna. Observationer och intervjuer med vårdpersonal har legat till grund för att uppnå arbetets resultat. Resultatet av observationerna och intervjuerna visar att användaren fortfarande bidrar till att det finns brister i informationssäkerheten genom att in- och utloggningsfunktionen inte stödjer personalens arbetssätt. Resultatet visar också en tydlig tendens till att information och utbildning om informationssäkerhet bör ges regelbundet till användarna för att en medvetenhet om informationssäkerhet ska uppnås. Personalen bör även få möjlighet att diskutera och repetera handhavande av datorjournalsystem samt hantering av känslig information.</p>

<p>Information och data har i en allt större utsträckning blivit en resurs som organisationer är beroende av och grundar sin verksamhet på. Precis som andra värdefulla resurser så måste också denna skyddas mot obehörigas åtkomst. Detta examensarbete handlar om systemförvaltning och arbetet med att revidera säkerheten i ett datorsystem. Eftersom denna typ av revision är en väsentlig del av arbetet med att upprätthålla säkerheten i ett system, är det följaktligen viktigt att känna till hur en säkerhetsrevision genomförs. I resultatet presenteras ett antal olika aspekter och delområden som bör granskas vid en revision av säkerheten hos datorer i ett datorsystem. Resultatet visar även att det är svårt att finna någon enskild modell eller standard som täcker samtliga aspekter som bör undersökas vid en säkerhetsrevision</p>

<p>Användandet av Internet ökar varje år och företag blir i takt med detta mer och mer beroende av att kunna erbjuda sina kunder tjänster här. Ett hot mot dessa tjänster är den distribuerade belastningsattacken. En belastningsattacks mål är att göra en server på Internet otillgänglig för vanliga användare genom att antingen överbelasta den med stora mängder data för att skada serverns bandbredd eller att göra ett stort antal uppkopplingsförfrågningar för att skada serverns kapacitet att behandla meddelanden. Vid en distribuerad belastningsattack använder en angripare sig av många datorer på Internet vilka inte är dennes egna för att göra sin attack mycket starkare. Målet med detta projekt har varit att klassificera och utvärdera skyddsmetoder mot detta med avseende på faktorerna kostnad samt effektivitet. Resultatet visar att den mest kostnadseffektiva skyddsmetoden är klassbaserad köbildning.</p>