Examensarbetet är utfört på uppdrag av Generic Systems i syfte att bl.a. utreda begreppet Information Assurance (IA) utifrån given definition (IA is the process of establishing trust for the information we use in our business). Fokus kom att hamna på taktiska militära ledningssystem inklusive ingående individer. Det finns ett stort behov av en sådan här studie av flera anledningar bl.a. eftersom det just nu pågår ett paradigmskifte; från förvaltar- till förbrukarattityd och från need to know till need to share. Det innebär alltså att ett helt nytt synsätt på information håller på att växa fram Första slutsatsen som drog var att IA är ett verkligt multidisciplinärt ämne som kräver djupa kunskaper inom många och vitt skilda områden t.ex. systemvetenskap, datasäkerhet och organisationsteori. En annan slutsats jsom drogs var att för att en användare ska känna tilltro till information måste tre grundkrav vara uppfyllda: användaren måste ha förtroende för systemet som förmedlar informationen, informationen i sig måste uppvisa vissa kvaliteter och slutligen påverkar egenskaper hos användaren den upplevda tilltron. Med utgångspunkt i Försvarsmaktens behov så visade det sig att de centrala förändringarna som krävs för att uppnå effekten IA bland annat är ökat fokus på användbarhet i systemutvecklingen och flexiblare individanpassad utbildning. Utbildningen måste tillse såväl tillräcklig teknisk kompetens som säkerhetsmedvetande hos personalen. Andra delar som bör förändras är informationsarkitekturen; ökad separation mellan datamodell och informationsmodell är önskvärd.

Syftet med denna uppsats är att få kännedom om vilka säkerhetsrisker som skulle kunna uppkomma vid en övergång till nyttjande av mjukvara som en molntjänst. Fokus ligger på de säkerhetsrisker som kan uppstå för klienten och inte molnleverantören. Uppsatsen är en litteraturstudie där ett specifikt fall studeras, företaget PostNord. Datainsamlingen är uppdelad i två delar, den ena är en litteraturstudie gjord med hjälp av ENISAs kategorisering av risker och den andra är intervjuer hos PostNord. Alstret ur litteraturstudien visar risker som kan inträffa vid användning av molntjänster samt hur de kan hanteras. Detta kombinerat med empirin ur intervjuerna visar hur företaget PostNords arbetssätt kan användas för att hantera risker.

Idag används internet för allt från nöje och sociala aktiviteter till arbete och bankaffärer. Kopplat till alla fördelar som Internet erbjuder finns det också många faror eftersom de datorer som används till detta också kan attackeras för att stjäla information, eller tas över och användas för kriminella syften. Det är därför viktigt att alla förstår riskerna med att använda Internet, hur viktigt det är att skydda sin personliga information och vad som kan hända ifall detta skydd brister. Tidigare studier pekar på att medborgarnas medvetenhet om informationssäkerhet är bristande, så också deras kompetens när det gäller att skydda sig själva och sin information på Internet. Den här studien är avsedd att ge en bild av svenska medborgares syn på sin förmåga och sitt ansvar när det gäller att upprätthålla sin informationssäkerhet vid användning av internet. Som metod för att åstadkomma detta har en bred enkätstudie med både kvalitativa och kvantitativa inslag genomförts. Enkäten besvarades av 219 svenska medborgare och resultatet visar att det finns brister i deras kunskap och att en klar majoritet anser att de behöver lära sig mer om informationssäkerhet. Deltagarna visar överlag en god tilltro till sin egen förmåga att ta till sig ny kunskap på området och anser att ansvaret för informationssäkerhet till största delen ligger på dem själva. Utöver detta identifierar studien också en rad områden som svenska medborgare vill veta mer om, samt vilka delar i säkerhetsarbetet de anser vara svårast att förstå. Arbetet kan förhoppningsvis ge inspiration till vidare forskning inom området och utveckling av kompetenshöjande åtgärder, för att i slutänden hjälpa till att höja kompetensnivån när det gäller informationssäkerhet, både för individer och för samhället i stort.

Penetrationstester är ett sätt att utifrån ett angreppsperspektiv testa datasäkerhet. Denna rapport tar upp ett antal vanliga sårbarhetstyper att leta efter, och föreslår metoder för att testa dem. Den är skapad för att vara ett stöd för organisationer som vill starta en egen penetrationstestverksamhet. I rapporten ingår därför förutom sårbarhetstyper att leta efter, även de viktigaste typer av verktyg och kompetenser som behövs. Även förslag på administrativa rutiner och en grov skiss på utförandet finns med. I sista kapitlet finns sedan en diskussion om hur rapporten kan ligga till underlag för fortsatt arbete och hur penetrationstester använder sig av/relaterar till ett par närliggande områden såsom kryptering och intrångsdetektering. Det hela avslutas med en liten analys på när penetrationstester är användbara, vilket är när de antingen är helautomatiserade och bara kontrollerar ett fåtal sårbarheter, eller när kostnaden för ett intrång skulle bli väldigt stor.

The ISO standard ISO/IEC 17799/SS-627799-2 is a guidance for organizations to realize their information security goals. In spite of this standard, studies show flaws regarding information security in organizations. In particular flaws regarding overall view, knowledge and clear roles and responsibilities have been observed. The ISIT (Information Security Integrated Three level) model and its guidelines, developed in this thesis, help organizations to identify the required processes and procedures as well as the logical process flow. The thesis is based on theoretical studies and a case study within a multinational company. The results of the case study show great lacks in defining roles and assigning responsibilities, but also in overall view and knowledge regarding processes and the process flow. The thesis develops a model to facilitate an organization’s initiation of the ISO standard and to help solving the identified flaws. The ISIT model is based on the ISO standard, but expands the PDCA model and integrates it with the controlling documents related to information security management. The expansion of the PDCA model gives a clearer flow, where all the processes related to a management system are included. This enables clarity and faster overall view regarding the information security organization. The integration of the controlling documents means that the processes can be divided into procedures at different levels of the organization. This provides a possible solution to the definition of roles and to the assignment of responsibilities. Guidelines on the identification of processes and roles can not be found in the ISO standard. Therefor the ISIT model should be used as a complement to the ISO standard and will help organizations to reach their information security goals.

Information är en viktig tillgång för organisationer och därför är också informationssäkerhet viktigt för företag som vill skydda sin information. Företag inför informationssäkerhetspolicys som är en syn på hur företagets ledning vill att informationssäkerheten ska skötas. Det är ett problem att anställda väljer att inte följa vissa delar eller hela säkerhetspolicyn av olika anledningar. Detta arbete utför en fallstudie på ett företag för att se hur anställda efterlever den säkerhetspolicy som finns. Strategin för undersökningen är generell och den visar hur företag kan gå tillväga för att identifiera brister i efterlevnaden av säkerhetspolicyn. Resultat visar att flera av de anställda på företaget inte följer den policy som ledningen har tagit fram. I framtiden skulle det vara intressant att utföra en större undersökning som sträcker sig över flera företag.

Information och data har i en allt större utsträckning blivit en resurs som organisationer är beroende av och grundar sin verksamhet på. Precis som andra värdefulla resurser så måste också denna skyddas mot obehörigas åtkomst. Detta examensarbete handlar om systemförvaltning och arbetet med att revidera säkerheten i ett datorsystem. Eftersom denna typ av revision är en väsentlig del av arbetet med att upprätthålla säkerheten i ett system, är det följaktligen viktigt att känna till hur en säkerhetsrevision genomförs. I resultatet presenteras ett antal olika aspekter och delområden som bör granskas vid en revision av säkerheten hos datorer i ett datorsystem. Resultatet visar även att det är svårt att finna någon enskild modell eller standard som täcker samtliga aspekter som bör undersökas vid en säkerhetsrevision

Inom vårdområdet hanteras en stor mängd känslig information och den bör finnas tillgänglig utan organisatoriska hinder. Många vårdanställda får snabbare och enklare tillgång till information genom informationsteknik (IT), men IT ställer även nya krav på medvetandet om informationssäkerhet. Den i detta arbete studerade litteraturen menar att användarna är den största orsaken till att brister uppkommer i informationssäkerheten. Det kan bland annat förebyggas genom upprättande av informationssäkerhetspolicy samt genom att ge information till och utbilda användaren vid införande av informationssystem. Syftet med arbetet var att fastställa hur användare av datorjournaler påverkas av kraven på informationssäkerhet och hur användarna påverkar informationssäkerheten. Vidare var syftet att ta reda på om de rekommendationer som Datainspektionen gett ut efterföljs av användarna. Observationer och intervjuer med vårdpersonal har legat till grund för att uppnå arbetets resultat. Resultatet av observationerna och intervjuerna visar att användaren fortfarande bidrar till att det finns brister i informationssäkerheten genom att in- och utloggningsfunktionen inte stödjer personalens arbetssätt. Resultatet visar också en tydlig tendens till att information och utbildning om informationssäkerhet bör ges regelbundet till användarna för att en medvetenhet om informationssäkerhet ska uppnås. Personalen bör även få möjlighet att diskutera och repetera handhavande av datorjournalsystem samt hantering av känslig information.

Denna rapport ingår tillsammans med en muntlig presentation som examination i kursen Examensarbete i ADB, 20p vid Högskolan i Skövde. Kursen ingår som slutmoment på det systemvetenskapliga programmet. Undersökningen, vilken genomfördes i samarbete med företaget Arthur Andersen, hade som syfte att utvärdera verktyg och metoder för riskanalys av verksamheters informationssäkerhet. Medelst intervjuer av 5 experter inom området, samt med en dokumentstudie, utvärderades problemställningen kvalitativt. Resultatet blev en analys av existerande verktyg och metoder för riskanalys, med avseende på deras olika fördelar och nackdelar, samt deras resultat.

Tillsammans med en muntlig presentation ingår den här rapporten som examination i kursen Examensarbete i ADB, 20p vid Högskolan i Skövde. Kursen är det sista momentet på det dataekonomiska programmet. Syftet med undersökningen, som genomfördes i samarbete med företaget Arthur Andersen i Stockholm, var att utvärdera om Change Management kan användas som stöd vid införandet av informationssäkerhet i olika organisationer. Dessutom skulle undersökningen visa lämpliga mått för att kunna mäta resultatet av införandeprocessen. Med hjälp av besöksintervjuer av personer med erfarenhet av arbete med informationssäkerhet, gjordes en kartläggning över hur införandet av informationssäkerhet går till idag. Kartläggningen låg sedan till grund för en jämförelse med metodstegen i Change Management. Resultatet av arbetet blev en utvärdering av om Change Management är lämpligt som stöd vid införandet av informationssäkerhet.