Informationssäkerhet är en viktig del i företagens arbete för att säkerställa att informationen som lagras inte används på fel sätt eller hamnar i fel persons händer. Numera finns det en uppsjö av standarder och verktyg som kan användas för att göra arbetet lättare. Trots dessa underlättande tjänster misslyckas många företag med att implementera informationssäkerhetsåtgärder. Små och medelstora företag är i synnerhet utsatta på grund av deras ringa storlek samt brist på kapital. Denna studie har tagit reda på hur små och medelstora företag inom e-handel arbetar med informationssäkerhet med hjälp av en kvalitativ intervjustudie tillsammans med en induktiv analys. Totalt har fyra respondenter från fem olika företag runt om i Sverige intervjuats. Respondenterna som datan samlats in från har haft olika roller, men alla har haft någon form av ledande roll på respektive företag. Resultatet som tas fram senare i rapporten presenterar insamlat material uppdelat i tre områden. Dessa områden är informationssäkerhetspolicy, personalfrågor och säkerhetsåtgärder. Svaren som samlas in inom dessa områden visar både likheter och skillnader till tidigare litteratur. De tyder på att SME:s inom e-handel har brister inom vissa delar av deras säkerhetsarbete, medans andra delar fungerar bättre.

Alla människor är beroende av mat. Sverige har en god livsmedelsindustri där sista steget är dagligvaruhandeln som hjälper till att Sveriges befolkning får mat på bordet. I och med att digitaliseringen ökat i vårt samhälle har det även senaste åren rapporterats i media om dataintrång riktade mot företag i Sverige. 2021 fick Coop stänga ner sina butiker då kassasystem slutade fungera på grund av en utpressningsattack mot leverantören av mjukvaran till kassasystemen som företaget använder.  Ökningen av dataintrång i Sverige har lett till att det blir allt viktigare att skydda informationen hos företagen. Information spelar en stor roll i en organisations affärsverksamhet där informationen kommer i kontakt med både teknik och människor. Det gör att ett aktivt informationssäkerhetsarbete är viktigt för att säkerhetsställa konfidentialiteten, integriteten och tillgängligheten hos företagets information. Genom en kvalitativ studie bestående av intervjuer med ledning och medarbetare på ett företag inom dagligvaruhandeln studerades hur företaget förhåller sig och arbetar med informationssäkerhet. Resultatet från intervjuerna analyserades genom att använda en tematisk analys där teman identifieras ur empirin. Resultaten av studien analyserades och diskuteras utifrån teorin med fokus på informationssäkerhetspolicys, säkerhetsmedvetenhet och organisationskultur. Slutligen diskuteras vikten av utbildning och träning för att öka säkerhetsmedvetenheten i företagets organisationskultur. / All humans need food. Sweden has a well functioning food industry, where the final step in the chain is the grocery trade and where the people can buy their food. As digitalization has increased in our society there have also been reports in the media in recent years about ransomware attacks on companies in Sweden. In 2021 the grocery chain Coop had to close their stores when their cash register system stopped working because of a ransomware attack against the supplier of the software of the system for the company’s cash registers.  The increase of computer breaches in Sweden has made it increasingly important to protect the information at companies. The information plays an essential role in an organization's business processes where it comes in contact with both technology and people. This means that active information security work is important to ensure the confidentiality, integrity and availability of the organization’s information. With the use of a qualitative study consisting of interviews with the management and employees of a company in the grocery trade a study was performed on how the company relates to and works with information security. The result from the interviews was analyzed using thematic analysis where themes were identified from the collected data. The results from the study were analyzed and discussed based on the theory with focus on information security policies, security awareness and organizational culture. Lastly the importance of education and training to increase the security awareness in the company’s organizational culture was discussed.

Att bedriva startups i ett informationsbaserat samhälle medför idag flera utmaningar. För att nå framgång måste företagets resurser användas på rätt sätt. I en tid där informationssäkerhet spelar en allt större roll ska det här till en avvägning mellan att uppnå en bra säkerhetsnivå, samtidigt som de affärsmässiga aspekterna måste prioriteras. I arbetet undersöks hur svenska startups hanterar sin informationssäkerhet. Arbetet syftar även till att undersöka hur utbredd medvetenheten är inom sex svenska startups gällande informationssäkerhet samt hur mycket det prioriteras. Arbetet resultat visar att medvetenheten kring informationssäkerheten är hög men att det fortfarande är brister när det gäller att omsätta denna medvetenhet till praktisk handling och att det är de affärsorienterade målen som prioriteras högst inom en svensk startup. / To run a startup in an information based society can cause a lot of challenges. To reach success, the company’s resources must be used in a proper way. In a time where information security has a big role, there must be a balance between keeping a high level of security meanwhile the business orientated expectations must be prioritized. This thesis will examine how a startup manages its information security. It does also focus on the awareness of information security within six swedish startups considering information security and also it’s priority. The results of the study shows that awareness of information security is high, but there are still shortcomings in putting this awareness into practice. The study also shows that the business-orientated goals are the highest priority within a swedish startup.

Information security is an important focus area in our business climate, where cyberattacks pose a growing threat. To address the increasing threat landscape, it is crucial for companies to establish guidelines and regulations on how employees and companies should act to maintain information security. Therefore, many companies are working on implementing an Information Security Management System (ISMS), where information security policies (ISP) are considered the cornerstone. However, research has shown that small and medium-sized enterprises (SMEs) face specific obstacles and challenges when it comes to implementing and complying with an ISP. The purpose of this study is to provide recommendations for Swedish SMEs to achieve better implementation and compliance levels of ISPs. The empirical data for this study is based on data collected through semi-structured interviews with Swedish SMEs. The collected data was then analyzed using thematic analysis. The results of the empirical data indicate that a lack of competence is the primary issue for Swedish SMEs in their information security efforts. The study’s conclusions discuss the recommendations based on the collected empirical data and the reviewed literature. Among the recommendations, the authors emphasize the importance of education to increase information security awareness, as well as the importance of engagement from top management. The authors have chosen to limit the scope of the study to businesses in Sweden. Furthermore, no consideration has been given to industry-specific characteristics since the study’s respondents operate in diverse business sectors. / Informationssäkerhet är ett viktigt fokusområde inom dagens företagsklimat, där cyberattacker utgör ett växande hot. För att möta den ökande hotbilden lyfts värdet av att företag etablerar riktlinjer och bestämmelser över hur anställda och verksamheten ska agera för att bibehålla informationssäkerheten. Många företag jobbar därmed för att etablera ett ledningssystem för informationssäkerhet (LIS), där informationssäkerhetspolicyer (ISP) anses utgöra grundpelaren för ett LIS. Forskning pekar däremot på att små och medelstora företag (SMF) upplever särskilda hinder och utmaningar när det kommer till att implementera och efterleva en ISP. Studiens syfte är således att framföra rekommendationer för hur svenska SMF kan åstadkomma en bättre implementations- och efterlevnadsgrad av informationssäkerhetspolicyer.Studiens empiri bygger på datainsamling som erhållits från semistrukturerade intervjuer med svenska SMF. Insamlade data har sedan analyserats med hjälp av en tematisk analysmetod. Resultatet av empirin indikerar på att kompetensbristen är den primära faktorn som hindrar svenska SMF i sitt informationssäkerhetsarbete. Studiens slutsatser avhandlar rekommendationer utifrån insamlad empiri och granskad litteratur. Bland rekommendationerna ser studiens författare att utbildning i syfte att höja informationssäkerhetsmedvetenheten och engagemang från företagsledningen är av största vikt för att lyckas. Författarna har valt att begränsa studiens omfång till den svenska företagsmarknaden. Vidare har ingen hänsyn tagits till industrispecifika karaktärsdrag, då studiens respondenter verkar inom spridda sektorer.

The human factor often plays a significant role in cyberattacks targeted against organisations. Therefore, controlling user behaviour is critical to companies’ cybersecurity strengthening efforts. A method used by companies for this is information security policies (ISP). User compliance is required for policies to be able to regulate user behaviour, but research suggests that compliance is often low. This study aims to improve authentication rules in ISP development by executing a systematic literature review. It does this by providing recommendations on how to better capture the user perspective based on the reviewed literature and the collected policies from the public sector.  First a database search was conducted then backwards snowballing, which left us with 61 accepted articles that then underwent coding and ultimately a thematic analysis. This process identified eight key themes: authentication stress, password strength, password changing, password sharing, password reuse, password storage, user guidance and policy design. With these themes in hand, each area could be analysed and compared to corresponding area from the collected policies. This revealed discrepancies between the research and the organizational policies, enabling recommendations on how to improve policies from a user-based perspective to be put forward. The study is limited to authentication rules found in information security policies and excludes rules that might be found in different documents. Additionally, the systematic literature review is limited to digital databases.