Enligt Myndigheten för samhällsskydd och beredskap så är information ”mycket värdefull, ibland till och med livsviktig” (1). Informationssäkerhetsarbete syftar i korthet till att skydda information och för att möjliggöra det krävs det att utifrån de förutsättningar som finns att anpassade skydds- och säkerhetsåtgärder införs för att informationen ska få ett välavvägt, anpassat och kostnadseffektivt skydd i förhållande till dess värde för en organisation eller individ (1). I detta examensarbete har Försvarsmaktens metod för applikationsgranskning utvärderats i syfte att utifrån ett informationssäkerhetsperspektiv se om den är tillämpbar som en säkerhetsåtgärd för andra svenska myndigheter samt ta fram en uppdaterad version av metodiken. Kvantitativa och kvalitativa data har samlats in via enkätundersökning, litteraturstudie samt intervjuer och resultatet visar att applikationsgranskning passar väl in i det övriga informationssäkerhetsarbetet. Denna studie visar att svenska myndigheter har brister i sitt informationssäkerhetsarbete och efterlyser konkreta exempel och metodstöd för att det ska bli bättre. I den här studien visar sig Försvarsmaktens metod för applikationsgranskning vara en lämplig och flexibel grund som kan bidra med detta då den är anpassningsbar utifrån miljö och förutsättningar och en billig säkerhetsåtgärd som går fort att genomföra och klarar sig med små resurser. Metoden ger en god grund till ett fortsatt informationssäkerhetsarbete genom att den metodiskt steg för steg går igenom och granskar en applikation. Den består av två delar, en teoretisk granskning genomförs inledningsvis för att därefter genomföra om det bedöms nödvändigt en teknisk granskning.

This thesis investigates how Swedish teachers manage confidential information about their pupils in reference to the General data protection regulation (GDPR). The purpose of the study has been to understand the general and individual actions that are carried through to ensure that the key principles of GDPR are actualized in a school context. Previous research in the field of education and information science has indicated that policies and shared regulations are a key element of obtaining information security in the management of personal data. It has also presented that teachers often have an inadequate knowledge about information security in the matter of their pu- pils’ personal data.  In order to examine the purpose of this study, seven interviews with Swedish elementary school teachers were conducted. Information culture theory was used to analyse the data collected from the interviews. The result of the study indicates that the interviewed teachers lack knowledge about the key principles of GDPR due to an absence of information provided to them by their employers. The key principle regarding integrity and confidentiality were the most common one to address in order to ensure that the legislation has been fulfilled. The other key principles of GDPR were often neglected as a result of inadequate knowledge and/or a lack of common policies.  This is a two years master's thesis in Library and information science.