Samhället idag är mer uppkopplat och hanterar större mängder information än tidigare. Informationen hanteras i större omfattning av IT-system där kraven på säker hantering av information blir allt större. För att hantera informationssäkerhet kan organisationer implementera ett ledningssystem för informationssäkerhet (LIS). Det tar både tid och resurser att designa och implementera ett LIS. För att denna investering ska vara lönsam bör den också ge ett mervärde för organisationer. För att standardisera och specificera uppbyggnaden av LIS har ISO/IEC 27001 (standard för LIS) utvecklats och implementerats av organisationer världen över. Syftet med denna studie är att identifiera vilka förändringar som en ISO/IEC 27001-certifiering leder till hos små organisationer i Sverige. En intervjustudie har utförts med en semistrukturerad intervju som datainsamlingsmetod. Utifrån den insamlade empirin har sex kategorier identifierats och beskrivs tematiskt utifrån varje informant. Studien visar att organisationer får en bättre process och kontroll över informationssäkerhet och en stärkt informationssäkerhetskultur. Utöver detta uppges informationssäkerhet ha förbättrats bland organisationer genom olika säkerhetsåtgärder. Dessutom har kommunikationen med kunder förenklats, när informationssäkerhet diskuteras. Studien undersöker ISO/IEC 27001-certifierings påverkan hos flera organisationer, för att få en diversitet på den insamlade empirin. Detta genomfördes med en informant per organisation, med överblick över både organisationen och certifieringen. Studien undersöker organisationer som redan är certifierade, då organisationen ska ha implementerat ISO/IEC 27001-standarden. Varken certifieringsprocessen, säkerhetsåtgärder, implementationen av eller tillämpningen av ledningssystemet har undersökts i denna studie. / Society today is more connected and handles more information than ever before. The information is handled to a greater extent by IT systems, where the requirements for secure information management have increased. To manage this increase in information flow, organization can implement an information security management system (ISMS). It takes both time and resources to design and implement an ISMS. For this investment to be profitable, it should also provide additional value for companies. In order to standardize and specify the structure of ISMS, ISO/IEC 27001 (Standard for ISMS) has been developed and implemented by companies all over the world. The purpose of this study is to identify the changes that an ISO/IEC 27001-certification leads to for small organisations in Sweden. An interview study has been conducted and semi-structured interviews has been used for data collection. Based on the collected empirical evidence, six categories have been identified and described thematically for each informant. The study shows that organisations get a better process and control over information security and a strengthened information security culture. In addition, information security is said to have improved among organisations through various security measures. In addition communications with customers have been simplified, whenever information security is discussed. The study examines the impact of ISO/IEC 27001-certification on four organisations, in order to ensure diversity of the empirical evidence collected. This was done with one informant per organisation, with an overview of both the organisation and the certification. The study examines organisations that are already certified, since the organisation need to have implemented the ISO/IEC 27001 standard. Neither the certification process, the security measures, the implementation nor the application of the management system have been investigated in this study.

Information security is an important focus area in our business climate, where cyberattacks pose a growing threat. To address the increasing threat landscape, it is crucial for companies to establish guidelines and regulations on how employees and companies should act to maintain information security. Therefore, many companies are working on implementing an Information Security Management System (ISMS), where information security policies (ISP) are considered the cornerstone. However, research has shown that small and medium-sized enterprises (SMEs) face specific obstacles and challenges when it comes to implementing and complying with an ISP. The purpose of this study is to provide recommendations for Swedish SMEs to achieve better implementation and compliance levels of ISPs. The empirical data for this study is based on data collected through semi-structured interviews with Swedish SMEs. The collected data was then analyzed using thematic analysis. The results of the empirical data indicate that a lack of competence is the primary issue for Swedish SMEs in their information security efforts. The study’s conclusions discuss the recommendations based on the collected empirical data and the reviewed literature. Among the recommendations, the authors emphasize the importance of education to increase information security awareness, as well as the importance of engagement from top management. The authors have chosen to limit the scope of the study to businesses in Sweden. Furthermore, no consideration has been given to industry-specific characteristics since the study’s respondents operate in diverse business sectors. / Informationssäkerhet är ett viktigt fokusområde inom dagens företagsklimat, där cyberattacker utgör ett växande hot. För att möta den ökande hotbilden lyfts värdet av att företag etablerar riktlinjer och bestämmelser över hur anställda och verksamheten ska agera för att bibehålla informationssäkerheten. Många företag jobbar därmed för att etablera ett ledningssystem för informationssäkerhet (LIS), där informationssäkerhetspolicyer (ISP) anses utgöra grundpelaren för ett LIS. Forskning pekar däremot på att små och medelstora företag (SMF) upplever särskilda hinder och utmaningar när det kommer till att implementera och efterleva en ISP. Studiens syfte är således att framföra rekommendationer för hur svenska SMF kan åstadkomma en bättre implementations- och efterlevnadsgrad av informationssäkerhetspolicyer.Studiens empiri bygger på datainsamling som erhållits från semistrukturerade intervjuer med svenska SMF. Insamlade data har sedan analyserats med hjälp av en tematisk analysmetod. Resultatet av empirin indikerar på att kompetensbristen är den primära faktorn som hindrar svenska SMF i sitt informationssäkerhetsarbete. Studiens slutsatser avhandlar rekommendationer utifrån insamlad empiri och granskad litteratur. Bland rekommendationerna ser studiens författare att utbildning i syfte att höja informationssäkerhetsmedvetenheten och engagemang från företagsledningen är av största vikt för att lyckas. Författarna har valt att begränsa studiens omfång till den svenska företagsmarknaden. Vidare har ingen hänsyn tagits till industrispecifika karaktärsdrag, då studiens respondenter verkar inom spridda sektorer.

Krav på företag och organisationer att införa och certifiera ledningssystem enligt SS-ISO/IEC 27001:2006 ökar. Myndigheter och kunder vill försäkra sig om att deras leverantörer och samarbetspartner har en säker hantering av information. För att kunna beskriva och jämföra skillnaderna mellan organisationernas sätt att arbeta med informationssäkerhet på en generell nivå utifrån standarden SS-ISO/IEC 27001:2006 åtgärdsmål, analyseras i denna uppsats fördelarna med att ha ett certifierad ledningssystem för informationssäkerhet. Studien identifierar, analyserar och klarlägger de informationssäkerhetsmässiga skillnader som ett sjukhus som är certifierat enligt SS-ISO/IEC 27001:2006 uppnår, i jämförelse med ett sjukhus som inte är certifierat enligt denna standard. Studien utgår ifrån begreppet informationssäkerhet och genomförs med hjälp av Design Science metoden där en artefakt skapats utifrån Blooms reviderade taxonomi och med hjälp av semi-strukturerade intervjuer som är en kvalitativ metod. I arbetet används en klassificeringsmetod och det empiriska materialet dvs. intervjuresultatet analyseras med hjälp av Blooms reviderade taxonomi. Resultatet visar att båda sjukhusen nyttjar standarden och att deras informationssäkerhetspolicy blir tilldelad av respektive Landsting. Onekligen är ändå att Hallands sjukhus Varberg som är certifierad enligt standarden SS-ISO/IEC 27001:2006, har en högre beredskap och aktivitetsnivå för denna typ av frågor rörande informationssäkerhetsarbete. Det visas bland annat genom att Halland Varberg sjukhus genomgående uppfyller fler åtgärdsmål, har fler definierade procedurer för sitt arbetssätt samt en utökad förståelse för uppsatta krav. De etiska och samhälleliga konsekvenserna för studiens slutsatser är bland annat att kommentarer kring intervjusvaren inte kan kopplas till en enskild individ utan till själva organisationen. Det visar i studien att det finns sårbarheter inom båda organisationerna, som driftavbrott i journalsystem som kan leda till konsekvenser för samhället. Genom att belysa beskrivningen om arbetet med fördelar av en certifiering enligt SS-ISO/IEC 27001:2006 utifrån ett informationssäkerhetsperspektiv och att det finns aktuella krav från Socialstyrelsen att alla vårdgivare ska ha ett ledningssystem som ska innehålla en dokumenterad informationssäkerhetspolicy, kan uppsatsen bidra till att besvara frågan om det är värt att certifiera sig. Bland de fördelar som framkom genom studien var exempelvis minskade antal incidenter, bättre total överblick och bättre förebyggande arbete. / Requirements for companies and organizations to implement and certify management systems in accordance with SS-ISO/IEC 27001: 2006 increase. Authorities and customers need to ensure that their suppliers and partners have a safe managing of the information. In order to describe and compare differences between the organizations way of working with information on a broad level of the standard SS-ISO/IEC 27001:2006 control objectives, analyzed this study the advantages of having a certified information security management system. The study identifies, analyzes and clarifies the information security-related differences in a hospital that is certified according to SS-ISO/IEC 27001: 2006, in comparison with a hospital that is not certified according to this standard. The study is based on the concept of information security and is carrying through by using Design Science method, in which an artifact is created from Bloom's revised taxonomy. Semi-structured interview is using to collect data. The work also used as a classification method and empirical material i.e. interview results analyzed by using Bloom's revised taxonomy. The results of the study show that both hospitals are working towards the standard and that their information security policy is assigned by the respective County Councils. The ethical and social implications of the study’s conclusions are that, among other things, that the comments about the interview responses cannot be attached to a single individual but to the organization. The study shows that there are vulnerabilities in both organizations, such as downtime of the medical journal system, which can result in consequences for society. Although there are current requirements from the Swedish National Board of Health and Welfare (Socialstyrelsen) to all caregivers: they shall have a management system which should include a documented information security policy, the study help to answer the question whether it is worthwhile to certify themselves. And by highlighting the description about work with a certification according to SS-ISO/IEC 27001: 2006 benefits from an information security perspective, organization can acquire a systematic information security work.

Krav på företag och organisationer att införa och certifiera ledningssystem enligt SS-ISO/IEC 27001:2006 ökar. Myndigheter och kunder vill försäkra sig om att deras leverantörer och samarbetspartner har en säker hantering av information. För att kunna beskriva och jämföra skillnaderna mellan organisationernas sätt att arbeta med informationssäkerhet på en generell nivå utifrån standarden SS-ISO/IEC 27001:2006 åtgärdsmål, analyseras i denna uppsats fördelarna med att ha ett certifierad ledningssystem för informationssäkerhet. Studien identifierar, analyserar och klarlägger de informationssäkerhetsmässiga skillnader som ett sjukhus som är certifierat enligt SS-ISO/IEC 27001:2006 uppnår, i jämförelse med ett sjukhus som inte är certifierat enligt denna standard. Studien utgår ifrån begreppet informationssäkerhet och genomförs med hjälp av Design Science metoden där en artefakt skapats utifrån Blooms reviderade taxonomi och med hjälp av semi-strukturerade intervjuer som är en kvalitativ metod. I arbetet används en klassificeringsmetod och det empiriska materialet dvs. intervjuresultatet analyseras med hjälp av Blooms reviderade taxonomi. Resultatet visar att båda sjukhusen nyttjar standarden och att deras informationssäkerhetspolicy blir tilldelad av respektive Landsting. Onekligen är ändå att Hallands sjukhus Varberg som är certifierad enligt standarden SS-ISO/IEC 27001:2006, har en högre beredskap och aktivitetsnivå för denna typ av frågor rörande informationssäkerhetsarbete. Det visas bland annat genom att Halland Varberg sjukhus genomgående uppfyller fler åtgärdsmål, har fler definierade procedurer för sitt arbetssätt samt en utökad förståelse för uppsatta krav. De etiska och samhälleliga konsekvenserna för studiens slutsatser är bland annat att kommentarer kring intervjusvaren inte kan kopplas till en enskild individ utan till själva organisationen. Det visar i studien att det finns sårbarheter inom båda organisationerna, som driftavbrott i journalsystem som kan leda till konsekvenser för samhället. Genom att belysa beskrivningen om arbetet med fördelar av en certifiering enligt SS-ISO/IEC 27001:2006 utifrån ett informationssäkerhetsperspektiv och att det finns aktuella krav från Socialstyrelsen att alla vårdgivare ska ha ett ledningssystem som ska innehålla en dokumenterad informationssäkerhetspolicy, kan uppsatsen bidra till att besvara frågan om det är värt att certifiera sig. Bland de fördelar som framkom genom studien var exempelvis minskade antal incidenter, bättre total överblick och bättre förebyggande arbete. / Requirements for companies and organizations to implement and certify management systems in accordance with SS-ISO/IEC 27001: 2006 increase. Authorities and customers need to ensure that their suppliers and partners have a safe managing of the information. In order to describe and compare differences between the organizations way of working with information on a broad level of the standard SS-ISO/IEC 27001:2006 control objectives, analyzed this study the advantages of having a certified information security management system. The study identifies, analyzes and clarifies the information security-related differences in a hospital that is certified according to SS-ISO/IEC 27001: 2006, in comparison with a hospital that is not certified according to this standard. The study is based on the concept of information security and is carrying through by using Design Science method, in which an artifact is created from Bloom's revised taxonomy. Semi-structured interview is using to collect data. The work also used as a classification method and empirical material i.e. interview results analyzed by using Bloom's revised taxonomy. The results of the study show that both hospitals are working towards the standard and that their information security policy is assigned by the respective County Councils. The ethical and social implications of the study’s conclusions are that, among other things, that the comments about the interview responses cannot be attached to a single individual but to the organization. The study shows that there are vulnerabilities in both organizations, such as downtime of the medical journal system, which can result in consequences for society. Although there are current requirements from the Swedish National Board of Health and Welfare (Socialstyrelsen) to all caregivers: they shall have a management system which should include a documented information security policy, the study help to answer the question whether it is worthwhile to certify themselves. And by highlighting the description about work with a certification according to SS-ISO/IEC 27001: 2006 benefits from an information security perspective, organization can acquire a systematic information security work.

Krav på företag och organisationer att införa och certifiera ledningssystem enligt SS-ISO/IEC 27001:2006 ökar. Myndigheter och kunder vill försäkra sig om att deras leverantörer och samarbetspartner har en säker hantering av information. För att kunna beskriva och jämföra skillnaderna mellan organisationernas sätt att arbeta med informationssäkerhet på en generell nivå utifrån standarden SS-ISO/IEC 27001:2006 åtgärdsmål, analyseras i denna uppsats fördelarna med att ha ett certifierad ledningssystem för informationssäkerhet. Studien identifierar, analyserar och klarlägger de informationssäkerhetsmässiga skillnader som ett sjukhus som är certifierat enligt SS-ISO/IEC 27001:2006 uppnår, i jämförelse med ett sjukhus som inte är certifierat enligt denna standard. Studien utgår ifrån begreppet informationssäkerhet och genomförs med hjälp av Design Science metoden där en artefakt skapats utifrån Blooms reviderade taxonomi och med hjälp av semi-strukturerade intervjuer som är en kvalitativ metod. I arbetet används en klassificeringsmetod och det empiriska materialet dvs. intervjuresultatet analyseras med hjälp av Blooms reviderade taxonomi. Resultatet visar att båda sjukhusen nyttjar standarden och att deras informationssäkerhetspolicy blir tilldelad av respektive Landsting. Onekligen är ändå att Hallands sjukhus Varberg som är certifierad enligt standarden SS-ISO/IEC 27001:2006, har en högre beredskap och aktivitetsnivå för denna typ av frågor rörande informationssäkerhetsarbete. Det visas bland annat genom att Halland Varberg sjukhus genomgående uppfyller fler åtgärdsmål, har fler definierade procedurer för sitt arbetssätt samt en utökad förståelse för uppsatta krav. De etiska och samhälleliga konsekvenserna för studiens slutsatser är bland annat att kommentarer kring intervjusvaren inte kan kopplas till en enskild individ utan till själva organisationen. Det visar i studien att det finns sårbarheter inom båda organisationerna, som driftavbrott i journalsystem som kan leda till konsekvenser för samhället. Genom att belysa beskrivningen om arbetet med fördelar av en certifiering enligt SS-ISO/IEC 27001:2006 utifrån ett informationssäkerhetsperspektiv och att det finns aktuella krav från Socialstyrelsen att alla vårdgivare ska ha ett ledningssystem som ska innehålla en dokumenterad informationssäkerhetspolicy, kan uppsatsen bidra till att besvara frågan om det är värt att certifiera sig. Bland de fördelar som framkom genom studien var exempelvis minskade antal incidenter, bättre total överblick och bättre förebyggande arbete. / Requirements for companies and organizations to implement and certify management systems in accordance with SS-ISO/IEC 27001: 2006 increase. Authorities and customers need to ensure that their suppliers and partners have a safe managing of the information. In order to describe and compare differences between the organizations way of working with information on a broad level of the standard SS-ISO/IEC 27001:2006 control objectives, analyzed this study the advantages of having a certified information security management system. The study identifies, analyzes and clarifies the information security-related differences in a hospital that is certified according to SS-ISO/IEC 27001: 2006, in comparison with a hospital that is not certified according to this standard. The study is based on the concept of information security and is carrying through by using Design Science method, in which an artifact is created from Bloom's revised taxonomy. Semi-structured interview is using to collect data. The work also used as a classification method and empirical material i.e. interview results analyzed by using Bloom's revised taxonomy. The results of the study show that both hospitals are working towards the standard and that their information security policy is assigned by the respective County Councils. The ethical and social implications of the study’s conclusions are that, among other things, that the comments about the interview responses cannot be attached to a single individual but to the organization. The study shows that there are vulnerabilities in both organizations, such as downtime of the medical journal system, which can result in consequences for society. Although there are current requirements from the Swedish National Board of Health and Welfare (Socialstyrelsen) to all caregivers: they shall have a management system which should include a documented information security policy, the study help to answer the question whether it is worthwhile to certify themselves. And by highlighting the description about work with a certification according to SS-ISO/IEC 27001: 2006 benefits from an information security perspective, organization can acquire a systematic information security work.

Krav på företag och organisationer att införa och certifiera ledningssystem enligt SS-ISO/IEC 27001:2006 ökar. Myndigheter och kunder vill försäkra sig om att deras leverantörer och samarbetspartner har en säker hantering av information. För att kunna beskriva och jämföra skillnaderna mellan organisationernas sätt att arbeta med informationssäkerhet på en generell nivå utifrån standarden SS-ISO/IEC 27001:2006 åtgärdsmål, analyseras i denna uppsats fördelarna med att ha ett certifierad ledningssystem för informationssäkerhet. Studien identifierar, analyserar och klarlägger de informationssäkerhetsmässiga skillnader som ett sjukhus som är certifierat enligt SS-ISO/IEC 27001:2006 uppnår, i jämförelse med ett sjukhus som inte är certifierat enligt denna standard. Studien utgår ifrån begreppet informationssäkerhet och genomförs med hjälp av Design Science metoden där en artefakt skapats utifrån Blooms reviderade taxonomi och med hjälp av semi-strukturerade intervjuer som är en kvalitativ metod. I arbetet används en klassificeringsmetod och det empiriska materialet dvs. intervjuresultatet analyseras med hjälp av Blooms reviderade taxonomi. Resultatet visar att båda sjukhusen nyttjar standarden och att deras informationssäkerhetspolicy blir tilldelad av respektive Landsting. Onekligen är ändå att Hallands sjukhus Varberg som är certifierad enligt standarden SS-ISO/IEC 27001:2006, har en högre beredskap och aktivitetsnivå för denna typ av frågor rörande informationssäkerhetsarbete. Det visas bland annat genom att Halland Varberg sjukhus genomgående uppfyller fler åtgärdsmål, har fler definierade procedurer för sitt arbetssätt samt en utökad förståelse för uppsatta krav. De etiska och samhälleliga konsekvenserna för studiens slutsatser är bland annat att kommentarer kring intervjusvaren inte kan kopplas till en enskild individ utan till själva organisationen. Det visar i studien att det finns sårbarheter inom båda organisationerna, som driftavbrott i journalsystem som kan leda till konsekvenser för samhället. Genom att belysa beskrivningen om arbetet med fördelar av en certifiering enligt SS-ISO/IEC 27001:2006 utifrån ett informationssäkerhetsperspektiv och att det finns aktuella krav från Socialstyrelsen att alla vårdgivare ska ha ett ledningssystem som ska innehålla en dokumenterad informationssäkerhetspolicy, kan uppsatsen bidra till att besvara frågan om det är värt att certifiera sig. Bland de fördelar som framkom genom studien var exempelvis minskade antal incidenter, bättre total överblick och bättre förebyggande arbete. / Requirements for companies and organizations to implement and certify management systems in accordance with SS-ISO/IEC 27001: 2006 increase. Authorities and customers need to ensure that their suppliers and partners have a safe managing of the information. In order to describe and compare differences between the organizations way of working with information on a broad level of the standard SS-ISO/IEC 27001:2006 control objectives, analyzed this study the advantages of having a certified information security management system. The study identifies, analyzes and clarifies the information security-related differences in a hospital that is certified according to SS-ISO/IEC 27001: 2006, in comparison with a hospital that is not certified according to this standard. The study is based on the concept of information security and is carrying through by using Design Science method, in which an artifact is created from Bloom's revised taxonomy. Semi-structured interview is using to collect data. The work also used as a classification method and empirical material i.e. interview results analyzed by using Bloom's revised taxonomy. The results of the study show that both hospitals are working towards the standard and that their information security policy is assigned by the respective County Councils. The ethical and social implications of the study’s conclusions are that, among other things, that the comments about the interview responses cannot be attached to a single individual but to the organization. The study shows that there are vulnerabilities in both organizations, such as downtime of the medical journal system, which can result in consequences for society. Although there are current requirements from the Swedish National Board of Health and Welfare (Socialstyrelsen) to all caregivers: they shall have a management system which should include a documented information security policy, the study help to answer the question whether it is worthwhile to certify themselves. And by highlighting the description about work with a certification according to SS-ISO/IEC 27001: 2006 benefits from an information security perspective, organization can acquire a systematic information security work.

Krav på företag och organisationer att införa och certifiera ledningssystem enligt SS-ISO/IEC 27001:2006 ökar. Myndigheter och kunder vill försäkra sig om att deras leverantörer och samarbetspartner har en säker hantering av information. För att kunna beskriva och jämföra skillnaderna mellan organisationernas sätt att arbeta med informationssäkerhet på en generell nivå utifrån standarden SS-ISO/IEC 27001:2006 åtgärdsmål, analyseras i denna uppsats fördelarna med att ha ett certifierad ledningssystem för informationssäkerhet. Studien identifierar, analyserar och klarlägger de informationssäkerhetsmässiga skillnader som ett sjukhus som är certifierat enligt SS-ISO/IEC 27001:2006 uppnår, i jämförelse med ett sjukhus som inte är certifierat enligt denna standard. Studien utgår ifrån begreppet informationssäkerhet och genomförs med hjälp av Design Science metoden där en artefakt skapats utifrån Blooms reviderade taxonomi och med hjälp av semi-strukturerade intervjuer som är en kvalitativ metod. I arbetet används en klassificeringsmetod och det empiriska materialet dvs. intervjuresultatet analyseras med hjälp av Blooms reviderade taxonomi. Resultatet visar att båda sjukhusen nyttjar standarden och att deras informationssäkerhetspolicy blir tilldelad av respektive Landsting. Onekligen är ändå att Hallands sjukhus Varberg som är certifierad enligt standarden SS-ISO/IEC 27001:2006, har en högre beredskap och aktivitetsnivå för denna typ av frågor rörande informationssäkerhetsarbete. Det visas bland annat genom att Halland Varberg sjukhus genomgående uppfyller fler åtgärdsmål, har fler definierade procedurer för sitt arbetssätt samt en utökad förståelse för uppsatta krav. De etiska och samhälleliga konsekvenserna för studiens slutsatser är bland annat att kommentarer kring intervjusvaren inte kan kopplas till en enskild individ utan till själva organisationen. Det visar i studien att det finns sårbarheter inom båda organisationerna, som driftavbrott i journalsystem som kan leda till konsekvenser för samhället. Genom att belysa beskrivningen om arbetet med fördelar av en certifiering enligt SS-ISO/IEC 27001:2006 utifrån ett informationssäkerhetsperspektiv och att det finns aktuella krav från Socialstyrelsen att alla vårdgivare ska ha ett ledningssystem som ska innehålla en dokumenterad informationssäkerhetspolicy, kan uppsatsen bidra till att besvara frågan om det är värt att certifiera sig. Bland de fördelar som framkom genom studien var exempelvis minskade antal incidenter, bättre total överblick och bättre förebyggande arbete. / Requirements for companies and organizations to implement and certify management systems in accordance with SS-ISO/IEC 27001: 2006 increase. Authorities and customers need to ensure that their suppliers and partners have a safe managing of the information. In order to describe and compare differences between the organizations way of working with information on a broad level of the standard SS-ISO/IEC 27001:2006 control objectives, analyzed this study the advantages of having a certified information security management system. The study identifies, analyzes and clarifies the information security-related differences in a hospital that is certified according to SS-ISO/IEC 27001: 2006, in comparison with a hospital that is not certified according to this standard. The study is based on the concept of information security and is carrying through by using Design Science method, in which an artifact is created from Bloom's revised taxonomy. Semi-structured interview is using to collect data. The work also used as a classification method and empirical material i.e. interview results analyzed by using Bloom's revised taxonomy. The results of the study show that both hospitals are working towards the standard and that their information security policy is assigned by the respective County Councils. The ethical and social implications of the study’s conclusions are that, among other things, that the comments about the interview responses cannot be attached to a single individual but to the organization. The study shows that there are vulnerabilities in both organizations, such as downtime of the medical journal system, which can result in consequences for society. Although there are current requirements from the Swedish National Board of Health and Welfare (Socialstyrelsen) to all caregivers: they shall have a management system which should include a documented information security policy, the study help to answer the question whether it is worthwhile to certify themselves. And by highlighting the description about work with a certification according to SS-ISO/IEC 27001: 2006 benefits from an information security perspective, organization can acquire a systematic information security work.

The future of healthcare is increasingly digital, which includes a shift towards more personalised services that allow for more patient-centred and transparent patient care. These services are defined as PeHS and although there are great potential benefits of these services, there are also challenges regarding infor[1]mation security and privacy related to providing this type of services. This thesis project aims to examine the state of ISMS related to PeHS, which would also involve an examination of considerations taken regarding privacy in PeHS. The data collection methods for this thesis project were a systematic literature review and qualitative interviews.In total 18,667 publications published between 2017 and 2022 were found during the database searches. When the selection criteria had been applied 17 publications from the search process and 1 publication from the backward snowball process were accepted. The accepted publications were analysed by applying thematic analysis. Furthermore, two interviews with three participants were conducted after the literature review had been completed. The interview material was analysed by applying the analysis method of qualitative content analysis. The results showed that there are several challenges regarding ISMS and privacy related to PeHS. For example, there is a lack of knowledge within the organisations on why they should be applying the methods and tools available to ensure the security of the information flow through the healthcare services. Another example is the challenge of keeping up with the pace of digitalisation and adjust the ISMS to ensure sufficient information security of the services.

The diploma thesis focuses on implementation and deployment of information security management system (ISMS) into healthcare organizations. Specifies what is required to include in this process and what not to forget. It includes a risk analysis of a branch of the selected company, and for it is written a safety guide. Safety guide provides advice and recommendations regarding security in terms of human resources, physical security, ICT security and other aspects that should be included in the ISMS deployment in healthcare organizations. The work also reflects the newly emerging law on cyber security. It is expected that the law will also address cyber security in healthcare.