Cyberattacker blir allt vanligare och inget pekar på att denna trend kommer att vända.Samtidigt är vi mer beroende av våra IT system än vi någonsin varit, och att förlorakontrollen över dessa kan få förödande konsekvenser. En betydande majoritet avlyckade cyberangrepp mot organisationer börjar med snedsteg bland personalen. Informationssäkerhetspolicyer finns till för att motverka dessa angrepp och stärkaorganisationers informationssäkerhet. En av nyckeldelarna för att dessa ska varaeffektiva är att efterlevnaden är god bland personalen. Studiens syfte är därför attundersöka vilka aspekter som påverkar efterlevnaden och med insamlade data kommamed rekommendationer och förslag för förbättrad hantering och kommunikation avinformationssäkerhetspolicyer. Data samlades in i kommunala förvaltningar viasemistrukturerade intervjuer med 14 respondenter. Intervjudata kodades ochanalyserades för att komma fram till de slutliga resultaten. Genom intervjuerna undersöktes personalens ISP medvetenhet, hur de kommunicerasoch hur ofta de repeteras. Samma gäller för utbildningar sett till informationssäkerhet.Den insamlade data visar att personalen förstår vikten av den säkerhetsklassadeinformationen de har tillgång till på deras arbetsplats. Utbildning och repetition av dessaär bristfällig på de flera av kommunerna medan personalen är positivt inställda till ökadrepetition och utbildning. Studiens slutsats lägger fram rekommendationer över hur kommuner i Sverige kanarbeta för att uppnå förbättring av personalens efterlevnad avinformationssäkerhetspolicyer.

In the ever-changing environment of the digital world one thing remains the same, the humans sitting in front of the screen. Today protecting company secrets and information is becoming more and more vital and companies invest massive amounts of money on technological defenses such as firewalls and antivirus programs, but the threats that the user and employees pose for companies go unnoticed by many. However, there are people that notice this weakness in companies’ security and try to take advantage of it for their own gain. By manipulating the human instead of the technology can a con-artist bypass companies’ security by means called social engineering. The threat that social engineering pose is no news to many within the field of information security but it’s still happening. The focus of this study is to examine why this is still an issue for a lot of companies and why it's so hard to counter social engineering. By going over previous research we identified that security culture in a company and the awareness of its employees influence the attitudes which a person needs to have to be able to fend of social engineering attacks. This study argues that attitudes determine if a person processes an incoming message through a central or peripheral route. Since a company’s security culture seemed to influence how people could counter social engineering we went to a manufacturing company and examined the security culture to try and get a better understanding on the complexity of the problem. The study concludes that being completely resilient to social engineering attacks is practically impossible. If a user will have access to a certain information, a skilled con-artist will have a chance to get their hands on that information through the user. However, the study emphasize that a company can work with improving resistance towards incoming social engineering attacks by focusing on their security culture and their employees’ attitudes and awareness concerning the problem.

Introduction. Libraries have traditionally protected the privacy of their users. It is an ambition that is becoming increasingly difficult, with the introduction of new information technologies in libraries. This thesis consists of an examination of an incipient interest in digital security among Swedish libraries and librarians. It also consists of an examination to what degree Swedish municipality libraries are using social plugins, an information practice with potential privacy concerns, on their websites. Method. Key actors were interviewed to shed light on why issues on privacy and digital security have moved into the foreground. 59 municipality libraries were randomly selected, and their websites surveyed. Analysis. Contextual integrity (CI), a privacy concept developed by Helen Nissenbaum, was used as a theoreti-cal framework. According to the concept, privacy is linked to information norms in a specific context. The con-cept has both a descriptive and a prescriptive aspect. In this thesis I used CI to evaluate libraries’ information practice of using social plugins on their websites. Results. The study showed that one out of three municipality libraries in Sweden are using social plugins on their website. The interest in digital security among Swedish libraries is linked to privacy concerns for groups of people with the need of high digital protection. The interest was sparked by Edward Snowden revelations of mass surveillance and the refugee crisis in 2015. Conclusion. Contextual integrity was used to evaluate libraries’ practice of using social plugins on their web-sites. The evaluation showed that the practice encroaches on information norms normally taken for granted in the library. The use of social plugins should be cancelled. Libraries have a responsibility to secure the privacy of their users, and CI is a useful concept to evaluate different information practices.This is a two years master’s thesis in library and information science.

Syftet med denna flerfallstudie är att granska Svenska IT-konsultbolags informationssäkerhetspolicies (ISP). Vissa forskare argumenterar att införandet av en ISP är den allra viktigaste säkerhetsaspekten för en organisation. Studiens metodologiska ansats är en flerfallstudie baserad på kvalitativa djupintervjuer, tidigare forskning och ITkonsultbolagens ISP:s. Resultaten har analyserats och jämförts med hur en ISP bör implementeras för att klassas som effektiv enligt olika standarder. Resultaten visar att ITkonsultbolag tenderar att hänvisa till de anställdas egen ansvarskänsla istället för att implementera en felfri ISP. Organisationerna förväntar sig att anställda har ett genuint intresse för IT-säkerhet vilket därmed kan vara en orsak till att organisationer inte värderar sin ISP högre. Samtliga respondenter ansåg trots detta att den mänskliga faktorn är det största hotet mot IT-säkerheten.

<p>Detta examensarbete har genomförts på uppdrag av Försvarets Materielverk (FMV). </p><p>Det påstås att evaluering av komplexa/sammansatta system är svårt, om inte omöjligt. Common Criteria (CC) är en ISO/IEC-standard för evaluering av produkter och system. Även Information Technology Security Evaluation Criteria (ITSEC) används för samma ändamål. Jag har undersökt vad som är möjligt och denna uppsats beskriver alternativa evalueringslösningar med hjälp av CC/ITSEC, dock primärt enligt CC; där fokus hela tiden vilar på ackreditering av system och produkter inom det svenska försvaret. </p><p>Metoden som används bygger på kvalitativ och utredande analys vilken baseras på empirisk kunskap inhämtad från nyckelaktörer på marknaden samt en teoretisk referensram vilken utgörs av nyckelstandarder och för arbetet/uppsatsen relevanta dokument. </p><p>Jag har undersökt SYSn och FTA vilka är två ytterst intressanta lösningar för två olika typer av evalueringssituationer vid informell evaluering. Båda lösningarna fokuserar på systemevalueringar men produktevalueringar stöds även de. SYSn och FTA är framtagna av UK:s myndighet CESG vid GCHQ. </p><p>SYSn är en mer pragmatisk, kostnadseffektiv, snabb (med avseende på total evalueringstid) och flexibel lösning än existerande formella CCoch ITSEC-lösningar. Samtidigt bygger SYSn på CEM vilket gör att SYSn åtnjuter många av CC:s och CEM:s fördelar med avseende på bland annat återanvändbarhet och god struktur. SYSn erbjuder motsvarande assurans som CC: s EAL (SYS2 ≈ EAL2, SYS3 ≈ EAL3, SYS4 ≈EAL4).. Spårbarhet gällande utfall, testprocedurer, använd metodik etc. bibehålls. </p><p>FTA å andra sidan är ett avsevärt snabbare evalueringsinstrument där avkall på återanvändbarhet, struktur, dokumentation och förtroende görs. FTA är en lösning vilken fokuserar på best effort och ger inga direkta garantier om assuransnivåer etc. När det är ont om tid och inget certifikat eller ett formellt utlåtande för evalueringsresultatet efterfrågas är FTA en tilltalande lösning. Evaluering genomförs i enlighet med Fast Track Assessment Methodology (FTAM).</p>

Internationell statistik från incidentorganisationer och polisiära myndigheter visar att antaletavsiktliga intrång och intrångsförsök i datorer eller nätverk av datorer generellt ökar mellan 60och 100 procent årligen. IT-kriminaliteten ökar i motsvarande omfattning. Att intrång kangenomföras visar att nuvarande konventionella skyddsmetoder inte alltid är tillräckliga.Försvarsmakten, som alltmer ökar sitt beroende av IT, påverkas såväl direkt som indirekt avdenna utveckling.I denna uppsats genomförs en översiktlig inventering och beskrivning av ett antalkonventionella och vilseledande skyddsmetoder för datorer eller nätverk av datorer. Syftet är attvärdera på vilket/vilka sätt vilseledande skyddsmetoder, i förhållande till konventionella, bidrartill ökad informationssäkerhet för Försvarsmakten. Respektive skyddsmetod värderas mot ettantal förmågor, som ur ett informationssäkerhetsperspektiv bedömts önskvärda. Ettunderliggande syfte är också att värdera om vilseledande skyddsmetoder även kan bidra tillFörsvarsmaktens förmåga att genomföra informationsoperationer. Respektive vilseledandeskyddsmetod värderas mot ett antal förmågor, som enligt Försvarsmakten är önskvärda attinneha vid genomförande av informationsoperationer.Uppsatsen visar att ett vilseledande skydd såväl ökar möjligheten för Försvarsmakten att skyddasina informationssystem som förmågan att genomföra informationsoperationer. Uppsatsen visaräven att vilseledande skydd inte i dag kan ersätta ett konventionellt skydd utan är enkomplettering. / International statistics, from incident organisations and police authorities, prove thatintentional computer network penetrations, attempts to penetrate computer networks andcrimes related to IT increase between 60 and 100 percent every year. The fact thatpenetration can be accomplished proves that existing conventional methods for protection arenot always sufficient. Swedish Armed Forces are becoming increasingly more dependent onIT, and are influenced directly as well as indirectly from this development.This research paper accomplishes a brief inventory and description of conventional as well asdeceptive methods for computer network protection. The purpose is to evaluate in what waydeceptive methods contribute to increasing information security in the Swedish ArmedForces in relation to conventional methods. Each method is evaluated with a number ofabilities that are important from an information security perspective. A partial purpose is alsoto investigate if deceptive methods can contribute to Swedish Armed Forces’ ability to carryout information operations. Each deceptive method is evaluated with a number of abilitiesthat, according to the Swedish Armed Forces, are important to be in possession of duringinformation operations.This research paper proves that deceptive protection not only increases the ability of theSwedish Armed Forces to protect their information systems but also their ability to carry outinformation operations. This research paper also proves that deceptive protection does nothave the power of replacing conventional protection, but that it is a complement. / Avdelning: ALB - Slutet Mag 3 C-upps.Hylla: Upps. ChP T 02-04

Detta examensarbete har genomförts på uppdrag av Försvarets Materielverk (FMV). Det påstås att evaluering av komplexa/sammansatta system är svårt, om inte omöjligt. Common Criteria (CC) är en ISO/IEC-standard för evaluering av produkter och system. Även Information Technology Security Evaluation Criteria (ITSEC) används för samma ändamål. Jag har undersökt vad som är möjligt och denna uppsats beskriver alternativa evalueringslösningar med hjälp av CC/ITSEC, dock primärt enligt CC; där fokus hela tiden vilar på ackreditering av system och produkter inom det svenska försvaret. Metoden som används bygger på kvalitativ och utredande analys vilken baseras på empirisk kunskap inhämtad från nyckelaktörer på marknaden samt en teoretisk referensram vilken utgörs av nyckelstandarder och för arbetet/uppsatsen relevanta dokument. Jag har undersökt SYSn och FTA vilka är två ytterst intressanta lösningar för två olika typer av evalueringssituationer vid informell evaluering. Båda lösningarna fokuserar på systemevalueringar men produktevalueringar stöds även de. SYSn och FTA är framtagna av UK:s myndighet CESG vid GCHQ. SYSn är en mer pragmatisk, kostnadseffektiv, snabb (med avseende på total evalueringstid) och flexibel lösning än existerande formella CCoch ITSEC-lösningar. Samtidigt bygger SYSn på CEM vilket gör att SYSn åtnjuter många av CC:s och CEM:s fördelar med avseende på bland annat återanvändbarhet och god struktur. SYSn erbjuder motsvarande assurans som CC: s EAL (SYS2 ≈ EAL2, SYS3 ≈ EAL3, SYS4 ≈EAL4).. Spårbarhet gällande utfall, testprocedurer, använd metodik etc. bibehålls. FTA å andra sidan är ett avsevärt snabbare evalueringsinstrument där avkall på återanvändbarhet, struktur, dokumentation och förtroende görs. FTA är en lösning vilken fokuserar på best effort och ger inga direkta garantier om assuransnivåer etc. När det är ont om tid och inget certifikat eller ett formellt utlåtande för evalueringsresultatet efterfrågas är FTA en tilltalande lösning. Evaluering genomförs i enlighet med Fast Track Assessment Methodology (FTAM).

Detta är en B-uppsats inom datasäkerhet och datajuridik. Uppsatsen består av först en litteraturstudie. Där tar vi upp vilka hot som finns mot information som hanteras med hjälp av datorer. Med hjälp av olika säkerhetsverktyg ökar man skyddet mot hoten. Vi beskriver de vanligaste verktygen som företag och även privatpersoner använder sig av. Ämnet dataintrång förklaras samt en beskrivning av externt- och interntdataintrång. I och med IT-utvecklingens snabba framväxt och förändringar på samhället ger det nya tillfällen till brott, ökningen av brott kan bero på att det finns en ökad skicklighet hos förövarna samtidigt som skyddet är svagt. Vad lagen säger om IT-brott och vilken lag som hanterar dataintrång tas upp. I empiridelen har vi studerat olika rättsfall för att se hur dataintrång har skett i verkligheten, samt några olika tidningsartiklar som berättar om olika databrott. Uppsatsen avslutas med diskussion, där vi kopplar ihop teorin och empirin med varandra för att få en helhetssyn över valt ämne. Problemet dataintrång är komplicerat och det finns ingen enkel lösning för att motverka att sådana brott sker För att komma åt dem som utför brotten lagen ses över och vad gäller den svaga säkerheten så får datoranvändarna se över skyddet. / This is an essay within computer security and data law. First the essay contains a literature study. There we take up what kind of threats there are against information that handles with the help of computers. With help from different security tools you increase the protection against the threats. We describe the most common tools that companies use and also private persons use. The subject computer-trespass explains and describes internal and external computer-trespass. As the IT-development fast growth and changes on the society it gives new opportunity to crimes, the increase of crime may due on the fact that there is an increased skill within the perpetrators at the same time the protection is weak. What the law says about IT- crime and witch law who handles computer-trespass brings up. In the Empire part we have studying different cases of how computer-trespass has been done in reality, and some different news-articles who tells about different computer-crimes. The essay ends with a discussion, in which we connect theory with empire to get a whole point of view over chosen subject. The problem computer-trespass is complicated and has no simple solution to counteract that those crime happens. To catch those who carry out the crimes the law should be looked over and what concern the weak protection the computer- user must revise the protection.

Denna rapport beskriver de behov vilka ligger tillgrund för att skapa en IT-säkerhetsdatabas. Rapporten tar även upp olika IT-säkerhetsproblem och för en diskussion om vad som är faran med dessa problem. Diskussionen förs inom två områden rörande IT-säkerhet.Det ena området är om IT-säkerhet i allmänhet och tar upp begreppet CIA. CIA står för de engelska begreppen Confidentiality, Integrity och Availability och på svenska, sekretess, integritet och tillgänglighet.Den andra delen handlar om lite mer specifika IT-säkerhetsproblem, som till exempel virus och sniffing.På uppdrag av FOI är en databas, vilken är avsedd för att lagra information rörande IT-säkerhet, skapad. Rapporten tar upp en del grundläggande databasteori och beskriver designen och implementationen av databasen. Även hur databasen fungerar beskrivs.Slutligen förs en diskussion om uppnådda resultat och om möjlig framtida utveckling av databasen. / This report describes the needs which are the basis for creating an IT security database.The report also discusses various IT security issues and a discussion of what are the dangers of these problems. The discussion conducted in two areas relating to IT security.The first part is about IT security in general and addresses the concept of the CIA. CIA stands for the English concepts of Confidentiality, Integrity and Availability. The terms in Swedish are sekretess, integritet and tillgänglighet.The second part deals with some more specific IT security problems, such as viruses and sniffing.On behalf of FOI a database is created, which is designed to store information relating to IT security. It outlines some basic database theory and describes the design and implementation of the database. Also the functions in the database are described.Finally a discussion over the results achieved and the possible future development of database is carried out.

Information security is an essential part of all information systems; especially in large organizations and companies dealing with classified material. Every large information system has an architecture that includes many parts that together form an Enterprise Architecture. The aim of this thesis is to study how to describe several security functions in an Enterprise Architecture and also how to ensure accountability between requirements and the implementation of the security functions. The description is for stakeholders on a conceptual level rather than a technical level. The study has been carried out by comparing the theoretical framework that has been formed by a study of the literature, and the empirical framework that has been formed by a group discussion and interviews with Information Security Consultants from Combitech AB. The process of the study was to obtain a theoretical background about Enterprise Architectures and then generate prototypes that could be tested in the interviews. The tests gave suggestions regarding how to change the prototypes to find the optimal way to describe security functions on a conceptual level. The final result of this study is to use integrated views for each security function. The integrated view should include: an identifier, a brief description of the security function, the requirements and a picture or use case. For the accountability, the requirements are numbered and displayed in the picture, in this way the stakeholder can see how the requirements are fulfilled.