Abstract In recent years the number of attacks on critical infrastructure has not only increased substantially but such attacks have also shown higher sophistication. With the increasing interconnection of information systems it is common that critical systems communicate and share information outside an organization’s networks for many different scenarios. In the academic world as well as in existing security implementations, focus is placed on individual aspects of the security process - for example, network security, legal and regulatory compliance and privacy - without considering the process on the whole. This work focuses on solving this security gap of critical infrastructure by providing solutions for emerging attack vectors. Using design science research methods, a model was developed that seeks to combine these individual security aspects to form a complete security management process (SMP). This SMP introduces, among others theories of security topics, recommended best practices and a security organization structure. An instantiation of the SMP model was implemented for a large-scale critical infrastructure. This work introduces the system developed, its architecture, personnel hierarchy and security relevant workflows. Due to employed surveillance networks, specialized requirements for bandwidth utilization while preserving data security were present. Thus algorithms for solving these requirements are introduced as sub-constructs. Other focus points are the managerial aspects of sensors deployed in surveillance networks and the automatic processing of the sensor data to perform data fusion. Algorithms for both tasks were developed for the specific system but could be generalized for other instantiations. Verification was performed by empirical studies of the instantiation in two separate steps. First the instantiation of the SMP was analyzed as a whole. One of the main quality factors of the instantiation is incident response time, especially in complex scenarios. Consequently measurements of response times when handling incidents compared to the traditional system were performed in different scenarios. System usability was then verified by user acceptance tests of operators and administrators. Both studies indicate significant improvements compared to traditional security systems. Secondly, the sub-constructs communication optimizations and the data fusion algorithm were verified showing substantial improvements in their corresponding areas. / Tiivistelmä Viime vuosina kriittisiin infrastruktuureihin on kohdistunut merkittävästi aiempaa enemmän erilaisia hyökkäyksiä. Tietojärjestelmien välisten yhteyksien lisääntymisen myötä myös kriittiset järjestelmät kommunikoivat nykyään keskenään ja jakavat tietoa organisaation sisäisten verkkojen ulkopuolellekin. Akateemisessa tutkimuksessa ja turvajärjestelmien toteutuksissa on huomio kohdistettu turvallisuutta koskevien prosessien yksittäisiin piirteisiin, kuten esimerkiksi verkkojen turvallisuuteen, lakien ja sääntöjen noudattamiseen ja yksityisyyteen, miettimättä prosesseja kokonaisuutena. Väitöstutkimuksen tavoitteena on ollut ratkaista tämä kriittisten infrastruktuurien turvallisuusongelma tarjoamalla ratkaisuja, jotka paljastavat mahdollisia hyökkäysreittejä. Väitöstutkimuksessa kehitettiin suunnittelutieteellisen tutkimuksen avulla lähestymistapa, joka yhdistää yksittäiset turvallisuusnäkökohdat ja muodostaa näin turvallisuuden kokonaishallinnan prosessin mallin. Malli hyödyntää erilaisia turvallisuusteorioita, suositeltuja hyviä käytäntöjä ja turvallisen organisaation rakennemalleja. Mallista kehitettiin esimerkkitoteutus laajamittaista kriittistä infrastruktuuria varten. Tämä väitöskirja esittelee kehitetyn järjestelmän, sen arkkitehtuurin, henkilökuntahierarkian ja turvallisuuden kannalta relevantit työnkulkukaaviot. Työssä huomioitiin laajan valvontaverkoston edellyttämät erityisvaatimukset tilanteessa, jossa tietoturvallisuuden säilyttäminen oli tärkeää. Myös näiden erityisvaatimuksiin liittyvien mallin osien ratkaisualgoritmit esitetään. Muita työn tuotoksia ovat hallinnolliset näkökulmat, jotka on huomioitava, kun valvonnalle tärkeitä sensoreita hallinnoidaan ja sensorien tuottamaa dataa yhdistellään. Algoritmit luotiin esimerkkiympäristöön, mutta niitä on mahdollista soveltaa muihinkin toteutuksiin. Toteutuksen oikeellisuuden todentamisessa käytettiin empiirisiä ympäristöjä kahdessa eri vaiheessa. Ensiksi turvallisuusprosessin kokonaishallinnan malli analysoitiin kokonaisuutena. Merkittävä laatutekijä oli havaintotapahtuman vasteaika erityisesti monimutkaisissa skenaarioissa. Siksi työssä esitellään eri skenaarioiden avulla tapahtumanhallinnan vasteaikojen mittauksia suhteessa perinteisiin järjestelmiin. Tämän jälkeen järjestelmän käytettävyys todennettiin operaattorien ja hallintohenkilöstön kanssa tehtyjen hyväksymistestien avulla. Testit osoittivat huomattavaa parannusta verrattuna perinteisiin turvajärjestelmiin. Toiseksi verifiointiin mallin osien kommunikaation optimointi ja algoritmien toimivuus erikseen ja niissäkin ilmeni huomattavia parannuksia perinteisiin järjestelmiin verrattuna.

Large-scale infrastructure projects are risky ventures, often subjected to poor performance. Time and cost are often escalating beyond estimation while quality and benefits remain unchanged. However, little is known about the project performance in the district heating sector, which serves as basic infrastructure and plays an important role in regional energy transitions. This thesis aims to explore the project performance of large-scale infrastructure projects within the energy sector, particularly the district heating setting to enhance the knowledge of large-scale project performance, and further explore what factors contribute to explaining the performance of large-scale projects within this setting. To fulfil the purpose of this thesis, a multiple case study was conducted in a Swedish district heating setting. A review of relevant literature served as a complement to the primary data retrieved from the cases, laying a theoretical foundation for analysis. The empirical study consists of three parts. The first phase consisted of 18 interviews conducted with people at various positions within the case company to get a holistic picture of the problem and to select the nine cases focused on within this study. The second phase consisted of gathering qualitative and quantitative data on project performance, while the last phase consisted of nine in-depth interviews with the project managers of the nine selected projects. This thesis found a varying project performance, with a mean cost escalation of 12.9 percent and a time increase of 140 days on average. Similar to other studies, large-scale energy infrastructure projects have a tendency to fail rather than succeed when compared to the Iron Triangle criterias, cost, time and quality. Insufficient planning and procurement, weak leadership and ill-performing contractors are significant factors that have a large negative impact on performance. In addition, scope change, environmental context and luck are also shown to impact project performance. Limited evidence on whether political factors have a substantial impact on project performance has been found, in contrast to a large segment within earlier literature. Strong teamwork, both internally within the project team and externally with contracting parties can help neutralise any poor performance caused by any of the above-mentioned factors. The thesis contributes to the literature by discussing large-scale energy infrastructure performance. It is known that large-scale projects are complex and uncertain endeavours and by analysing project performance, knowledge can be enhanced not only on what went wrong but also on what went right. With a global sustainability transition and decarbonisation, energy infrastructure is going to experience large investments in the years to come. With this in mind, developing the most sustainable best practices and prudent project objectives can help project managers to embrace uncertainty and make the right decisions to enhance project performance. / Storskaliga infrastrukturprojekt är ofta riskfyllda, och levererar sällan i linje med uppsatta mål. Både projektens tid och kostnad eskalerar långt bortom de initiala estimeringar som gjorts medan kvalitén och investeringens förmåner förblir oförändrade. Fjärrvärmesektorn är en viktig del i Sveriges energisystem men behöver ständigt tackla dyra investeringar med låg lönsamhet. Syftet med denna uppsats var att undersöka storskaliga infrastrukturprojekt inom energisektorn, i synnerhet med fokus på fjärrvärme, för att öka kunskapen om projektens resultat gällande tid, kostnad och kvalité samt att utforska vilka faktorer som påverkar utfallet av storskaliga projekt i denna sektor. För att uppfylla syftet med denna studie så valdes en flerfallsstudie med en kombination av kvalitativ och kvantitativ metod tillsammans med en genomgång av relevant litteratur. Litteraturstudien fungerade som ett komplement till den projektspecifika informationen som samlades in och la grunden till det teoretiska ramverk som användes under analysen. Den empiriska studien bestod av tre delar. I den första delen utfördes 18 intervjuer med anställda på olika positioner inom företaget, syftet med dessa intervjuer var att få en holistisk bild av problemet samt att välja ut de nio projekt som analyserades vidare. Fokus för studiens andra del var att samla in kvantitativa och kvalitativa data för de nio projekten medan den sista delen bestod av intervjuer med projektledarna för de nio utvalda projekten. Studien visade på ett varierande resultat gällande projektens utfall där medelvärdet för kostnadsöverskridningar var 12,9 procent och medelvärdet för tidsfördröjningar var 140 dagar. I linje med tidigare studier så har storskaliga energiprojekt en tendens att misslyckas gällande att uppfylla både tidoch kostnadskriterier. De främsta faktorerna som påverkade projektens utfall var otillräcklig planering, en ofördelaktig inköpsstrategi, svagt ledarskap samt entreprenörer som presterade dåligt. Utöver dessa så påverkade även förändringar av projektets omfattning, projektets omgivande kontext och ren och skär tur projektens utfall. Politiska faktorer var ej en framträdande faktor i denna studie, till skillnad från tidigare litteratur där politiska faktorer ofta är i fokus. En sammansvetsad projektgrupp, både internt och externt med avtalade parter, visade sig kunna neutralisera de ovan nämnda faktorerna så att det övergripande utfallet ändå blev bra. Storskaliga energiprojekt är både komplexa och osäkra investeringar. Genom att studera projekts utfall och prestation kan insikter fås inte bara kring vad som gick fel utan också kring vad som gick rätt. Stora investeringar kommer att krävas inom energisektorn under kommande år för att möjliggöra den hållbara omställning som krävs på global nivå. Att etablera bra och hållbara metoder med försiktiga projektmål kan hjälpa projektledningen att flytta fokus från att minimera riskerna till att istället omfamna osäkerheten och fatta rätt beslut på bra grunder.