This study aims towards analyzing how an organization within the Nordic financial industry handles strictly confidential data in an outsourced cloud service, as well as what information security challenges occur and what opportunities may arise. A case study was performed where qualitative semi-structured interviews were conducted and analyzed by using a content analysis in order to draw a conclusion based on our empirical data. Our results show that certain types of data lose all of its value as soon as it becomes public, this indicates that organizations must take precautions when handling such data. By classifying the different types of data the organization encounters around confidentiality, integrity and availability, as well as the business impact that it contains. Guidelines for how a certain class of data should be handled and protected can be established. For example, encryption, access control or other information security measures. Our results also show that controls are being used in order to ensure that the handling of strictly confidential data is performed in a secure way. Strictly confidential data is the highest level of confidentiality a certain type of data can possess, which indicates that it also has the highest amount of security. However, when protecting a specific type of data, the return on investment is an aspect that needs to be accounted for, in other terms a balance between the cost and the value of the data. Established frameworks such as NIST Cybersecurity framework, ISO 27001 and CIS 8 are also helpful when identiying, preventing and eliminating information security threats. Our results show that the organization strives to be CIS version 8 “level 2” compatible, which is good for the information security behind the handling of strictly confidential data. / Denna studie syftar till att analysera hur en organisation inom den nordiska finansbranschen hanterar strikt konfidentiell data i en utlagd molntjänst, samt vilka informationssäkerhetsutmaningar och möjligheter som kan uppstå. En fallstudie genomfördes där kvalitativa semistrukturerade intervjuer utformades och analyserades med hjälp av en innehållsanalys för att kunna dra en slutsats utifrån den insamlade empiri. Studiens resultat visar att specifika typer av data förlorar allt sitt värde om den skulle bli offentlig, detta indikerar att organisationer måste vidta försiktighetsåtgärder när de hanterar sådan data där detta utgör en risk. Genom att klassificera de olika typer av data som organisationen bemöter utifrån konfidentialitet, riktighet och tillgänglighet, samt den affärspåverkan som datan medför, kan riktlinjer för hur en viss typ av data hanteras och skyddas fastställas. Till exempel kryptering, åtkomstkontroll eller andra informationssäkerhetsåtgärder. Våra resultat visar också att kontroller används för att säkerställa att hanteringen av strikt konfidentiell data sker på ett säkert sätt. Strikt konfidentiell data är den högsta nivån av konfidentialitet en viss typ av data kan ha, vilket indikerar att den också har den högsta säkerheten. Vid skyddande av en specifik typ av data är “return on investment” en aspekt som måste beaktas, i andra termer en balans mellan kostnad och värdet av datan. Etablerade ramverk som NIST Cybersecurity framework, ISO 27001 och CIS 8 är också till hjälp vid identifiering, förebyggande och eliminering av informationssäkerhetshot. Våra resultat visar att organisationen strävar efter att vara CIS version 8 “level 2” kompatibla, vilket främjar informationssäkerheten i hanteringen av strikt konfidentiell data.
| Identifer | oai:union.ndltd.org:UPSALLA1/oai:DiVA.org:ltu-91258 |
| Date | January 2022 |
| Creators | Johansson, Axel, Nyman, Oskar |
| Publisher | Luleå tekniska universitet, Institutionen för system- och rymdteknik |
| Source Sets | DiVA Archive at Upsalla University |
| Language | Swedish |
| Detected Language | English |
| Type | Student thesis, info:eu-repo/semantics/bachelorThesis, text |
| Format | application/pdf |
| Rights | info:eu-repo/semantics/openAccess |
Page generated in 0.0023 seconds