Informationssäkerhet är ett ämnesområde som berör hur olika typer av information ska hanteras på ett säkert sätt. En av de större utmaningarna berör hur de individer som arbetar med informationssäkerhet ska förmås att följa de regler, riktlinjer och rutiner som etablerats. Studien syftar till att studera detta fenomen närmare, och framförallt undersöka det uppföljande arbetet som sker kring de insatser som görs. Det görs inom en kontext av offentliga organisationer. Forskningsfrågan är: Hur arbetar svenska offentliga organisationer med (1) efterlevnad av riktlinjer inom informationssäkerhet och (2) hur mäts eller utvärderas detta? Studiens empiri består av 10 semistrukturerade intervjuer med centralt placerade personer från olika offentliga organisationer, samtliga med ansvar för verksamhetens informationssäkerhet. Data har analyserats med hjälp av teoribildning om organisatoriska rutiner varvid tre övergripande teman har identifierats: säkerhetsarbete, förändring och utvärdering. Studiens diskussion klargör att eftersom arbetet med efterlevnad av informationssäkerhet till stor del handlar om att utveckla rutiner som svarar mot de organisatoriska behoven måste praktiken ges ett tydligt företräde framför teorin. Det är med andra ord nödvändigt att utvärderingar och mätningar utformas så att dessa ges möjlighet att fånga upp faktiska förhållanden och inte endast policyer och riktlinjer. / Information security is a field that describes how different types of information should be handled in a secure manner. One of the major challenges concerns how the individuals working with information security should be encouraged to follow the rules, guidelines and routines which have been established. The study aims to study this phenomenon more closely, and above all, to examine how the different efforts made are evaluated. This is done within the context of public organisations. The research question is: How do Swedish public organisations work with (1) compliance with information security guidelines and (2) how is this measured or evaluated? The study's empirical data consists of 10 semi-structured interviews with centrally located people from different public organisations, all of whom are responsible for the organisation's information security. The data has been analysed with the help of theory of organisational routines whereby three themes have been identified: security work, change, and evaluation. The study's discussion clarifies that since information security compliance work is largely about developing routines that respond to organisational needs, practice must be given clear precedence over theory. In other words, it is essential that assessments and measurements are designed to capture actual conditions and not just policies and guidelines.
| Identifer | oai:union.ndltd.org:UPSALLA1/oai:DiVA.org:uu-504179 |
| Date | January 2023 |
| Creators | Jonsson, Sandra, Ekström, Vidar |
| Publisher | Uppsala universitet, Institutionen för informatik och media, Uppsala universitet, Företagsekonomiska institutionen |
| Source Sets | DiVA Archive at Upsalla University |
| Language | Swedish |
| Detected Language | Swedish |
| Type | Student thesis, info:eu-repo/semantics/bachelorThesis, text |
| Format | application/pdf |
| Rights | info:eu-repo/semantics/openAccess |
Page generated in 0.0084 seconds