Informasjonssikkerhet i et samfunnsperspektiv

Master's thesis in Risk management and Societal safetyBakgrunn for denne oppgaven startet som en nysgjerrighet til informasjonssikkerhet og dette med sikring/Security. Det har vært mye oppe i media om hendelser fra flere bransjer og ønsket å se på dette med informasjonssikkerhet i min masteroppgave. Ønsket var å finne ut hvordan kan en få en bedre informasjonssikkerhet ved hjelp av styringsverktøyer som er presentert gjennom studie risikostyring og sikkerhetsledelse. Ønsket også å ha et fokus på sikring/security siden av sikkerhet, for denne må være med når en snakker om informasjonssikkerhet. Valget falt da på kraftbransjen og nettselskapene. Grunnen til at det ble kraftselskapene og da nettselskapene jeg ønsket å se på. Er deres samfunnsfunksjon som kritisk infrastruktur. Bransjen er kjent for å ha god redundans men det kan ramme mange om en ikke klarer å få strømmen ut til kundene, som er alt fra private til industri og offentlige virksomheter som sykehus, sykehjem og skoler. Formål med oppgaven er å vise viktigheten av å ha en helhetlig risikostyring av organisasjonene. I dette legger jeg at det er viktig å implementere informasjonssikkerhet inn i styringssystemet en har, for å få en helhetlig styring av risikoen. Teori valget i denne oppgaven er hovedsakelig hentet fra teorier rundt risiko, sikkerhet og sårbarhet. Metoden for denne oppgaven falt valget på en kvalitativ metode. Det ble utarbeidet et forskningsdesign som baserer seg på Blaikie (2010). Der det ble utarbeidet forskningsspørsmål som skulle hjelpe meg i å finne et svar på problemstillingen min. Det ble utført intervjuer og dokumentanalyser i oppgaven. Resultat har blitt en oppgave som viser at det er noen utfordringer når det gjelder informasjonssikkerhet. Utfordringene går på risikoforståelse, risikoanalyser og kunnskap rundt sikring/security. Konklusjon av denne oppgaven er at den gir ikke en oppskrift på en bestemt måte å drive med risikostyring på for å oppnå suksess. Den viser at en må jobbe systematisk med risikostyring, en må bruke de verktøyene som egner seg best for å få fram risikoene, som ligger under informasjonssikkerhet. Til dette har oppgaven vist at det er verktøy tilstede. Det kreves kjennskap til verktøyene som kan brukes innen risikoanalyse for å få en god risikostyring. I denne oppgaven var det noe som viste seg å gå igjen i alle intervjuer og dokumenter. Dette med sikringskultur dette ble et kjernefunn, sikringskultur er det en mangel på. Dette var ikke noe som jeg så for meg ville bli så framtredende, men det viser seg at dette er noe en må jobbe med i organisasjoner for å få. Det kan være vanskelig å ta informasjonssikkerhet og sikring/security delen av sikkerhet innover seg før en har en form for sikringskultur tilstede. Dette gir grunnlag for videre oppgaver rundt dette emnet informasjonssikkerhet