Mid Sweden University

Municipalities conduct a number of activities, which are important for bothcompanies and individuals. For that reason, cyberattacks can have far-reachingharmful consequences. It can affect individuals' integrity or the municipality's abilityto meet the residents needs for care, water or electricity, to give a few examples.Municipalities are therefore obliged by law to maintain satisfactory informationsecurity.As can be seen from previous studies, only a minority of the municipalities seem tohave satisfactory information security. While most others do not have it. This studyaims to investigate the level of municipal information security at present. It also aimsto investigate the factors that affect whether a municipality meets the legalrequirement for satisfactory information security, and whether it differs betweengroups of municipalities with different conditions.Previous studies highlight factors such as management’s responsibility forinformation security, risk awareness and the use of information security standards assuccess factors for municipal information security.A quantitative study was conducted where randomly selected municipalities fromtwo groups answered a question template. The results of the study indicate that aminority of the municipalities surveyed live up to the legal requirement forsatisfactory information security. Despite this, almost all of the municipalitiessurveyed carried out risk analyzes and information classifications.The study indicates that having management as responsible for information securityand that using information security standards are crucial success factors forinformation security work. The study also shows that it is likely that largercommuting municipalities near metropolitan areas have better information securitythan smaller rural municipalities. This is probably because they have greater access toresources and IT competent personnel.Based on the results of the study, recommendations can be given to municipalitiesregarding information security work. The municipal management should shoulderthe responsibility for information security and decide on an overall informationsecurity policy. Municipalities should also implement an appropriate informationsecurity standard, preferably the ISO 27000 series

Kommuner bedriver en rad verksamheter, som är viktiga för såväl företag somindivider. Av det skälet kan dataintrång och IT-attacker få långtgående skadligakonsekvenser. Det kan drabba individers integritet eller kommunens förmåga atttillgodose invånarnas behov av exempelvis vård, vatten eller el. Kommuner är därförenligt lagkrav skyldiga att upprätthålla en tillfredställande informationssäkerhet.Som framgår av tidigare studier tycks emellertid enbart ett mindre antal avkommunerna ha en god informationssäkerhet. Samtidigt som flertalet andra inte hardet. Den här studien syftar till att undersöka vilken nivå den kommunalainformationssäkerheten är på i nuläget. Den syftar också till att undersöka vilkafaktorer som påverkar om en kommun lever upp till lagkravet om tillfredställandeinformationssäkerhet, och om det skiljer sig mellan grupper av kommuner med olikaförutsättningar.Tidigare studier lyfter fram faktorer som b.la. att ledningen bär ansvaret förinformationssäkerheten, riskmedvetenhet och användandet avinformationssäkerhetsstandarder som framgångsfaktorer för kommunalinformationssäkerhet.En kvantitativ studie genomfördes där slumpmässigt utvalda kommuner ur tvågrupper besvarade en frågemall. Studiens resultat indikerar att en minoritet av deundersökta kommunerna lever upp till lagkravet om tillfredställandeinformationssäkerhet. Trots det genomförde nästan samtliga av de undersöktakommunerna riskanalyser och informationsklassificeringar.Studien indikerar att ha ledningen som ansvarig för informationssäkerheten och attanvända informationssäkerhetsstandarder är avgörande framgångsfaktorer förinformationssäkerhetsarbetet. Studien visar också att det är troligt att störrependlingskommuner nära storstadsområden har bättre informationssäkerhet änmindre landsbygdskommuner. Det beror troligtvis på att de har större tillgång påresurser och IT-kompetens.Utifrån studiens resultat kan rekommendationer ges till kommuner gällandeinformationssäkerhetsarbetet. Kommunledningen bör axla ansvaret förinformationssäkerheten samt besluta om en övergripandeinformationssäkerhetspolicy. Kommunerna bör även implementera en passandeinformationssäkerhetsstandard, gärna ISO 27000-serien.