prop · H40342 · 2016-11-14 00:00:00 — FOI anger i en rapport om informationssäkerhet och ekonomi att en stor del av forskningslitteraturen på området är av teoretisk karaktär och att det finns en märkbar avsaknad av utvärderingar av teoriernas praktiska tillämpbarhet. Det vore därmed enligt FOI angeläget att empiriskt undersöka vidare hur beslut om investeringar i informationssäkerhet görs i praktiken , vilka faktorer som inkluderas i bedömningar och vilka metoder som används. Det vore enligt FOI även relevant att undersöka vilka organisatoriska faktorer som kan spela in för synen på investeringar i informationssäkerhet och hur arbetet på området praktiskt går till.73 Den typen av uppgifter finns i andra länder som exempelvis där det regelbundet genomförs enkätundersökningar om informationssäkerhet. Undersökningarna berör bland annat kostnader för intrång och skydd, metoder för investeringar samt kontroll. uppskattades den genomsnittliga kostnaden för skydd mot intrång vara av olika organisationers IT-budget (i de fall där säkerhet är prioriterat).74 För att öka kunskapen om hur det ser ut i finansierade MSB ett projekt med uppdrag att undersöka kostnader för IT-incidenter i samhället. Målet med projektet var att bidra med ett ekonomiskt resonemang, så att fler aktörer kan arbeta systematiskt med säkerhet i sina IT-system för att uppnå en samhällsekonomiskt effektiv informationssäkerhet. Studien skulle även översiktligt beskriva befintliga kostnadsberäkningsmodeller för IT-incidenter på dels samhällsnivå, dels organisationsnivå. Projektet har arbetat med ett antal fallstudier över inträffade incidenter i syfte att visa hur en värdering skulle kunna ha gjorts, om det hade funnits 71Branzell, , , och : Kostnader för IT-incidenter i samhället, 2014, s. 2. 72MSB: Informationssäkerhet –trender 2015, s. 50 51. 73Hermelin, Karlzén och : Informationssäkerhet och ekonomi (3927), 2014, s. 50. 74Hermelin, Karlz«n och , Informationssäkerhet och ekonomi (3927), 2014, s. 51. RI KS R E VI S I O N E N 33 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R tillförlitlig information om samhällsekonomiska värderingar av externa effekter. Även om projektet har syftat till att finna relevanta uppskattningar för kostnader för IT-incidenter kunde man konstatera att det saknades på de flesta områden. Man kunde även konstatera att det är viktigt att kunna ta ett steg till och med hjälp av samhällsekonomiska kalkyler beräkna huruvida investeringar för att minska antalet incidenter är önskvärda eller ej. För att kunna göra det behövs ytterligare kunskap och metoder för att på ett sakligt sätt mäta samhällsekonomiska kostnader av störningar i IT-system.75 Vad erfar har MSB inte tagit något initiativ till fortsättning på denna studie fram . 3.3 Vad visade ESV:s rapport? Som ovan nämnts fick ESV i regleringsbrevet i uppdrag av regeringen att utveckla en modell för beräkningar av myndigheternas IT-kostnader och IT-investe- ringar. Syftet var att effektivisera användning av IT, skapa jämförbarhet samt ge möjlighet till överblick och återanvändbarhet. ESV fick i uppdrag av regeringen att fördjupa arbetet med jämförelser och även att fördjupa analysen av skillnader mellan olika myndigheter. ESV skulle även utarbeta förslag till regeringen på hur mätning och rapportering av de statliga myndigheternas IT-användning kan utvecklas och hur statsförvaltningens digitalisering kan följas upp. Detta kan bland annat omfatta hur statliga myndigheter ska mäta och rapportera effektiviteten i användningen av IT, IT-kostnader, strategiska IT-projekt och projekt med hög risk.76 ESV anför, som utgångspunkt för uppdraget, att det är rimligt utifrån kraven på intern styrning och kontroll i staten att myndighetsledningarna gentemot regeringen kan verifiera effektiviteten i myndighetens IT-verksamhet och redovisa, bedöma och motivera sin resursanvändning för IT i förhållande till annan verksamhet. Det handlar enligt ESV om att ha kunskap om den nytta som IT bidrar med i förhållande till vad det kostar, i första hand i den egna verksamheten men även i jämförelse med annan verksamhet. För att detta ska vara möjligt krävs ett gemensamt språk.77 I sitt arbete med uppdraget gjorde ESV, utöver att ta fram ett antal nyckeltal kopplade till IT-kostnader, också en kompletterande mätning av mognad inom inform- 75Branzell, , Kopsch, Norrstr¸m och : Kostnader f¸r IT-incidenter i samh¦llet, 2014, s. 4. 76Regeringsbeslut , N2015/738/EF: Uppdrag att fördjupa arbetet med jämförelser av it-kostna- der och att kartlägga it-projekt med hög risk. 77Ekonomistyrningsverket: Fördjupat it-kostnadsuppdrag, delrapport 2 – Kartläggning av it-kostnader (2015:58), s. 10. 34 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Mätningen var inriktad mot intern styrning och kontroll av IT-verk- samhet. ESV:s övergripande slutsats i rapporten är att myndigheternas interna styrning och kontroll av IT behöver utvecklas och stärkas. Ett första steg är att tydliggöra kraven på intern styrning och kontroll inom IT. xknappt hälften av myndigheterna har en aktuell och fungerande strategi för sin IT-försörjning av myndigheterna saknar helt en IT-försörjningsplan xbara knappt en tredjedel av myndigheterna har en styrning av processer inom förvaltning av system och projekt (portföljstyrning78) som används fullt ut xendast av myndigheterna har en beslutad modell för nyttohemtagning som efterlevs.79 ESV:s rapport innehåller förvisso ett antal nyckeltal för IT-kostnader överlag, dock inte för informationssäkerhet eller IT-säkerhet. Det finns alltså inte några uppgifter som möjliggör jämförelser mellan kostnader för informationssäkerhet eller IT-sä- kerhet i statsförvaltningen. 3.4Vilka uppgifter har granskade myndigheter kunnat lämna? har i denna granskning begärt uppgifter från de tre särskilt granskade myndigheterna om deras budget för arbete med informationssäkerhet . En av myndigheterna har tagit fram delar av vad har efterfrågat i form av budget för vissa projekt om informationssäkerhet och för säkerhetsstabens verksamhet. De andra två myndigheterna har inte kunnat förete något budgetmaterial eller kunnat uppvisa kostnader för arbetet med informationssäkerhet. Den ena myndigheten svarade följande på begäran: ”Det finns ingen separat budgetering för enbart informationssäkerhet. Anledningen till detta är att arbetsområdet grenar ut över hela myndigheten och det i kombination med komplexiteten i frågorna, gör det omöjligt att med säkerhet säkerställa budgetsiffrorna . Vidare är det en definitionsfråga vad som innefattas inom begreppet informationssäkerhet, vilket ytterligare försvårar. Möjligtvis att det går att påvisa ett antal individers involvering och kostnaden för dessa. Vi ser dock inget mervärde av en ej fullständig analys, då vi inte kommer att kunna ge en komplett återspegling av verksamheten.” 78pm3 är en förvaltnings- och portföljstyrningsmodell som används delsför enskilda förvaltningsuppdrag, dels för att hantera en organisations totala uppdragsportfölj när det gäller förvaltning och utveckling. 79Ekonomistyrningsverket: Fördjupat it-kostnadsuppdrag, delrapport 2 – Kartläggning av it-kostnader (2015:58), s. 6. RI KS R E VI S I O N E N 35 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Myndigheterna har således svårt att få fram en heltäckande bild av vilka resurser som läggs på informationssäkerhet. 3.5Vad har den kompletterande informationsinsamlingen visat? Det saknas uppgifter om myndigheters kostnader för informationssäkerhet, såväl för var myndighet för sig som för statsförvaltningen i sin helhet. Exempelvis kunde endast en av de djupt granskade myndigheterna förete delar av de uppgifter om budget för informationssäkerhetsarbete som har efterfrågat. Denna granskning visar alltså att myndigheter har svårt att visa upp en heltäckande bild av vilka resurser som läggs på informationssäkerhet. har därför uppdragit åt en konsult80 att undersöka kostnader för informationssäkerhet för statliga myndigheter. I detta kapitel redogör vi kortfattat för resultatet av denna undersökning. För att ta del av undersökningen i sin helhet hänvisar vi till elektronisk bilaga 4, som finns tillgänglig på webbplats . Undersökningen avser totalkostnader för proaktivt informationssäkerhetsarbete för tre anonymiserade statliga myndigheter.81 Reaktiva kostnader, det vill säga kostnader som uppstår när en händelse väl har inträffat, ingår inte i undersökningen då incidenter som rör informationssäkerhet varierar både i grad och komplexitet och därför inte går att beräkna på ett rättvisande sätt. Den proaktiva totalkostnaden är beräknad utifrån en modell som tar hänsyn till nedlagd arbetstid som på olika sätt kan hänföras till informationssäkerhet samt löpande kostnader för IT-säkerhetstek- nik och externa IT-tjänster. bedömer att modellen skulle kunna vara en utgångspunkt för att dela upp kostnader för informationssäkerheten på olika delar av en myndighet. Diagram 3.1 på motstående sida visar översiktligt hur modellen är uppbyggd. 80Radar Ecosystem Specialists. 81Dessa myndigheter är inte någon av de övrigt granskade myndigheterna. 36 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Diagram 3.1 Modell för beräkning av kostnader för informationssäkerhet Nedlagd arbetstid på informationssäkerhetsarbete för personal i olika befattningar och roller, som är involverade i informationssäkerhetsarbete för att ta fram, efterleva och utvärdera policy, ramverk och processer. Denna arbetstid återfinns framför allt inom verksamhetsprocesser, förvaltningsorganisation och IT- organisation. Kostnader för IT-säkerhetsteknik som kan härledas till system och applikationer som anskaffats i syfte att säkra verksamhetens information. Kostnader för externa IT-tjänster som går att härleda till tjänster i syfte att säkra verksamhetens information. Källa: Radar Ecosystem Specialists Undersökningen har visat att kostnaderna för proaktivt informationssäkerhetsarbete för de statliga myndigheter som ingått i undersökningen i genomsnitt uppgår till per verksamhet och år. Därav utgör IT-säkerhetsteknik den allra största delen, , motsvarande . Externa IT-tjäns- ter uppgår till , vilket motsvarar . Nedlagd arbetstid hänförlig till informationssäkerhet uppgår till , motsvarande . Sammanlagt står IT-säkerhetsteknik och externa IT-tjänster för mer än tre fjärdedelar av kostnaderna för informationssäkerheten vid de undersökta myndigheterna. Den genomsnittliga kostnaden för proaktivt informationssäkerhetsarbete – – motsvarar per sysselsatt. Skillnaderna mellan de undersökta myndigheterna är dock stor; kostnaden varierar mellan 13 809 och 29 159 kronor.82 Av tabell 3.1 på nästa sida framgår hur den genomsnittliga kostnaden fördelar sig inom myndigheterna. 82Detta beror på deras skilda uppdrag och storlek, vilket innebär att de genomsnittliga kostnaderna för proaktiv informationssäkerhet snarare bör betraktas som en orientering än en exakt jämförelse. RI KS R E VI S I O N E N 37 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Tabell 3.1 Fördelning av den genomsnittliga kostnaden per sysselsatt och år Källa: Radar Ecosystem Specialists. 38 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N 4Har regeringen skapat tillräckliga förutsättningar? Arbetet med informationssäkerhet på myndigheterna ligger inom ramen för det som kallas intern styrning och kontroll. Intern styrning och kontroll är en process som syftar till att en myndighets ledning ska se till att verksamheten bedrivs effektivt och rättsenligt, att den redovisas tillförlitligt och rättvisande samt att man hushållar väl med statens medel.83 4.1 Vad har regeringen gjort? Regeringen har utfärdat förordningar som syftar till att främja intern styrning och kontroll i statsförvaltningen: myndighetsförordningen och förordningen om intern styrning och kontroll. Även internrevisionsförordningen (2006:1228) syftar till detta. Regeringen har även bemyndigat MSB att utfärda föreskrifter inom området informationssäkerhet.84 Detta innebär att regeringen har delegerat ansvaret till myndigheternas ledningar i fråga om intern styrning och kontroll och till MSB när det gäller bestämmelser om ledningssystem för informationssäkerhet. Trots att ansvaret för intern styrning och kontroll ligger på respektive myndighets ledning har ändå regeringen ett ansvar för att styra myndigheterna. Denna styrning utövas av respektive myndighets huvudman i det departement myndigheten lyder under. Vi har i denna granskning undersökt i vad mån informationssäkerhet är föremål för styråtgärder gentemot de tre särskilt ingående granskade myndigheterna Arbetsförmedlingen, och Migrationsverket.85 4.1.1 Frågor om informationssäkerhet har varit aktualiserade Frågor om informationssäkerhet har aktualiserats i för alla tre myndigheter fram . Det har skett på olika sätt. En myndighet har i årsredovisningen bedömt att den interna styrningen och kontrollen hade brister i beredskapen för att hantera störningar i kritiska IT-system. För en annan myndighet har saken aktualiserats genom myndighetens risk- och sårbarhetsanalys. För en tredje myndighet har det skett genom att granskat en viss typ av ärendehandläggning.86 833 § myndighetsförordningen(2007:515) samt 2 § förordningen (2007:603) om intern styrning och kontroll. 8434 § förordningen (2006:942) om krisberedskap och höjd beredskap. 85Svar på skriftliga frågor ställda till huvudmännen för Arbetsförmedlingen, och Mi- grationsverket inkomna till den 17 och18 . 86Svar på skriftliga frågor ställda till huvudmännen för Arbetsförmedlingen, och Mi- grationsverket inkomna till den 17 och18 . RI KS R E VI S I O N E N 39 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R En förutsättning för att ska agera är att man blir underrättad av sin myndighet om sakernas tillstånd. Om en myndighet inte har redovisat något i fråga om intern styrning och kontroll av informationssäkerhet har inte vidtagit några åtgärder. Utöver vad som rapporterats i årsredovisningen för de tre särskilt djupt granskade myndigheterna är det inte mycket som myndigheterna informerar sina departement om när det gäller intern styrning och kontroll av informationssäkerheten. Två av departementen har inte heller efterfrågat någon information från myndigheten om dess interna styrning och kontroll av informationssäkerheten. Ett av departementen har uppgett att man har uppmanat sin myndighet att tydligare redovisa, konkretisera och mer tydligt definiera eventuella brister i informationssäkerheten i risk- och sårbarhetsanalysen. Detta skedde eftersom myndigheten i sin årsredovisning bedömt att informationssäkerheten, enligt modellen för intern styrning och kontroll, var bristfällig. Myndigheten redovisade sedan en risk- och sårbarhetsanalys som innehöll en mer detaljerad och omfattande beskrivning av informationssäkerheten. Övriga åtgärder som vidtagits i till följd av det som myndigheterna redovisat är främst att ta upp saken i den dialog som förs med myndigheten (två myndigheter), och i ett fall gav regeringen också i uppdrag till Statskontoret att analysera den interna styrningen och utvecklingsarbetet på en av myndigheterna.87 4.1.2 Regeringen skulle kunna ställa mer krav Ansvariga för informationssäkerheten vid två av de sex granskade myndigheterna anser att deras departement skulle kunna lämna mer stöd, inte minst i form av att ställa tydliga krav på säkerheten. En av de sex granskade myndigheterna anser att stödet är gott. Hur säkerhetsansvariga vid de övriga myndigheterna uppfattar stödet från sina departement har det inte gått att få någon entydig bild av.88 Det hänger naturligen samman med att det kan vara ganska långt mellan de ansvariga för informationssäkerheten och respektive departement. har också en roll i fråga om intern styrning och kontroll av informationssäkerheten. anordnar utbildning om de regelverk som styr intern styrning och kontroll för myndighetshandläggarna i . Dessutom har tagit initiativ till att fackdepartementen ska arbeta mer med frågor som rör intern styrning och kontroll vid styrningen av myndigheterna.89 Två av de här aktuella fackdepartementen har uppgett att de är nöjda med det stöd de får, från såväl som ESV, när det gäller intern styrning och kontroll av informationssäkerhet. 87Svar på skriftliga frågor ställda till huvudmännen för Arbetsförmedlingen, och Mi- grationsverket inkomna till den 17 och18 . 88Intervjuer på de sex myndigheterna. 40 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N uppger dock att det saknas stöd för vilken redovisning som bör efterfrågas och vilken nivå på informationssäkerheten som bör vara rimlig.90 4.1.3 Regeringen har dock ställt vissa krav på redovisning Till följd av tidigare granskning av informationssäkerhet i statsförvaltningen91 beslutade regeringen att i regleringsbrev ge ett uppdrag till de myndigheter som har ett särskilt ansvar för krisberedskapen92. Syftet var att regeringen skulle få en bättre lägesbild genom att myndigheterna i sin redovisning av arbetet med risk- och sårbarhetsanalys särskilt lyfter fram arbetet med informationssäkerhet.93 Uppdraget innebar att myndigheterna i arbetet med risk- och sårbarhetsanalyser skulle särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och i de tekniska system som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. I detta arbete skulle även informationssäkerheten inom myndigheternas ansvarsområde beaktas och analyseras. Myndigheterna skulle redovisa en bedömning av informationssäkerheten samt vilka åtgärder som är vidtagna.94 Det var således 45 myndigheter som fick detta uppdrag: 24 centrala myndigheter samt de 21 länsstyrelserna.95 Urvalet av myndigheter som fick i uppdrag att särskilt beakta och analysera informationssäkerheten omfattade endast de som har ett särskilt ansvar för krisberedskapen, vilket fick till följd att andra myndigheter som har särskilt skyddsvärd information inte kom att omfattas av uppdraget. 4.2 Vad har ESV gjort? ESV har regeringens uppdrag att bistå med det underlag regeringen behöver för att säkerställa att statsförvaltningen är effektiv och att den interna styrningen och kontrollen är betryggande.96 ESV utför sitt uppdrag att bistå regeringen genom att gå igenom årsredovisningar. ESV tar då del av de bedömningar om den interna styrningen och kontrollen är betryggande som ledningen, vid de myndigheter som omfattas av förordningen 90Svar på skriftliga frågor ställda till huvudmännen för Arbetsförmedlingen, och Mi- grationsverket inkomna till den 17 och18 . 91Informationssäkerheten i den civila statsförvaltningen (RiR 2014:23). 92Enligt 9 § tredje stycket förordningen (2006:942) om krisberedskap ochhöjd beredskap. 93Svar på skriftliga frågor ställda till huvudmännen för Arbetsförmedlingen, och Mi- grationsverket inkomna till den 17 och18 . 94Likalydande uppdragsbeskrivning regleringsbrev till de områdesansvariga myndigheterna enligt 11 § förordningen(2006:942) om krisberedskap och höjd beredskap. 95Enligt bilaga till förordningen (2006:942) om krisberedskap ochhöjd beredskap med förteckning över samverkansområden och myndigheter som har särskilt ansvar inom områdena. 962 § 1 förordningen (2010:1764) med instruktion för . RI KS R E VI S I O N E N 41 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R om intern styrning och kontroll, ska göra i anslutning till underskriften i årsredovisningen.97 Det rör sig om bedömningar från 67 myndigheter som tillsammans svarar för huvuddelen av utgifterna på statsbudgeten. Till detta kommer att ESV kontrollerar hur myndigheter efterlever de regler som finns på det ekonomiadministrativa området (EA-värdering). ESV undersöker också efterlevnad av intern styrning och kontroll genom en enkätundersökning av internrevisionen vid de 67 myndigheter som har en sådan.98 Allt detta rapporteras också publikt. ESV:s uppdrag har således en stödjande karaktär, inte övervakande. Det fulla ansvaret att se till att den interna styrningen och kontrollen är betryggande ligger på respektive myndighets ledning. Därför har ESV, förutom de ovan beskrivna åtgärderna, inte heller närmare följt upp den interna styrningen och kontrollen på myndigheter i statsförvaltningen. Statskontoret gjorde 2015 en analys av ESV. I den framkommer att myndigheter efterfrågar mer stöd från ESV när det gäller intern styrning och kontroll och att bedöma risker. Myndigheterna uttrycker att det behövs mer konkret handledning.99 instämmer i vad Statskontoret anfört om ESV. har ESV efterfrågat en större tydlighet från regeringen när det gäller frågor om intern styrning och kontroll. ESV har enligt inte tillräcklig insyn i tillståndet på respektive myndighet, och borde kanske kunna göra fler insatser för att främja en betryggande intern styrning och kontroll i statsförvaltningen.100 Som framgår av föregående kapitel saknas det en samlad bild av de kostnader som statsförvaltningen lägger ned på informationssäkerhet, vilket är en bristande förutsättning för de avvägningar som behöver göras mellan kostnader och nytta. 97Enligt 2 kap. 8 § förordningen (2000:605) om årsredovisning och budgetunderlag. 99Statskontoret (2015:15): Myndighetsanalys av , s. 64. 42 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Budgetlagen (2011:203) Myndighetsförordningen (2007:515) Förordningen (2000:605) om årsredovisning och budgetunderlag Förordningen om intern styrning och kontroll (2007:603) Förordningen (1995:1300) om statliga myndigheters riskhantering Förordningen (2006:942) om krisberedskap och höjd beredskap Förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap Säkerhetsskyddsförordningen (1996:633) MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10) MSB:s föreskrifterom statligamyndigheters risk-och sårbarhetsanalyser (MSBFS 2015:3) Departementspromemoria: Intern styrning och kontroll i staten (Ds 2006:15) : IT-kostnadsmodell – Ett första steg mot ett gemensamt språk (2014:50) : Fördjupat it-kostnadsuppdrag, delrapport 2 – Kartläggning av it-kostnader (2015:58). Myndigheten för samhällsskydd och beredskap: Informationssäkerhet – trender 2015 Regeringsbeslut (N2015/738/EF): Uppdrag att fördjupa arbetet med jämförelser av it-kostnader och att kartlägga it-projekt med hög risk : Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10) : Granskning av Statens pensionsverks interna styrning och kontroll av informationssäkerheten (promemoria 2005, dnr 31-2004-1295) : Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2005:27) : Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:24) RI KS R E VI S I O N E N 43 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R : Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006: 25) : Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:26) : informationssäkerhet (promemoria 2005, dnr 32- 2005-0717) : Granskning av interna styrning och kontroll av informationssäkerheten (revisionsrapport , dnr 32-2005-0655) : Post- och informationssäkerhet (revisionsrapport , dnr 32-2005-0738) : Löpande granskning av 2005 (revisionsrapport , dnr 32-2005-0714) : Försvarsmaktens styrning av informationssäkerhetsarbetet (revisionsrapport , dnr 32-2005-0551) : Löpande granskning av 2006 (revisionsrapport , dnr 32-2006-0700) : Informationssäkerheten i den civila statsförvaltningen (RiR 2014:23) Statskontoret: Myndighetsanalys av (2015:15) Branzell, , , och : Kostnader för IT-incidenter i samhället (, 2014) , och : Informationssäkerhet och ekonomi (3927), 2014