Mellan regelverk och praktik : En kvalitativ studie om GDPR:s påverkan på informationssäkerhetsarbete

Sammanfattning

Informationssäkerhet är en central del av IT-säkerhetsarbetet och går ut på att behålla konfidentialitet, integritet och tillgänglighet för informationen. GDPR är det huvudsakliga regelverk som reglerar informationssäkerheten för organisationer inom EU, men att efterleva de legala krav som ställs av GDPR blir allt mer komplext, samtidigt som behovet av adekvat informationssäkerhet blir allt mer relevant i en värld som blir mer och mer digitaliserad. Där tidigare forskning fokuserat på att undersöka hur GDPR förändrade befintliga organisationer och system, eller hur GDPR påverkar enskilda praktiker, ämnar denna studie att ge ett helhetsperspektiv på hur GDPR påverkar arbetet med informationssäkerhet. Studien har uppnått detta genom semistrukturerade intervjuer med personer som är aktiva inom området, som sedan har analyserats tematiskt och kontextualiserat med hjälp av TOE-ramverket. Resultatet visar på att GDPR påverkar informationssäkerhetsarbetet genom att det: kan ha en negativ påverkan på tekniska informationssäkerhetslösningar; kan skapa intressekonflikter vid kravhantering i relation till informationssäkerhetsarbetet; påverkar informationssäkerhetsarbetet genom att det blir en viktig del av organisationers övergripande strategi mot kunder; är ett hinder för små företag medan större företag kan nyttja det som en vägledning i deras informationssäkerhetsarbete. Resultat bidrar med konkreta exempel på hur GDPR påverkar arbetet med informationssäkerhet och lärdomar som kan dras för hur symbiosen mellan GDPR och informationssäkerhet kan förbättras och inom vilka aspekter.