Ensuring information security in IT projects

Abstract

Denne bacheloroppgaven tar sikte på undersøke prosjektlederens rolle i integreringen av informasjonssikkerhet i IT-prosjekter ved å gjennomføre forskning på arbeidet til erfarne prosjektledere hos det norske cybersikkerhetsfirmaet mnemonic. Oppgavens mål er å beskrive ”work practices” for hvordan prosjektledere bør inkludere informasjonssikkerhet i IT-prosjekter, med særlig vekt på risikostyring, ledelsesinvolvering og generelle utfordringer som bør tas i betraktning.

I studien benytter vi en kvalitativ single-case-tilnærming. Vi bruker data fra syv semistrukturerte intervjuer med prosjektledere hovedsaklig fra Governance, Risk and Compliance-avdelingen (GRC) i tillegg til mnemonic security services (MSS). Disse dataene blir brukt til analysering og diskusjon opp mot et teoretisk grunnlag.

Resultatene fra studien introduserer relevante og realistiske utfordringer som prosjektledere møter på, hvilke strategier og aktiviteter som kan utøves for å danne seg et korrekt risikobilde, samt betydningen av støtte fra toppledelsen.

Bacheloroppgaven konkluderer med forslag til praktiske tiltak for å bedre sikkerhetsrutiner i IT-prosjekter, herunder faktorer og faser i prosjektets livssyklus, viktigheten av verdikjedeanalyse, og behovet for å øke kundens bevissthet og kunnskapsnivå om informasjonssikkerhet. Det vil pekes ut muligheter for ytterligere forskning i relevante fagområder. Disse vil introduseres som forslag for tiltak og arbeid som kan utføres for å bryte ned prosessen med å implementere informasjonssikkerhet i IT-prosjekter.

This bachelor’s thesis explores the role of project managers in integrating information security into IT projects, focusing on the work practices of experienced managers at the Norwegian cybersecurity service provider, mnemonic. The purpose of the paper is to describe the work practices for implementing information security in IT projects, focusing on critical areas such as risk management, top-level management involvement, continuous improvement, and challenges they could face.

The study employs a qualitative single-case methodology, analyzing data from seven semi-structured interviews with project managers mainly from the Governance, Risk, and Compliance Department(GRC) in addition to mnemonic security services(MSS).

The findings provide insight into the challenges project managers face, strategies to integrate security measures, and the impact of support from top-level management. The paper concludes with practical recommendations for enhancing security practices in IT projects, focusing on the participation of top management throughout the project lifecycle, the importance of value chain analysis in risk management, and aligning awareness of information security within the client organization. The paper concludes by identifying future research opportunities, including standardization of practices and procedures in information security.