Fler regler räcker inte mot insiderhot

– Motståndskraft handlar om mycket mer än styrdokument, tekniska skydd och kontroller, menar Kenneth Pettersson.

En person på insidan kan ge en antagonist genvägen förbi verksamhetens skydd. Konsekvenserna kan bli att känsliga uppgifter röjs, säkerhetsåtgärder kringgås, metoder avslöjas eller beslut påverkas. I förlängningen kan också förtroendet för verksamheten eller till och med för statsförvaltningen skadas.

– Forskning och erfarenhet visar att det är ovanligt att personer tar en anställning i syfte att infiltrera en verksamhet, berättar Kenneth Pettersson. 

– Det är vanligare att en person utvecklas till insider under sin anställning.

Olika vägar till sårbarhet

Det finns många orsaker till att en medarbetare kan bli en säkerhetsrisk.

– Modern insiderprevention ser en insiderhandling som en process snarare än resultatet av en enskild sårbarhet, säger Kenneth Pettersson

– Avgörande faktorer är individens mottaglighet, stressorer och triggande händelser, men också alarmerande beteenden och den organisatoriska responsen.

Kenneth Pettersson menar att myndighetens eget agerande kan bromsa eller i värsta fall accelerera utvecklingen. Vad finns det då för signaler att vara uppmärksam på?

– Det kan till exempel handla om ekonomiska problem, delade lojaliteter, ideologiska motiv, hämnd eller en önskan om status.

– Det finns olika modeller som kan vara användbara som kompetenshöjande verktyg och som ger förståelse för vad man ska reagera på när man ser och hör någonting.

BESKT är ett exempel på en vedertagen modell. Du hittar en kort beskrivning i länklistan längre ner i artikeln.

Avsiktliga och oavsiktliga insiders

En insiderhandling behöver inte vara avsiktlig. Stress, okunskap, slarv eller social manipulation kan göra att en medarbetare oavsiktligt exponerar information eller andra skyddsvärden. Det kan också handla om att någon kringgår en säkerhetsregel för att till exempel hinna utföra sitt arbete.

– Jag försöker undvika att tala om insiders som en likformig kategori, säger Kenneth Pettersson.

– Den person som klickar på en länk av okunskap, den som kringgår regler för att hinna leverera i tid och den person som medvetet samarbetar med en illasinnad motståndare utgör tre mycket olika problem.

Organisationens agerande spelar roll

Insiderproblematik kan ses som en process där flera faktorer samverkar. Individens sårbarheter och situation har betydelse, men också hur organisationen reagerar på förändringar, problem och varningssignaler.

Det innebär att organisationens eget agerande kan bidra till att bromsa en negativ utveckling eller i värsta fall förstärka den.

Kenneth Pettersson menar att motståndskraft därför behöver byggas i flera lager. Organisationen behöver känna till sina skyddsvärden, förstå vilka funktioner som har tillgång till dem och arbeta med exempelvis behörighetsstyrning, utbildning och kontinuerlig uppföljning.

Men det behövs också förmåga att fånga upp problem tidigt.

En kultur där det går att berätta

En viktig del av det förebyggande arbetet är att skapa en miljö där medarbetare vågar berätta när något har hänt eller när de behöver hjälp.

Det kan handla om att kunna säga att någon har försökt ta kontakt, att man tror sig vara utsatt för påverkan, att man befinner sig i en svår situation eller helt enkelt att man har gjort ett misstag.

För att det förebyggande arbetet ska fungera behöver medarbetarna veta vad de ska reagera på, när de ska rapportera, vem de ska vända sig till och vad som händer när de berättar.

Här har organisationens kultur stor betydelse menar Kenneth Pettersson.

– Om den första reaktionen på ett misstag är att misstänkliggöra eller bestraffa kan tröskeln för att rapportera bli hög. Och motsatsen, respekt, stöd och psykologisk trygghet kan i stället bidra till att problem upptäcks tidigare.

”Säkerhet är allas ansvar”

– En stark säkerhetskultur skapas inte genom fler policydokument, säger Kenneth Pettersson.

– Den uppstår när säkerhet blir en del av vardagen hos samtliga medarbetare. Säkerhet är allas ansvar.

Kenneth Pettersson beskriver att god säkerhetskultur skapas genom vetskap om vad organisationen i praktiken efterfrågar, belönar, tolererar och hur organisationen handlar när någonting går snett.

Säkerhet blir då inte bara en fråga för säkerhetsfunktionen eller ledningen utan något som alla medarbetare behöver förstå och bidra till.

Målet är en verksamhet där det är svårt för en antagonist att hitta, påverka eller rekrytera en medarbetare, men också en verksamhet som snabbt kan upptäcka, rapportera och hantera ett försök om det ändå sker.

– En stark säkerhetskultur innebär att anställda känner ett gemensamt ansvar för säkerhet, avslutar Kenneth Pettersson.

– Att alla förstår varför säkerheten är viktig, att de vågar reagera när något inte verkar stå rätt till och att de känner tillit till att organisationen agerar när det behövs.