Insiders – Del 1 av 3: Alla insiders är inte lömska spioner
Ordet ”insider” är för många laddat och förknippas med antingen insider-handel eller en kanske en insider som har ett ont och medvetet uppsåt – kanske till och med en spion från främmande makt som har nästlat sig in i organisationen.
Alla insiders är inte lömska spioner, men även ett omedvetet handlande kan innebära allvarlig risk för en verksamhet. Inte minst om man bedriver säkerhetskänslig verksamhet.
I den här artikelserien kommer vi även att belysa den ”klassiska” insidern, den som har en medvetenhet och ett uppsåt i sitt handlande, men vi börjar med den så kallade ”omedvetna insidern”.
Omedvetna insiders = Brister i personalsäkerheten
Hotet utifrån och hotet inifrån hänger ofta ihop. För att en aktör på utsidan ska kunna möjliggöra sin handling, oavsett om det handlar om rån, dataintrång eller terrordåd, behöver personen eller gruppen ofta hitta en svaghet eller säkerhetsbrist i den verksamhet som valts ut som ett mål. Den svagheten kan ofta vara människan i organisationen.
Här brukar man prata i termer om ”omedvetna och medvetna insiders”. Dessa är två helt olika typer av insiders, men bådas agerande kan snabbt resultera i svagheter i säkerhetsskyddet och personalsäkerheten och därmed även resultera i allvarliga säkerhetsincidenter.
En omedveten insider kan vara en person som helt enkelt är slarvig och lämnar en dörr öppen, tillåter en okänd eller obehörig att ”ta rygg” vid inpassering i en känslig zon, tappar sitt passerkort, delar med sig av en accesskod, slarvar med att följa uppsatta säkerhetsrutiner eller berättar om viktig information på bussen så att någon annan hör det.
Ofta är den omedvetna insidern dessutom väl medveten om säkerhetsrutiner och liknande, men kanske inte tycker att de känns viktiga, upplever dem som krångliga och väljer att ta genvägar eller helt strunta i dem och har inställningen att säkerhetsrutinerna gäller andra men inte en själv – något som därmed leder till risk för verksamheten och sårbarheter i de säkerhetskoncept som byggts upp.
En omedveten insider kan även vara en person som låter sig manipuleras till att hjälpa en hotaktör få tillträde till byggnader, information eller system genom att exempelvis falla för en riktad så kallad ”spear phishing”-attack och ladda ner malware på sin jobbdator som i sin tur är ansluten till företagets nätverk och affärskritiska system.
Fler exempel på denna typ av ovarsamhet kan vara:
- Att personen låter en annan person, som kanske ser ut att höra hemma i byggnaden, följa med in trots att byggnaden kräver särskild access.
- Att personen struntar i att installera viktiga säkerhetsuppdateringar på sin dator trots anmodan från IT-avdelningen.
- Att personen tappar eller förlägger en portabel hårddisk med känslig information och sedan struntar i att säkerhetsrapportera incidenten.
- Att personen accepterar vänförfrågningar i sociala nätverk från okända kontakter och som kanske även är baserade i ett risk-land.
- Att personen av ren okunskap eller av misstag lägger ut en film eller ett foto på sina sociala medier där känslig information exponeras.
Alla som arbetar inom verksamheter med identifierade skyddsvärden och/eller som verkar inom säkerhetskänslig verksamhet har ett ansvar att hjälpa varandra att bli bättre och hålla säkerheten uppe.
I del 2 i den här serien tittar vi närmare på den medvetna insidern och i kommande delar belyser vi olika typer av hot som en insider kan innebära för en verksamhet.