Det var ett bistert budskap som statsminister Ulf Kristersson levererade efter mötet med det nationella säkerhetsrådet den 24 januari i år. ”Sverige är i ett utsatt läge och de säkerhetspolitiska förutsättningarna är de svåraste sedan andra världskriget”.

Vad ligger då bakom denna bedömning? Och vad innebär den för oss?

Om Rysslands militära operationer i Georgien, på Krim och i Ukraina

”Först och främst handlar det om relationerna mellan Ryssland och västvärlden. Ryssland visade redan vid det korta kriget med Georgien 2008 att den ryska ledningen var beredd att ta till militära medel för att driva igenom sin politiska vilja.

Strax efter kriget i Georgien påbörjades också en mycket omfattande militärreform i Ryssland med målet att markant öka den ryska operativa militära förmågan.

Det ska också i detta sammanhang nämnas att Ryssland använder både militära metoder och icke-militära metoder (exempelvis cyberkrigföring, politiska och ekonomiska påtryckningar och desinformation) för att påtvinga en motståndare sin politiska vilja.

Annekteringen av Krim 2014 och invasionen av Ukraina i februari 2022 visade återigen att Ryssland inte respekterade internationella avtal och den säkerhetsordning som under många år reglerat relationerna mellan de europeiska länderna.

Nu, ett knappt år efter det att invasionen inleddes, visar det sig att Ryssland inte förmått att bryta den ukrainska motståndskraften och att president Putin ännu inte lyckats nå sina politiska mål. Den ryska ledningen har således missbedömt både den ukrainska försvarsförmågan och västvärldens stöd till Ukraina.

Vi måste dock räkna med att president Putins mål med kriget är oförändrade, helt enkelt av den anledningen att det inte finns något annat realistiskt alternativ.

Beslutet som nyligen togs om stridsvagnsleveranser till Ukraina har naturligtvis stor betydelse rent militärt men det är samtidigt ett mycket tydligt budskap till Moskva om att västvärlden står enad på Ukrainas sida.

Kriget i Ukraina handlar egentligen om värden. På ena sidan står Ryssland som hävdar den starkes rätt att värna sin egen säkerhet på andras bekostnad. På den andra sidan står den europeiska säkerhetsordningen som garanterar gränsers okränkbarhet och alla länders rätt att bygga sin säkerhet och att göra sina säkerhetspolitiska val.

Idag är relationerna mellan Ryssland och västvärlden havererade på strängt taget alla plan och det är mycket svårt att se att en stabil och fredlig samexistens kan återupprättas i överskådlig tid.”

Om västvärldens sanktioner och påtryckningar

”Det internationella trycket på Ryssland är massivt och många menar att de nio sanktionspaket som hittills beslutats kommer att få full effekt och drabba landet hårt under 2023. Ytterligare sanktioner kommer att införas i närtid.

Vad detta kommer att innebära återstår att se, men det går inte att utesluta risken för radikala inrikespolitiska förändringar. Det vore oklokt att inte redan nu förbereda oss för ett sådant scenario med allt vad det kan innebära.

Förutom konsekvenserna och riskerna som är relaterade till kriget i Ukraina så måste vi också vara beredda att hantera den uppkomna problematiken som är kopplad till vår ansökan om Nato-medlemskap.

Reaktionerna i Turkiet och i delar av den muslimska världen efter koranbränningen mm kan komma att drabba oss både i Sverige och mot svenska intressen i utlandet. Risken för desinformation och propaganda riktat mot oss ökar.”

Om hoten mot Sverige

”Vi får inte heller glömma det ökade underrättelsehotet som fortfarande är riktat mot landet. Säpo har under de senaste åren varnat för att ett 15-tal länder spionerar, med olika syften, mot Sverige och mot svenska intressen i utlandet. Ryssland, Kina och Iran har pekats ut.

Det finns skäl att påminna om att det, förutom de ovan utpekade länderna, finns ytterligare tolv länder. Turkiet ingår med all sannolikhet i denna grupp eftersom man både är intresserade av frågor som har att göra med vår Nato-ansökan och har dessutom behov av att kartlägga turkiska dissidenter i vårt land.

Till följd av kriget och sanktionerna lider Ryssland brist på bland annat tekniska komponenter och kompetens vilket kan leda till att underrättelsehotet ökar.

När det gäller Kina så finns det skäl att påminna om att landet, bland annat genom intrång i IT-system, stjäl tekniska innovationer och lösningar. Man har inom ramen för projekt som till exempel Made in China 2025 ambitionen att den kinesiska industrin ska bli världsledande inom ett flertal områden.

För att tillskansa sig teknisk kompetens köps också teknikföretag i utlandet upp. Ett annat sätt att öka den tekniska kompetensen är att placera partilojala studenter och forskare vid olika lärosäten, inte minst i vårt land.

Chefen för Säkerhetspolisen lyfte, vid Folk och Försvars Rikskonferens, upp tre områden som nu bör ägnas särskild uppmärksamhet i säkerhetsarbetet nämligen energi, telekom och kritiska leveranser.

Förutom detta bedömer Säkerhetspolisen att vi har ett högt terroristhot i Sverige där högerextremistiskt och islamistiskt motiverad terrorism bedöms utgöra det främsta attentatshotet mot landet.

I vårt land har vi ett jämförelsevis lågt säkerhetsmedvetande. Vi är ofta aningslösa, godtrogna eller rent av naiva. I den situation som vi nu befinner oss i har vi inte råd med detta.

Att inte ägna säkerhetsskyddsfrågona tillräcklig uppmärksamhet är riskfyllt. Att inte uppfatta de hot och risker som finns innebär att man kommer i efterhand och det kan leda till allvarliga konsekvenser.

Vi måste vidta åtgärder för att möta den situation som statsministern varnade för.”

SRI:s rekommendationer till ansvariga inom verksamheten

SRI rekommenderar både myndigheter, offentliga verksamheter och privata företag att se över och vid behov reviderar sin säkerhetsskyddsanalys, verksamhetens hotbeskrivning och dess säkerhetsplan – detta för att möta det ökade och ökande hotet från antagonister och statsaktörer.

Dessa dokument kan ha några år på nacken och av den anledningen behöva ses över. Dokumenterade aktiviteter, förbättringsområden och sårbarhetsreducerande åtgärder kan behöva omprioriteras.

Chefer, ledningar och styrelser bör även prioritera att initiera översyn av personal-, informations- och fysisk säkerheten. Först när det är balans mellan dessa tre områden kan säkerhetsskyddet anses vara gott.

Kritiska befattningsinnehavare, som exempelvis säkerhetsskyddsansvarig och informationssäkerhetsansvarig, kan även behöva mer tillgång till ledningsfunktionen och/eller kraftigt utökade resurser för att kunna lösa sin uppgift på ett optimalt och behovsanpassat sätt.

Dessa kritiska kompetenser och befattningsinnehavare behöver också, i ökad utsträckning, utbilda den övriga organisationen, orientera och löpande uppdatera ledningsfunktionen och ledningsgrupp om lägesbild, hotbild samt instruktioner och rutiner. Man bör även tänka igenom var de svagaste länkarna i säkerhetsskyddet finns och vilka åtgärder som ska vidtas.

Fördjupad läsning om personalsäkerhet och säkerhetsskydd:

• Personalsäkerhet – vad är det?
• Är förebyggande säkerhetsarbete riktat mot personella risker värt kostnaden?
• SRI:s checklista för att reducera risk och öka compliance inom personalsäkerhet
• Volatilt säkerhetsläge i Europa: Snabbguide till ökad säkerhet i verksamheten
• Säkerhetspolisens vägledningar inom säkerhetsskydd

Nu i januari skärptes kontrollerna i verksamheter som bedriver säkerhetskänslig verksamhet och brister i säkerhetsskydd och personalsäkerhet kan då bli en kostsam historia. Regeringen gav tidigare i år Försvarsmakten och Säkerhetspolisen i uppdrag att etablera ett nytt tillsynssystem inom säkerhetsskyddsområdet och det är nu något som träder i kraft.

Tillsynssystemet innebär i praktiken att verksamhetsutövare som innehar SUA-avtal får ett betydligt större ansvar för att utöva tillsyn och rapportera brister i det egna leverantörsledet.

”Det saknas ofta flera viktiga pusselbitar inom området Personalsäkerhet, många arbetsgivare kommer snabbt behöver göra insatser för att både följa lagen och samtidigt undvika viten,” berättar Erica Eriksson, Affärsområdeschef för Säkerhetsskydd på SRI.

Ericas erfarenhet är att många organisationer upplever utmaningar kopplat till att implementera dessa nya processer och få ihop helheten.

”Om man stannar upp, reflekterar och sätter tydliga processer som kommuniceras innan man börjar med exempelvis säkerhetsprövningar har man mycket att vinna. Dels vinner man medarbetarnas förtroende och minskar risken att hamna i diskrimineringsärenden. Dels kan man kan tydligt se att alla lagstyrda komponenter är på plats, som exempelvis uppföljande säkerhetsprövning och utbildning.”

Parallellt med den ökade tillsynen kan verksamheter som brister i säkerhetsskyddet åläggas viten på upp till 50 miljoner kronor.

”Det positiva är att det finns lågt hängande frukt gällande de insatser som krävs för att linjera med lagkrav och därmed även undvika dessa hissnande vitesbelopp. När vi tar oss an ett nytt uppdrag brukar det börja med en ordentlig inventering av vad som finns på plats, vad som saknas och var bristerna är mest akuta.”

SRI har tagit fram en heltäckande verktygslåda inom säkerhetsskydd. Den täcker in allt ifrån policy-dokument och verktyg för chefer som ska arbeta med säkerhetsprövning till digitala utbildningar inom säkerhetsskydd, som underlättar vid kontroll från tillsynsmyndigheter och minimerar tidsåtgång för alla inblandade.

”Just kombinationen av strategiska och operativa insatser som kan sjösättas parallellt har visat sig vara mycket effektivt. På ledningsnivå är man mån om både tids- och kostnadsaspekten och vi kan på detta sätt värna om båda,” avslutar Erica.

Den senaste tidens utveckling i Europa har onekligen väckt många tankar kring de hot och risker som vårt samhälle står inför. Den oroväckande takt som hotbilden har utvecklats kan även sätta press på verksamheter att implementera säkerhetsåtgärder och rutiner här och nu (kanske helst igår).

I den här artikeln pratar vi med SRI:s säkerhetsexpert Erica Eriksson om hur en löpande öppen dialog och ett långsiktigt och strategiskt arbete kring säkerhetskultur är väsentligt för att stärka organisationer.

Delad värdegrund en framgångsfaktor – och värdegrund kopplat till säkerhet är inget undantag

Ny forskning från Försvarshögskolan, Universitetet i Bergen och andra lärosäten har visat att anställda som delar sin organisations värdegrund är en framgångsfaktor. Medarbetaren blir både bättre på sina tilldelade uppgifter och på att fånga upp problem på arbetsplatsen. Med andra ord ökar produktiviteten och anställda kan lättare identifiera potentiella brister i säkerheten.

Men, när organisation och medarbetare inte delar värdegrund bäddar det för problem som inte bara påverkar säkerheten i den egna verksamheten, utan ibland även säkerheten för samhällsviktig verksamhet i Sverige. Närtida exempel på detta är bland annat: 

• En läkare vid Danderyds sjukhus ertappades med att ge ovetenskapliga råd till patienter. Under gruppövningar ska patienter bland annat ha uppmanats “detoxa med hjärtat och att suga näring ur jorden”. Kliniken tar avstånd från den numera före detta anställdas handlingar och förespråkar beprövad behandling med tydlig vetenskaplig förankring.
• En banktjänsteman utnyttjade sin position vid en av Sveriges största banker för att tillsammans med en mäklare tvätta hundratals miljoner kronor åt det så kallade ”Södertälje-nätverket”. Polisen misstänker att banktjänstemannen tagit emot en summa pengar från det kriminella nätverket som ersättning för att bevilja lån som banken annars hade avslagit.
• Personer med kriminella kopplingar misstänks ha fått anställning inom Kriminalvården. Myndigheten misstänker att personerna i fråga sökt sig till kriminalvården med syfte att infiltrera organisationen och att deras lojalitet från början legat hos de kriminella kontakterna.

Vad innebär säkerhetskultur och hur bygger man en bra kultur?

Erica Eriksson, Affärsområdeschef för Säkerhetsskydd på SRI, menar att det är direkt avgörande för en välfungerande säkerhetskultur att medarbetarna vågar räcka upp handen om något gått fel.

”Det är viktigt att få medarbetare att förstå att de, genom att vara vaksamma och genom att de vågar räcka upp handen och rapportera, hjälper till att täppa till säkerhetsbristerna. Att uppmärksamma hot är en viktig förutsättning för att stärka verksamheten.”

“Säkerhetskultur handlar om att förstå vad som är viktigt, om att sätta laget före jaget. Att ha ett metaperspektiv på sitt agerande och höja blicken, till exempel att se Sveriges perspektiv och därtill verksamhetens del i Sveriges säkerhet,” säger Erica och fortsätter:

“En och samma individ kan vara olika benägen att rapportera fel på olika arbetsplatser eftersom det ”kostar” olika mycket för den enskilde. Individen är viktig, men miljön är väsentlig. Det är där säkerhetskultur och värdegrund uppstår.”

Hur bör man arbeta för att främja och utveckla en stark säkerhetskultur i verksamheten?

Ericas erfarenhet är att kommunikation mellan ledning och medarbetare är en grundpelare. Erica berättar även att utbildning är en nyckelfaktor i säkerhetsarbetet eftersom medarbetaren måste förstå vad den ska göra, när den ska göra det och inte minst, varför den ska göra det.

“Det är en vanlig missuppfattning att säkerhetsskyddschefen är den enda som måste ha kunskap om säkerhet, men det är inte bara chefen som bedriver säkerhetsarbetet, utan allas arbete är en del av säkerhetskulturen.”

“Oavsett vad för verksamhet man bedriver måste man tänka på vad som är skyddsvärt för den egna verksamheten. Allt kan handla om företagets överlevnad, därför borde man kartlägga vad som är företagets kärnvärden. Det kan handla om att öka försäljning eller att vara restriktiv med att prata med utomstående. Då visar man skyddsvärda områden för organisationens inre liv och man bör öka förståelsen för hur viktigt det är att skydda sin egen information. I grunden handlar det om att bygga förståelse för varför man bör skydda saker.”

“De verksamheter som har en bra säkerhetskultur är transparenta med sina medarbetare, informerar om åtgärder och är noga med att få medarbetarna att känna sig inkluderande. Värdegrund är stort, vitt begrepp, men man kan säga att “öppenhet” är en värdegrund i organisationen.”

Hur relaterar arbetet med säkerhetsprövningsintervjuer till värdegrund och kultur?

Erica berättar att för de verksamheter som omfattas av säkerhetsskyddslagen är säkerhetsprövningsintervjuer en viktig del i säkerhetskulturen eftersom medarbetarens potentiella sårbarheter kartläggs.

”Sårbarheter är kontextuella och det är först när man undersökt kombinationen av en person och en viss verksamhet som risker blir tydliga.”

“Vid intervjuer är det viktigt med en mänsklig dialog där individen respekteras. Det är ett samtal, inte ett förhör. Medarbetaren ska förstå innebörden av sin roll samt riskerna som tjänsten innebär och hur dessa kan minskas. Målet är att personen ska motiveras att själv vara delaktig i intervjun och säkerhetsarbetet. På så sätt byggs en säkerhetskultur hos individen.”

Vad är utmärkande för en bristande säkerhetskultur?

Erica menar att det finns flera saker som utmärker en bristande säkerhetskultur.

“Det är svårt att få bra säkerhetskultur i verksamheter som har en “blame-kultur”, där medarbetare skyller på och bryter ner varandra, då vågar man inte ta ansvar. Därför är det oerhört viktigt att lyfta och hjälpa varandra.”

“Om vi litar på varandra så märker vi när något händer i den andres liv. Om vi har förtroende så vågar vi även ställa frågor som ”Vad händer i ditt liv? Hur mår du egentligen?” De samtalen behöver vi på arbetsplatsen, speciellt nu, och även tidigare under pandemin. Men det måste komma från ett genuint intresse. Det kan inte vara så stolpigt och formellt. Det bygger ingen säkerhetskultur.”

Så kan du stärka säkerhetskulturen i din verksamhet

• • Påminn verksamheten om vad som händer säkerhetsmässigt. Håll intresset uppe i form av cykliska påminnelser. Lägg exempelvis in en punkt på månadsmötet som heter “säkerhet”. Det gör att säkerhetsfrågor hela tiden är “top of mind”.
  • Reflektera över verksamhetens kärnvärden. Vad vilar organisationens existens på? Låt det vägleda resten av säkerhetsarbetet.
  • Upplys medarbetarna, bygg förståelse kring varför. Medarbetare har större förutsättningar att lyckas med sitt eget arbete när de förstår hur rutiner, utbildning, kommande ändringar härleds till säkerhetsarbetet.
  • Fostra ett öppet diskussionsklimat och våga fråga. Motverka “blame”- och tystnadskultur eftersom ingen tjänar på att brister går orapporterade.

Det har säkert inte undgått någon att Ryssland nu har inlett en fullskalig invasion av Ukraina. Vi har alla läst och följt utvecklingen sedan december 2021 och många har kanske även följt utvecklingen i Ukraina sedan annekteringen av Krim 2014.

Historien och det som händer nu går dock längre tillbaka än så men det är inte det vi ska fokusera på i den här guiden. Vi ska fokusera på vad det innebär för verksamheter i Sverige, för er verksamhet och inte minst – hur verksamheten kan skyddas.

I den här snabbguiden och våra checklistor för chefer och medarbetare nedan delar vi med oss av insatser som kan hjälpa er att snabbt öka säkerheten i er verksamhet.

Där situationen nu befinner sig, med invasionen som ett faktum och som i sin tur utlöser utlovade sanktioner från väst, så finns det saker för Sverige och svenska organisationer att beakta och ta på största allvar. Omvärldsbevakningen som vi redogör för nedan är en sammanslagning av många källor som vi följer och granskar.

• I och med att en fullskalig invasion nu skett är det mycket sannolikt att USA, EU och därmed även Sverige svarar med långtgående och betydande sanktioner. Syftet med dessa sanktioner – som kommer slå mycket hårt mot den ryska ekonomin, ryska företag och även enskilda individer – är att reducera den militära linjen och begränsa konsekvenserna som den skulle innebära för Ukraina. Sanktionerna syftar ytterst till att förmå Ryssland att fokusera mer eller enbart på de diplomatiska samtalen igen.
• I ett sådant scenario, är det hög risk att Ryssland väljer att svara på sanktionerna. Detta genomförs sannolikt genom asymmetriska attacker.
• Ett 15-tal länders underrättelsetjänster och andra statliga myndigheter med ansvar för omvärldsbevakning varnar nu för att hotbilden är kritisk mot den samhällskritiska infrastrukturen i dessa länder. Syftet med dessa är att få reducerade sanktioner.
• Skulle dessa asymmetriska attacker återigen mötas av ökade sanktioner eller andra typer av motåtgärder så är det möjligt att situationen eskalerar till andra betydligt mer allvarliga scenarier. Dessa är ännu inte redogjorda för i detalj så därför redovisar inte heller vi något på den linjen ytterligare.

I Sverige handlar det nu om att tempoväxla, prioritera och se över sitt hus

En del verksamheter har arbetat i många år på ett proaktivt sätt och kanske behöver vidta begränsade riskreducerande åtgärder. Andra kanske inser först nu att det finns saker som borde ha gjorts, men som ännu inte hunnits med. De goda nyheterna är att det finns en del ”lättplockad frukt” för att snabbt öka säkerheten och säkerhetsmedveten i verksamheten.

Det samlade rådet från flera olika säkerhets- och underrättelsetjänster samstämmigt: Om din verksamhet är en del av den samhällskritiska infrastrukturen är ni ett sannolikt mål från nu och framåt. Detta på ett sätt ni inte var igår. Denna rekommendation gäller även hela leverantörskedjan och hotet är mest sannolikt i form av cyberattacker och kommer då som digitala attacker mot IT-system.

Hotet varierar beroende på vad inom den samhällskritiska infrastrukturen man är en del av och det är sannolikt nu hög risk att det största hotet finns inom energi-sektorn. Detta på grund av att det nu blivit känt att Tyskland avbryter den fortsatta utbyggnaden av
Nord Stream 2. Det är fortfarande vinter och kallt, elpriserna runtom i Europa är redan höga – därför skulle det ge maximal effekt och god utdelning för en angripare att rikta in sig mot just energi-sektorn.

I och med den rådande situationen och den utveckling som sker kan det även hända att personal som tidigare inte utgjort ett hot plötsligt börjar agera illojalt.

Checklista för chefer:

• • Repetera säkerhetsrutiner med din organisation och påminn om vilka rutiner som gäller kopplat till access till fysiska utrymmen, hantering av information och i synnerhet känslig information, vad som gäller vid arbete i system och med exempelvis mailkommunikation.
  • Fundera på om någon medarbetare senaste veckorna eller dagarna börjat avvika från sina tidigare sätt att vara och uppträda.
  • Var extra vaksam på avvikande beteenden, både personellt, digitalt och i exempelvis systemloggar. Säkerställ att systemloggar kan övervakas och att avvikelser kan upptäckas och hanteras på ett effektivt sätt så att leder till snabb åtgärd.
  • Var extra uppmärksamma kring avvikande funktionalitet och händelser i IT-system – och uppmana personalen att rapportera in dessa händelser.
  • Ha låga trösklar för att eskalera och vidta åtgärd, kalla till samtal etc.

Checklista för medarbetare:

Generellt:

• • Om du har hamnat i en situation eller har agerat på ett sätt som kan innebära en risk, prata med din säkerhetsansvariga eller din närmaste chef.
  • Om du misstänker att någon av dina kollegor har hamnat i en situation eller agerar på ett sätt som kan innebära en risk, prata med din säkerhetsansvariga eller din närmaste chef.
  • Om du är osäker på din verksamhets interna säkerhetsrutiner ser ut, ta reda på vad som gäller.
  • Säkerhetsrapportera hellre en gång för mycket än en gång för lite. Säkerhetsrapportering görs vanligtvis till säkerhetsavdelningen eller till närmaste chef.

Lokaler och fysisk säkerhet:

• • Var en gatekeeper! Släpp inte in obehöriga i byggnaden, särskilt inte i säkerhetskänsliga delar av byggnaden.
  • Om du är osäker på om en person är behörig att vara i aktuell lokal eller ej, fråga personen. Vid misstanke om att något inte står rätt till, konfrontera personer som beter sig misstänkt och säkerhetsrapportera.
  • Om du ser något avvikande eller reagerar på något som avviker tveka inte att rapportera det enligt era interna rutiner.
  • Om du tror att någon obehörig varit i lokalen meddela din chef eller säkerhetsansvarige.
  • Lämna aldrig dörrar eller portar uppställda utan uppsikt.
  • Håll koll på ditt passerkort och dina koder och låna inte ut dem. Anmäl om du tappat bort ditt passerkort.
  • Byt inpasseringskod omedelbart om du tror att någon annan hört eller sett den.

IT och informationssäkerhet:

• • Om du blir uppmanad av exempelvis IT-avdelningen att installera säkerhetsuppdateringar på din telefon, dator eller annan enhet – gör det så snart som möjligt.
  • Använd inte privat utrustning och privata molntjänster för arbetsrelaterade uppgifter – om det inte är avtalat och godkänt av arbetsgivaren.
  • Var extra uppmärksamma kring avvikande funktionalitet och händelser i IT-system – och rapportera in misstänkta händelser.

Lästips om säkerhet i verksamheten från SRI:s blogg:

• Insiders – Del 1 av 3: Alla insiders är inte lömska spioner 
• Insiders – Del 2 av 3: Den medvetna insidern har både motiv och uppsåt
• Made in China 2025: Är det dig och dina kunskaper Kina letar efter?
• Informationssäkerhet och personalsäkerhet går hand i hand
• Återgång till kontoret = Dags att påminna varandra om att vara säkerhetsmedvetna
• Säkerhetsprövning av sommarpersonal: ”Räkna kallt med ännu längre handläggningstider”

Mer läsning från svenska och internationella källor:

• CERT.se: Dags att se över cyberhygienen i verksamheten
• MSB: MSB:s arbete för att stärka beredskapen
• Harvard Business Review: The Cybersecurity Risks of an Escalating Russia-Ukraine Conflict
• Canadian Centre for Cyber Security: Cyber Centre urges Canadian critical infrastructure operators to raise awareness and take mitigations against known Russian-backed cyber threat activity
• NCSC: General Security Advisory
• CISA: Russian State-Sponsored Cyber Actors Target Cleared Defense Contractor Networks to Obtain Sensitive U.S. Defense Information and Technology

Alla kan bli en insider, medvetet eller omedvetet. Den första delen i vår serie om insiders handlade om så kallade ”omedvetna insiders”, personer i verksamheten som bidrar till ökad risk för intrång och annat utan egentligt motiv eller uppsåt i sitt handlande. I den här artikeln går vi vidare och kastar ljus på ”medvetna insiders” som tvärtom har både motiv, medvetenhet och uppsåt – antingen för egen vinning eller för att hjälpa någon annan, exempelvis en definierad hotaktör. 

Som vi även nämnde i Del 1 så hänger hotet utifrån och hotet inifrån ofta ihop. För att en aktör på utsidan ska kunna möjliggöra sin handling behöver personen eller gruppen ofta hitta en svaghet och sårbarhet, alltså en säkerhetsbrist. Den svagheten kan vara människan i organisationen.   

Motiven till att bli en insider varierar 

Motiven till att bli en insider är givetvis varierande. Exempel på motiv kan vara bekräftelse, hämnd, pengar, önskan om en bättre värld och etisk eller filosofisk övertygelse eller ren utpressning. 

Det skulle kunna handla om att en medarbetare stjäl från sin arbetsgivare, antingen för ekonomisk vinning eller för att hämnas på arbetsgivaren som man anser har sårat en på något sätt, exempelvis genom brist på uppskattning eller utebliven löneförhöjning. Det kan även handla om sabotage av utrustning eller att man medvetet läcker känslig information eller hotar och trakasserar andra anställda.  

Insidern kan alltså vara driven av politiska motiv eller motiverad och stimulerad genom antingen betalning, hot eller andra påtryckningsmedel från en hotaktör såsom organiserad brottslighet eller en statsaktör.  

Målsökning för att identifiera insiders 

Det är viktigt att känna till att det finns ett skarpt yttre hot och aktörer som aktivt letar efter ingångar till din verksamhet. Genom målsökning, eller genom vänner och kontakter, kan en antagonist hitta personer som kan hjälpa till från insidan.

Detta kan uppnås genom att först ta reda på vad som motiverar en person och vad som är viktigt i den personens liv. Ju fler kontaktytor till personen som finns eller kan skapas, ju fler gemensamma nämnare som finns med personen eller kan skapas samt ju fler sårbarheter det går att hitta eller skapa hos personen desto större är chansen att lyckas få personen att hjälpa till.   

Skillnad på Insider och Agent 

Ibland dras det lite slarvigt likhetstecken mellan insiders och så kallade agenter, därför är det viktigt att känna till vad som är vad:  

En insider är en person som exempelvis avser att använda ett företags information gällande exempelvis innovation eller ekonomiska förehavanden på ett olovligt sätt för egen eller annans vinning. 

En agent är i stället en person som har fått i uppdrag att samla information om Sverige och svenska förhållanden – säkerhetskänslig information – och delge informationen till en utländsk säkerhets- & underrättelsetjänst som verkar för främmande makt. 

Insiderprevention: Vad kan man göra för att motverka insiders? 

Oavsett om det handlar om en insider som verkar i eget intresse eller en agent som agerar på uppdrag av främmande makt är det viktigt att komma ihåg att en fungerande verksamhet bygger på en organisation bestående av lojala och pålitliga medarbetare.  

När verksamheten även bedriver säkerhetskänslig verksamhet är det ständigt pågående uppföljande säkerhetsprövningsarbetet samt kompetenta och orädda chefer som har en tät dialog med personalen av största vikt. De individer som aktivt valt att agera illojalt upptäcker man dock sannolikt inte enbart genom detta arbetssätt.  

Därför är personalsäkerheten också väldigt beroende av andra mekanismer och säkerhetslösningar såsom informationssäkerhet och fysisk säkerhet men utöver det även passiv och aktiv övervakning, exempelvis loggar och förmåga att upptäcka, sektionera, behörighetsstyra, begränsa samt larma och agera på avvikelser. 

Det är också viktigt att den interna säkerhetsfunktionen är prestigelös. Tröskeln för denna till att samverka med Säkerhetspolisen eller annan myndighet måste vara låg vid misstanke. Ensam är inte stark. 

Förutom detta är en stark och väletablerad säkerhetskultur som underhålls kontinuerligt i verksamheten av största vikt. Personal måste ha en grundläggande utbildning i säkerhetsskydd och en medvetenhet om de hot och risker som finns. Men det räcker inte långt i kulturbyggandet.  

En stark säkerhetskultur – med vakna medarbetare, som har integritet, är modiga och ifrågasätter och som alltid larmar när de ser eller misstänker något eller någon – stärker skölden och skapar bra förutsättningar för att minska risken för att en insider får tillfälle att ställa till med skada i organisationen. En sådan organisation har också bättre möjligheter att upptäcka avvikande beteenden, och därmed upptäcka en potentiell insider, på ett tidigare stadie. 

Du kanske även är intresserad av: Bristande personalsäkerhetsarbete kan bli en kostsam historia

I nästa del i den här serien fokuserar vi på typiska insider-karaktärer och vad de motiveras av samt delar med oss av ett case från verkligheten.