Lär känna insidern
Att en insider skulle kunna vara vem som helst är något som vi måste börja våga förhålla oss till. Man föds inte till insider utan oftast det är livssituationen som avgör. God säkerhetskultur förebygger och hanterar problematiken.
Vad säger forskningen om insiders?
Vilka är de som väljer att lämna ut företagshemligheter eller bedriva spionage? Vad är det som gör att just de väljer att ta dessa ödesdigra steg? Det är svåra frågor men en del av svaren finns i intervjuer och förhör som har hållits med dem som har blivit avslöjade. Det finns både spioner och infiltratörer men insider blir man först efter en tid, påverkad av något eller någon.
Forskning visar att ca 80 % av alla kända insiderfall i USA på eget initiativ har erbjudit sig att lämna ut information till någon utanför den egna organisationen. De flesta fall har ägt rum utan föregående kontakt med någon främmande underrättelsetjänst. I sammanhanget är det viktigt att skilja på insiders och infiltratörer. En infiltratör är någon som i bedrägligt syfte tar sig tillträde till en organisation eller påbörjar en anställning för att bedriva spioneri eller utföra sabotage. Initiativ från infiltratörer kan komma från främmande makt, ideologiskt motiverade aktörer eller kriminella grupperingar. Skadan som både insiders och infiltratörer åsamkar är jämförbar. Däremot är det mycket ovanligt att personer på eget initiativ påbörjar en anställning för att börja bedriva spioneri.
Historiskt sett har insidern oftast varit en man. Visst förekommer det fall med kvinnor men endast i mindre utsträckning. En förklaring är att det kan ha med maktstrukturer att göra eftersom det oftast är män som fram till modern tid har haft tillgång till skyddsvärd information. Den typiska insidern är en man mellan 30 och 50 år. Många är gifta och har familj. Över hälften har bra positioner i samhället och är högskoleutbildade. De flesta har arbetat flera år i den egna organisationen. Majoriteten av dessa insiders är inte några ensamvargar, något som man annars lätt skulle kunna få bilden av.
Aktuell forskning visar att problematiken endast är toppen är av ett isberg. Trenden är att spionaget och insidersproblematiken mot Sverige och övriga länder ökar.
Tillfälle, förmåga och motiv
Insidern är oftast en anställd, tidigare anställd, leverantör, konsult, forskare eller på annat sätt knuten till verksamheten. Från den egna plattformen kan insidern lätt få access till skyddsvärd information som till exempel anläggningar, säkerhetssystem, data- och it-system. Få insiders har stulit den information som de senare olovligen lämnat ut. Antingen har insidern själv haft egen tillgång till informationen eller så har han fått den av någon kollega. Det kan vara en handling som tillfälligt har lånats ut, uppgifter som snappats upp under ett lunchmöte eller något som framkommit i samband med en ärendedragning. Det kan vara enkelt att komma över känslig information. Det finns alltid ett tillfälle för insidern även om det kan vara slumpartat.
Det måste även finnas en förmåga. Insidern behöver kunna hantera lögnen som denne lever i. Att leva ett dubbelliv som insider är en situation som kan vara mycket pressande.
Slutligen måste det finnas ett motiv. Flera av oss har både tillfälle och förmåga men vår inre kontroll gör att vi saknar motiv. Insidern flyttar fram och sätter sina egna gränser. Hos denne fungerar inte den inre kontrollen.
En insider kan vara vem som helst – men denne har alltid ett motiv.
Bakomliggande motiv
Bakomliggande motiv är oftast ekonomiska. Tidigare handlade det om dålig ekonomi, skulder och brist på pengar. Idag handlar det mer om egen vinning och om människors ökade behov av pengar för överkonsumtion. Den lyxiga fasaden får inte raseras och för att kunna upprätthålla den, räcker den vanliga lönen inte till. Det behövs mer pengar och det extra tillskottet ger guldkant på tillvaron. Informationen som finns att tillgå på arbetet kan då bli lösningen på insiderns problem.
Ofta handlar det om ”greed before need” än om dålig ekonomi och skulder. Att inte ha tillräckligt med pengar för att kunna spela i en högre division kan vara ett känslomässigt dilemma. I en säkerhetsprövning är det därför bättre att lägga fokus på om det finns tecken på att personen lever över sina tillgångar istället för att låta sig oroas över dennes höga bostadslån.
Om insidern är ideologiskt motiverad är motivet oftast inte ekonomiskt. Motivet kan istället vara politiskt, ha koppling till något värdestyrt engagemang eller en ideologisk hjärtefråga. Det finns insiders som är beredda att gå mycket långt för att rädda något som de ideologiskt tycker är mycket viktigare än till exempel Sveriges säkerhet. Ett välkänt fall är ”Cambridge Four”, där fyra brittiska överklasstudenter från Cambridge University samtliga var övertygade kommunister. Före och under andra världskriget försåg de Sovjetunionen med information.
Bakomliggande motiv skulle även kunna grunda sig på besvikelse och bitterhet. Sådana känslor skulle kunna utveckla ett hatiskt känslotillstånd och driva en person mycket långt. Missnöje och bitterhet är därför viktiga indikatorer att ta fasta på. När dessa väl har utvecklats till en pågående hämnd är insidern i mål och då märks inte bitterheten lika väl.
En insiders personlighet
Det handlar oftast om grandiosa personligheter med narcissistiska drag och som dessutom är socialt kompetenta. Det kan vara manipulativa och karismatiska individer. Det kan till och med vara personer som man gärna vill se på ledande positioner i företaget. Med djärvhet utmanar de och tar för sig. De kliver över gränser utan problem och märkligt nog tillåts de av organisationen att göra det. Den försynte och blyge insidern lyser här med sin frånvaro.
Vid en ändamålsenlig säkerhetsprövning hittar man ibland indikatorer som missbruk, privata problem, tidigare brottslighet, konfliktbenägenhet, arbetsrelaterade beteendeförändringar och utsvävande konsumtionsvanor. Samtliga är sårbarheter som kan vara typiska för en insider.
Uppmärksamma – rapportera – förhindra
Det finns förebyggande åtgärder mot problematiken. Först och främst ska det finnas en tydlig säkerhetskultur på alla nivåer i den egna organisationen. Stöd och förståelse från ledning och chefer är ett måste. Det är nödvändigt med tydliga säkerhetsrutiner och en ökad säkerhetsmedvetenhet bland all personal. Vidare rekommenderas ett förebyggande säkerhetsskydd där det förutom säkerhetsprövning även ingår utbildning och riktad rådgivning i säkerhetsrelaterade frågor.
Problematiken med insiders har oftast en psykologisk förklaring. Därför är det viktigt att lära känna sin personal. En väl genomförd säkerhetsprövning vid nyanställning och en uppföljande sådan under hela anställningen är nödvändigt. Var proaktiv och uppmärksamma och avbryt i god tid innan problemen får för allvarliga konsekvenser. Före detta insiders har ibland påtalat att det hade gått för långt och att det inte fanns någon möjlighet för dem att backa. Därför kan det räcka med små åtgärder om dessa sätts in tidigt. Slutligen måste det finnas rutiner för hur man tar om hand om incidenter när skadan väl inträffar.
Bristande kontrollsystem
Kontrollsystemen är ofta ineffektiva. Det händer att vi lånar ut den personliga datorn till obehöriga kollegor. Besökare får ibland följa med in i känsliga utrymmen. Vi får inte ta hem, visa eller låna ut handlingar men det händer att vi gör det ändå. Vi får inte berätta om våra projekt men visst försäger vi oss ibland. Vi får inte lämna ut koden till säkerhetsskåpet men visst sker det. Listan kan göras längre. Det handlar om dålig säkerhetskultur.
Fokusera inte enbart på säkerhetsprövning i samband med nyanställning. En säkerhetsprövning pågår under hela anställningen. Varje chef har ett ansvar behålla och fördjupa personkännedomen om sin personal. Först då har man möjlighet att tidigt upptäcka beteenden innan det går så långt som till ett skadligt beteende. Tänk på att vi känner varandra precis till den gräns som den andre vill att vi ska känna dem och inte ett steg längre.
Ett fungerande säkerhetsskydd är grunden för all beredskapsplanering. Öka motståndskraften och reducera sårbarheterna. Tänk säkerhetsskydd.
Kontakta gärna mig om du vill veta hur vi på Basalt kan hjälpa din verksamhet med ert säkerhetsskydd.
