Det säkerhetspolitiska läget har förändrats. Geopolitisk rivalitet, organiserad brottslighet, cyberhot, påverkansoperationer och ökade krav på motståndskraft påverkar i dag både offentliga och privata verksamheter. Men när vi diskuterar den förändrade hotbilden hamnar fokus ofta på teknik, system och fysiskt skydd. Det är nödvändiga delar av säkerhetsarbetet, men de räcker inte. Vi behöver prata mer om människan. För bakom system, behörigheter, affärskritisk information och viktiga beslut finns människor. De är verksamhetens viktigaste resurs, men som även skapar sårbarheter som en angripare kan försöka utnyttja. Det gör personalsäkerhet till en strategisk ledningsfråga.
Insiderhotet börjar sällan med en incident
En insider är inte nödvändigtvis någon som från början har för avsikt att skada sin arbetsgivare. Risk kan utvecklas över tid. En person kan utsättas för ekonomisk press, påverkan, hot eller utpressning. Missnöje eller konflikter kan förändra beteenden. En medarbetare kan också bli föremål för ett medvetet närmande från en extern aktör.
Samtidigt finns det personer som redan från början söker sig till en organisation för att få tillgång till information, system eller andra tillgångar. Det är därför insiderprevention inte kan bestå av en enskild kontroll. Organisationen behöver arbeta systematiskt med personalsäkerhet under hela medarbetarresan.
Före anställning. Under anställning. Vid förändringar. Och när anställningen avslutas.
Bakgrundskontrollen är bara ett steg
Att veta vem man anställer är en grundläggande del av ett riskbaserat säkerhetsarbete. En professionellt genomförd bakgrundskontroll kan ge ett bättre beslutsunderlag och identifiera omständigheter som är relevanta för den aktuella rollen och verksamhetens riskexponering, men bakgrundskontrollen är bara en ögonblicksbild. En person kan arbeta i en verksamhet i fem, tio eller tjugo år. Under den tiden kan både personens livssituation, befattning och tillgång till känslig information förändras.
Därför behöver organisationer tänka bredare än kontrollen inför anställning. Vilka roller är särskilt känsliga? Vilka behörigheter följer med dem? Vad händer när någon byter befattning och får tillgång till mer känslig information? Och finns det rutiner för att fånga upp relevanta förändringar och risksignaler?
Det handlar inte om att misstänkliggöra medarbetare utan om att förstå risk.
Personalsäkerhet kräver att någon ser helheten
I många organisationer finns redan flera delar av ett fungerande personalsäkerhetsarbete. HR genomför rekryteringar. IT hanterar behörigheter. Säkerhetsfunktionen arbetar med risker. Chefer möter medarbetarna. Compliance ansvarar kanske för visselblåsarfunktionen. Problemet uppstår när ingen ser helheten. En enskild avvikelse behöver inte betyda särskilt mycket. Men flera signaler tillsammans kan skapa en helt annan riskbild.
Därför krävs strukturer för hur relevanta observationer hanteras, eskaleras och bedöms, med tydliga mandat och med respekt för integritet, arbetsrätt och gällande regelverk.
Insiderprevention är med andra ord inte en HR-fråga, IT-fråga eller säkerhetsfråga. Det är en verksamhetsfråga.
Visselblåsarfunktionen är en del av säkerhetssystemet
En fungerande visselblåsarfunktion är ytterligare en viktig del av organisationens förmåga att upptäcka problem tidigt.
Medarbetare, konsulter och andra personer nära verksamheten ser ofta sådant som tekniska säkerhetssystem aldrig kommer att upptäcka.
Misstänkta beteenden. Oegentligheter. Korruption. Intressekonflikter. Missbruk av behörigheter eller andra förhållanden som kan innebära betydande risker.
Men en visselblåsarkanal skapar inte säkerhet bara genom att finnas. Det avgörande är förtroendet för systemet: att människor vågar rapportera, att informationen hanteras konfidentiellt och professionellt och att organisationen har förmågan att bedöma och utreda det som kommer in.
När något har hänt krävs professionella utredningar
När misstankar om interna oegentligheter eller säkerhetsincidenter uppstår är organisationens agerande avgörande. Att agera för långsamt kan innebära att skadan växer. Att agera för snabbt på bristfälliga uppgifter kan samtidigt få allvarliga konsekvenser för både individer och verksamheten.
Utredningar behöver därför bedrivas metodiskt, objektivt och med tydliga mandat. Vad vet vi? Vad är antaganden? Vilken information behöver säkras? Vilka personer behöver intervjuas? Finns det digitala eller andra spår? Och hur säkerställer vi att slutsatser bygger på verifierbara omständigheter?
Förmågan att utreda är inte bara viktig när något redan har gått fel. Professionellt genomförda utredningar skapar också kunskap som kan användas för att förebygga nästa incident.
Tekniken förändrar hotbilden – men människan finns kvar
AI och digitalisering skapar fantastiska möjligheter. Samtidigt förändrar tekniken förutsättningarna för manipulation, informationsinhämtning, social engineering och andra former av påverkan. Det gör den mänskliga dimensionen ännu viktigare.
Organisationer behöver förstå vilka personer som har tillgång till deras mest kritiska tillgångar, vilka påtryckningar dessa personer kan utsättas för och vilka strukturer som finns för att upptäcka och hantera avvikande beteenden. Samtidigt får säkerhetsarbetet aldrig skapa en kultur där alla betraktas som potentiella hot.
Tvärtom är tillit och säkerhet inte varandras motsatser. En mogen säkerhetskultur bygger på båda.
Säkerhet börjar i ledningen
Det förändrade säkerhetsläget ställer därför en större fråga till svenska företag och organisationer. Har vi byggt vår säkerhet utifrån den hotbild vi hade eller den hotbild vi har?
Styrelser och ledningsgrupper behöver förstå att personalsäkerhet inte kan reduceras till en bakgrundskontroll vid rekrytering eller en årlig säkerhetsutbildning. Det behövs ett sammanhängande system för insiderprevention, bakgrundskontroller, personalsäkerhet, visselblåsning och utredningar. Först då kan organisationen arbeta förebyggande, upptäcka relevanta signaler och agera professionellt när något inträffar. På 2Secure möter vi verksamheter med olika riskbilder, men en fråga återkommer:
Vet ni vilka människor som har tillgång till det ni absolut inte har råd att förlora och har ni byggt säkerheten därefter?
I en mer komplex omvärld är det en fråga som fler ledningsgrupper behöver kunna svara på.
Jag ser fram emot att medverka i invigningen av Skydd och Totalförsvarsmässan den 20 oktober och diskutera hur ett förändrat säkerhetsläge påverkar verksamheters säkerhetsarbete.
Efter samtalet på scenen kan ni möta mig i SäkerhetsBranschens monter A15:30 för att prata vidare.
Läs mer om invigningen här: https://invitepeople.com/public/events/cd5ec4e807/seminars/fa2e28f15e
