Artikkelserie: Innsidetrussel – del 1
Innsidetrusselen: En av de største truslene mot norske virksomheter
Den klassiske innsideren utgjør fortsatt en trussel, så hvordan kan virksomheter beskytte egne verdier i en moderne og digitalisert verden?
Dette er en kommentar. Den gir uttrykk for skribentens holdninger.
En innsider kan forårsake mye skade gjennom lovlig tilgang til verdifull informasjon, og er en ettertraktet ressurs for mange trusselaktører. Dagens innsider har enda større verdi enn før, gitt avansert beskyttelse, digitale sikkerhetssystemer, adekvat fysisk sikring og økende sikkerhetsbevissthet i offentlige og private virksomheter.
Hovedformålet med en insider er å få tilgang til virksomhetens verdier. Hvis målet er vanskelig å kompromittere og virksomheten har utmerket fysisk og digital sikkerhet, er en trusselaktør tvunget til å se på alternativer for klare å komme på innsiden.
En innsider, enten aktivt rekruttert eller som infiltratør, vil ha naturlig legal tilgang og dermed muligheten til å utføre en rekke forskjellige oppdrag.
En innsider vil ha stor verdi, gitt et høyt sikkerhetsnivå med ugjennomtrengelige forsvarssystemer. På den annen side, hvis en organisasjon har dårlig sikkerhet og alle de forskjellige verdiene lett kan nås på ukomplisert vis, vil en innsider ha lav «nytteverdi». Med andre ord vil tilstrekkelige sikkerhetstiltak vil ikke være tilstrekkelige hvis man overser insidertrusselen, som krever en annen tankegang og tilnærming enn det fysiske og konkrete.
Innsidere gjennom historien
Da de romerske myndighetene i Judea lokaliserte Jesus og arresterte ham, var dette basert på innsideinformasjon. Judas Iskariot, en av Jesus' betrodde disipler fra den indre sirkel, hadde solgt ut sin mentor og forrådt hans tillit. Selv om Iskariot er blant de første kjente insiderne, er historien fylt med en rekke eksempler på personer som har fått tilgang og tillit, men som har forrådt denne av ulike årsaker.
I Norge ble en person i Den Norske Veritas (DNV) opprinnelig siktet for spionasje på grunn av et hemmelig og fordekt forhold til en russisk etterretningsoffiser. Den ansatte i DNV ga informasjon og dokumenter som han ikke hadde lov å dele med utenforstående. I forbindelse med min vitneforklaring i både Oslo tingrett og Borgarting lagmannsrett, understreket jeg at dette var en klassisk spionasjesak der en russisk etterretningsoffiser hadde lyktes med å rekruttere en innsider – eller agent, innenfor en norsk virksomhet. Målet denne gangen var et norsk teknologiselskap, DNV (Det Norske Veritas), som var og fortsatt er et klassisk etterretningsmål av høy verdi for statlige og ikke-statlige aktører.
Selv om omstendighetene har endret seg, er noe likt. Både Iskariot og senioringeniøren ble belønnet for sine tjenester, og de jobbet frivillig for en ekstern aktør som lyktes i å utnytte målpersonen sin tilgang og kunnskap. Insidertrusselen er en aktuell trussel og en metode som brukes av forskjellige aktører for å oppnå bestemte mål.
Nyttige innsidere
En innsider kan være verdifull under en forhandlingsprosess. Hvis flere selskaper er involvert, er det åpenbart at innsikt fra motstanderen eller konkurrenten din vil være gunstig.
Et historisk eksempel er illustrerende for poenget. Under Jalta-konferansen i 1945 sørget generalsekretæren i Sovjetunionen, Josef Stalin, for at han visste alt om sine allierte, den britiske statsministeren Winston Churchill og USAs president Franklin Roosevelt. En kombinasjon av avlytting, signaletterretning, rapportering fra tjenere og rekrutterte innsidere, viste seg å være avgjørende i debatten om krigens slutt.[i] Strategiene til de britiske og amerikanske teamene ble kompromittert og avslørt, og argumenter kunne imøtegås under samtalene. Stalin visste nøyaktig hva han skulle si og når, hvordan han skulle argumentere, når han skulle gi etter og når han skulle være tøff, basert på god etterretning. Dermed var han i stand til å oppnå flere fordeler og sikre et bedre resultat for seg selv og Sovjetunionen.[ii]
Nyttig for Kina
Temaet innsidetrussel er svært relevant også for sivil sektor. En eldre sak med en tidligere ansatt i General Electric (GE) illustrerer poenget.[iii] Han var på innsiden av GE samtidig som han lastet ned og stjal data som han sendte til Kina. Dette var ikke militære hemmeligheter eller sikkerhetsgraderte dokumenter, men informasjon som var nyttig for Kina. Federal Bureau of Investigation (FBI) har listet opp flere eksempler, i tillegg til det som er nevnt med GE, om innsideraktivitet i en kort pamflett som gir er helhetlig beskrivelse og gjennomgang av temaet.[iv]
Lovlig tilgang
Dr. Paul Martin har følgende kjennetegn på en innsider og innsideaktivitet:
- Misforstått
- Neglisjert
- Undervurdert
- Et systemproblem
- Manglende strategi [min oversettelse][v]
En rapport av Michael Jonsson og Jakob Gustafsson kalt Espionage by Europeans 2010–2021 inneholder, ikke overraskende kanskje, flere saker hvor gjerningsmannen har vært en innsider som brukte lovlig tilgang til å begå ulovlige handlinger.[vi] En ganske identisk rapport kalt Espionage Against the United States by American Citizens 1947-2001,[vii] trekker på amerikanske eksempler, der mange gjerningsmenn også er innsidere som misbrukte tilliten og aksessen de hadde hvor personene avslørte både militære og sivile hemmeligheter samt annen sensitiv informasjon. En oppdatert versjon av rapporten kom i 2008: Changes in Espionage by Americans: 1947-2007.[viii]
Reell trussel som må håndteres
Innsidertrusselen er reell. Den er svært potent og den utgjør en aktuell trussel som statlige og private virksomheter må håndtere for å beskytte egne verdier og hindre at for eksempel russiske aktører lykkes. Selv om innsidetrussel er et gammelt og kjent begrep, utgjør innsideren likevel en aktuell og alvorlig trussel for de fleste selskaper, organisasjoner, industri, militære enheter og statlige organer. Det er ikke et spørsmål om vestlige virksomheter vil oppleve flere innsidere i fremtiden eller ikke, men når.
Denne artikkelen er del av en artikkelserie om innsidere og innsidetrusler. Du finner lenke til de andre sakene i serien under.
