Terminologi som blir et styringsproblem

Begrepene innsidetrussel og innsiderisiko brukes ofte som om de betyr det samme. Det gjør de ikke. Forskjellen er viktig fordi språket påvirker hva virksomheten ser etter, hvilke tiltak den prioriterer og hvem som får ansvar.

En innsidetrussel er en betrodd person, leverandør eller et autorisert system som har tilgang og mulighet til å forårsake skade. Det betyr ikke at det ligger en ond vilje bak. Skade kan også skyldes feil, dårlig vurdering, manglende bevissthet, påvirkning utenfra eller et automatisert system som har fått for vide fullmakter.

Innsiderisiko handler om hva som kan gå galt når noen eller noe med legitim tilgang blir sårbarheten i virksomheten. Hvor alvorlig risikoen er, avhenger av hva som kan bli skadet, og hvilke konsekvenser det kan få.

Trusselen beskriver hvem eller hva som kan handle. Risikoen oppstår når tilgang, sårbarheter og verdier møtes på en måte som gjør skade mulig.

Når mennesket blir hele forklaringen

Hvis innsiderisiko først og fremst blir forstått som et personproblem, rettes oppmerksomheten lett mot å finne illojale eller ondsinnede medarbeidere. Det blir for snevert. Mange alvorlige hendelser skyldes ikke et planlagt angrep innenfra, men en kombinasjon av legitim tilgang, svake kontroller, press, uklare forventninger og manglende oppfølging.

En medarbeider kan gjøre en alvorlig feil uten å ønske å skade virksomheten. En leverandør kan ha tilgang som ikke lenger er nødvendig. En tidligere ansatt kan beholde rettigheter for lenge. En digital agent kan flytte eller eksponere informasjon i stor skala fordi oppgaven og fullmaktene er dårlig avgrenset. Fellesnevneren er ikke nødvendigvis motiv, men betrodd tilgang kombinert med mulighet for skade.

Teknologi gir synlighet, men ikke hele løsningen

Virksomheter investerer med god grunn i overvåking, analyse og varsling. Slike løsninger kan oppdage uvanlige tilgangsmønstre, støtte undersøkelser og gi bedre innsikt i aktivitet. Men bedre synlighet er ikke det samme som bedre kontroll.

Et varsel kommer ofte først når en aktivitet allerede er i gang, eller etter at noe har skjedd. Teknologi endrer ikke automatisk hvordan tilganger tildeles, om ledere tar tidlige samtaler, om ansatte tør å si fra, eller om HR, IT, sikkerhet og juridisk funksjon klarer å koble informasjonen sammen. Den fjerner heller ikke uklar styring, svake prosesser eller en kultur der avvik blir normalisert.

Virksomheten kan se mer, måle mer og rapportere mer, uten nødvendigvis å ha redusert den underliggende risikoen.

En praktisk modell for å forstå innsiderisiko

Et godt bilde av innsiderisiko bør minst omfatte fem elementer:

• Trussel: Hvem eller hva har kapasitet til å handle, med eller uten hensikt?
• Verdier: Hvilken informasjon, hvilke systemer, mennesker eller prosesser står på spill?
  • Sårbarheter: Hvilke menneskelige, tekniske, fysiske, kulturelle, organisatoriske eller prosessuelle svakheter kan gjøre skade mulig?
• Tilgang: Hvordan kan en betrodd aktør eller et autorisert system nå verdiene?
• Konsekvens: Hva kan skaden bety for drift, økonomi, omdømme, tillit eller regelverk?

Ingen av elementene gir alene et fullstendig bilde. En aktør uten tilgang har begrenset handlemulighet. Tilgang uten sårbarheter kan være godt kontrollert. Og en liten feil kan få store konsekvenser dersom den berører en kritisk verdi. Risikoen oppstår i kombinasjonen.

Risikoen bygges før hendelsen blir synlig

Innsiderisiko oppstår ikke først når et varsel utløses. Den kan ha blitt bygget over lang tid gjennom akkumulerte rettigheter, rolleendringer, svak oppfølging, kulturpress, manglende eierskap eller utydelige avvik mellom policy og praksis.

Det betyr at fravær av observerbar aktivitet ikke er det samme som fravær av risiko. Betingelsene kan allerede være til stede, selv om de ennå ikke har ført til et synlig utfall.

Hva ledelsen bør gjøre annerledes

Første steg er ikke nødvendigvis å kjøpe et nytt verktøy. Det viktigste er å etablere en felles forståelse av hva virksomheten mener med innsidetrussel og innsiderisiko. Deretter må menneske, tilgang, sårbarhet og verdi ses i sammenheng.

• Identifiser kritiske verdier og hvem eller hva som har betrodd tilgang til dem.
• Gjennomgå hvordan tilganger tildeles, utvides, kontrolleres og avsluttes gjennom hele personellivsløpet.
• Vurder menneskelige, organisatoriske og kulturelle sårbarheter sammen med de tekniske.
• Etabler tydelig ansvar for å koble informasjon fra HR, IT, sikkerhet, juridisk og ledelse.
• Bruk teknologi som støtte for beslutninger, ikke som erstatning for styring, kultur og ledelse.

Et mer presist språk gir bedre beslutninger

Når trussel og risiko skilles tydelig, blir det lettere å unngå både mistenkeliggjøring og teknologisk tunnelsyn. Da kan virksomheten rette oppmerksomheten mot forholdene som gjør skade mulig, og mot tiltak som reduserer eksponeringen før noe skjer.

God håndtering av innsiderisiko handler derfor ikke bare om å finne den rette personen eller de rette signalene. Det handler om å forstå systemet rundt tilgangen, sårbarhetene og verdiene – og om å se hvordan dette systemet endrer seg over tid.

• Det avgjørende spørsmålet er ikke bare hvem som kan utgjøre en trussel, men hvordan virksomheten selv gjør skade mulig eller mindre sannsynlig.

Er du usikker på hvordan innsiderisiko kan treffe din virksomhet, eller hvor dere bør starte? Ta gjerne kontakt for en uforpliktende prat. Vi hjelper dere med å sortere bildet, prioritere tiltak og finne en god vei videre.