En ny vetenskaplig studie publicerad i tidskriften Security Journal analyserar hur en betrodd anställd rekryterades av den ryska underrättelsetjänsten SVR och identifierar vilka faktorer som gjorde rekryteringen möjlig. Forskarna använder den så kallade Critical Incident Technique (CIT) för att kartlägga rekryteringsprocessen steg för steg och presenterar en ny modell för hur insiderhot kan förstås och förebyggas. Studien bygger på rättshandlingar, domstolsförhandlingar och utredningsmaterial från ett norskt brottmål där en anställd vid en samhällsviktig verksamhet dömdes efter att under flera år ha lämnat ut intern information mot ekonomisk ersättning.
Forskarna visar att rekryteringen inte inleddes genom hot eller tvång utan genom ett långsiktigt relationsskapande. En underrättelseofficer presenterade sig som konsult, etablerade personlig kontakt och byggde successivt upp ett förtroende. Små tjänster, socialt umgänge och mindre gåvor användes för att skapa en känsla av ömsesidighet innan mer känslig information efterfrågades. Enligt studien motsvarar detta etablerade metoder inom social manipulation, där flera små steg successivt leder till större eftergifter.
Ett centralt resultat är att den aktuella medarbetaren redan hade genomgått omfattande utbildning i informationssäkerhet, antikorruption och etiska riktlinjer. Personen försökte också initialt kontrollera den påstådda konsultens bakgrund. Trots detta minskade säkerhetsmedvetandet över tid, vilket enligt forskarna gjorde individen mer mottaglig för påverkan. Studien pekar därmed på att säkerhetsmedvetande inte är ett statiskt tillstånd utan kan försvagas genom långvarig social påverkan.
Under rekryteringsprocessen förändrades också den anställdes beteende. Möten började döljas i företagets kalendersystem, rapporteringsskyldigheter följdes inte och intern dokumentation med spridningsbegränsningar lämnades ut. Forskarna menar att dessa beteendeförändringar utgör viktiga varningssignaler som organisationer bör kunna upptäcka innan allvarligare säkerhetsöverträdelser inträffar.
Studien presenterar dessutom en ny typologi där insiderhot delas in i tre huvudkategorier: oavsiktliga eller försummande insiderhot, självmotiverade insiderhot samt aktörsdrivna insiderhot där en extern motpart aktivt påverkar den anställde. Författarna argumenterar för att denna modell ger ett mer heltäckande underlag för riskbedömning och förebyggande arbete än tidigare definitioner.
Forskarna rekommenderar att organisationer kompletterar traditionell informationssäkerhetsutbildning med utbildning om social manipulation, påverkanstekniker och underrättelsemetoder. De föreslår även tydliga rapporteringssystem utan skuldbeläggning, så att medarbetare vågar rapportera misstänkta kontakter eller egna misstag innan situationer utvecklas till allvarliga säkerhetsincidenter. Samtidigt betonar de att resultaten bygger på en enskild fallstudie och därför bör prövas vidare genom bredare empirisk forskning.
Sammanfattning
Studien visar att insiderhot kan utvecklas genom långvarig social påverkan snarare än genom direkta hot eller ekonomiska incitament från början. Författarna menar att säkerhetsmedvetande kan stärka motståndskraften men också gradvis försvagas under en välplanerad rekryteringsprocess. Den föreslagna modellen syftar till att hjälpa organisationer att identifiera risker tidigare och utveckla mer träffsäkra förebyggande säkerhetsåtgärder.
Källförteckning
- Vetenskaplig artikel: The anatomy of insider threats: exploring safety consciousness in an adverse recruitment process. https://link.springer.com/content/pdf/10.1057/s41284-026-00551-2.pdf