Insidertrussel

CERT National Insider Threat Center ved Carnegie Mellons Software Engineering Institute, hvis sagsdatabase har præget det meste af feltet, inddeler sager med ondsindede insidere i IT-sabotage, tyveri af intellektuel ejendom, svig og spionage og behandler utilsigtede insidertrusler som en særskilt kategori. Mønstrene er forskellige. Sabotage udføres typisk af teknisk privilegerede medarbejdere som administratorer efter en negativ hændelse på arbejdspladsen, ofte via bagdørskonti eller logiske bomber, der er forberedt inden fratrædelsen. Tyveri af intellektuel ejendom samler sig omkring opsigelsen, hvor data typisk tages i ugerne før og efter. Svig begås som regel af ikke-tekniske medarbejdere, der misbruger autoriserede forretningsfunktioner, fx ved at oprette fiktive leverandører eller ændre betalingsoplysninger. Skødesløse insidere og insidere, hvis loginoplysninger er kompromitteret af eksterne angribere, er i antal langt mere almindelige end ondsindede.

Forebyggende kontroller handler om at begrænse, hvad betroet adgang kan bruges til. Mindste privilegium og regelmæssige gennemgange af rettigheder modvirker, at rettigheder hober sig op; funktionsadskillelse (ISO/IEC 27002:2022 kontrol 5.3) og firøjneprincip forhindrer, at én person alene gennemfører en svigagtig transaktion; privileged access management opbevarer administratorkonti i en vault og optager sessioner; og processer for ansættelse, rolleskift og fratrædelse fjerner adgangen på fratrædelsesdagen, understøttet af 6.5 (ansvar efter ansættelsens ophør) og 6.1 (screening). NIST SP 800-53 Rev. 5 kræver et insidertrusselprogram i kontrol PM-12 og awareness-træning om insidertrusler i AT-2(2).

Detektion bygger på adfærdsbaselines frem for signaturer, fordi insidere bruger legitime loginoplysninger. User and entity behaviour analytics (UEBA), DLP og adgangslogs fra cloudtjenester markerer afvigelser som massedownloads, synkronisering til private cloudmapper, adgang uden for de normale arbejdsmønstre eller til data uden for ens rolle. Andelen af falske positiver er høj, og konteksten er afgørende, så effektive programmer kombinerer tekniske signaler med oplysninger fra HR og ledelse, fx en verserende opsigelse.

Overvågning af medarbejdere er juridisk begrænset. I Danmark skal behandlingen overholde GDPR og databeskyttelsesloven, og Datatilsynets vejledning om kontrol af medarbejdere lægger vægt på proportionalitet og gennemsigtighed; for arbejdsgivere, der er omfattet af DA/LO-aftalen om kontrolforanstaltninger (kontrolaftalen), skal nye kontrolforanstaltninger normalt varsles over for medarbejderne mindst seks uger i forvejen, med snævre undtagelser. Generel, skjult overvågning er sjældent lovlig. Insidertrusler adskiller sig fra eksterne trusselsaktører ved, at ingen perimeter krydses, og autentificeringen lykkes, og derfor hjælper perimeterforsvar og MFA kun lidt; de er overkategorien for menneskelige fejl, der dækker den utilsigtede gren.