Innsidetrussel ved nedbemanning i forbindelse med Covid-19

Spill med åpne kort. Ikke vær redd for å si at permittering kan bli en realitet, selv om håpet er at det kan unngås. En lukket prosess kan gi grobunn for rykter og opplevelse av urettferdig behandling, som igjen kan skape misnøye i flokken.

Hvorfor skjer innsideangrep?

Ansatte som føler seg urettferdig behandlet kan bli en stor risiko for virksomheten. Et eksempel kan være deltidsansatte som ikke blir satt opp på vakt. De blir ikke permittert, men de får heller ikke lønn. Det kan øke risikoen for misfornøyde ansatte som eksempelvis lekker bedriftshemmeligheter eller går imot ledelsen.

Et annet eksempel kan være misnøye med de kriteriene som ligger til grunn når arbeidsgiver velger ut hvem som skal permitteres. Velger man å beholde de med lengst ansiennitet, de som er mest relevante, de som leverer best eller er det helt tilfeldig?

Jeg mener risikoen er enda større for bedrifter med filialer i utlandet hvor tilliten og moralen kan være lavere enn i Norge, gjerne forsterket av dårligere sosialt sikkerhetsnett enn det vi har i vårt velferdssamfunn.

Tilsiktet og utilsiktet innsider

En uønsket hendelse knyttet til en innsider kan aktualiseres enten gjennom en tilsiktet eller en utilsiktet handling. Den tilsiktede handlingen kan være planlagt, tilfeldig eller rekruttert. Den som planlegger angrep kan søke jobb i en bedrift i den hensikt å gjennomføre et innsideangrep. Den tilfeldige kan bli aktualisert som følge av en negativ opplevelse. Den rekrutterte kan ha en sårbarhet eller en overbevisning som blir utnyttet av en ekstern aktør.

Motiv, mulighet og kapabilitet

Politiet bruker gjerne de tre faktorene motiv, mulighet og kapabilitet i forbindelse med etterforskning i en kriminalsak. Disse faktorene kan også brukes i forbindelse med innsidetrussel-problematikken. Ved nedbemanning kan en innsider ha kapabilitet i form av evne og vilje til å ramme virksomhetens kritiske informasjonsverdier og deres krav til konfidensialitet, integritet og tilgjengelighet. De kjenner til de såkalte kronjuvelene og eventuelle sårbarheter som kan utnyttes. Motivet kan være eksempelvis hevn, økonomisk vinning, eller ideologisk overbevisning. De kan føle seg urettferdig behandlet i denne krevende tiden vi er inne i.

Muligheten skapes av virksomheten gjennom dårlig ledelse og skjulte prosesser som kan gi grobunn for ryktespredning og misnøye i flokken.

Nå er halve Norge sendt på hjemmekontor. Det er en risiko at vi sitter på en miks av arbeidsgivers systemer og privat bruk. Skillelinjene mellom arbeidsliv og privatliv viskes ut. Så blir man permittert. Ofte sitter mange igjen med mobiltelefoner og datamaskiner som tilhører arbeidsgiver. Det er grunn til å tro at det sitter mange permitterte hjemme med fulle tilganger til systemer og informasjon, som senere står i fare for å bli overtallig og sagt opp. Her må virksomhetene ha en god plan og praksis for tilgangsstyring for de ulike fasene.

Ledelse

Ledelse er et sentralt element i håndteringen av en potensiell innsidetrussel ved nedbemanning. Det være seg toppledere i planleggingsfasen og mellomledere i utførelsesfasen. Ledere har ansvaret for at nedbemanningen oppleves som god og rettferdig, i tillegg til at de er i posisjon til å oppdage uønsket atferdsendring. En utfordring er at lederne kanskje ikke er klar over at de kan ha et slikt ansvar med tanke på innsidetrusselen.

Det bør være etablert formelle retningslinjer, prosedyrer, og helhetlig risikostyring, som inkluderer innsidetrusselen både ved og mellom nedbemanninger. Verktøykassen ledere har behov for bør inneholde både organisatoriske, menneskelige og tekniske tiltak, som anvendes fornuftig gjennom hele arbeidsforholdet. Hvis dette ikke allerede er på plass, så er dette en god anledning til å legge litt ekstra innsats akkurat nå. Det kan lønne seg.

Konsekvensen av et innsideangrep

Så hva kan skje dersom en nåværende eller tidligere ansatt går til angrep? De kan lekke virksomhetens best bevarte hemmeligheter til konkurrenter eller allmennheten. Børssensitiv informasjon kan havne i media. Kritiske systemer kan settes ut av drift og informasjon kan bli slettet eller kryptert. Tilliten og omdømmet kan svekkes. Aksjekursen kan måtte lide.

Sørg for at det er gjennomført en kartlegging av virksomhetskritiske informasjonsverdier og at det eksisterer en oppdatert beredskapsplan.

Oppsummert anbefaling

Konkrete råd i forbindelse med Covid-19 og permittering

• Vær en god, rettferdig og åpen leder
• Benytt eller etabler en standardisert avgangsprosess
  • Alle tilganger og adganger fjernes
  • Innlevering av utstyr og informasjon
  • Påminnelse om eventuelle taushetserklæringer og klausuler
  • Støtte i form av eksempelvis sluttpakke og karriererådgiving, slik at den som må slutte opplever prosessen og avgjørelsen på en så god måte som mulig
• Inkluder innsideproblematikken som fast punkt i krisehåndteringen

Generelle råd

• Gjør en grundig bakgrunnssjekk (Referanser, vitnemål, ID-sjekk)
• Ha anomalideteksjon på informasjonssystemene, autorisasjonssamtale, adgangskontroll og varslingskanal for kritikkverdige forhold
• Bruk veilederen om sikkerhet ved ansettelsesforhold utgitt av Politiets sikkerhetstjeneste, Nasjonal sikkerhetsmyndighet, Politiet og Næringslivets Sikkerhetsråd