"I praktiken ligger lika många orsaker till incidenter i post hire-fasen, det vill säga när personen väl är anställd". Foto: Getty Images/Elisabeth Jubelin
Bakgrundskontroller har seglat upp som en nyckelfråga i takt med att oro för infiltration och insiderbrott ökar – inte minst i kommuner och samhällskritiska verksamheter.
Men enligt säkerhetsexperten Pierre Gudmundson, på Scandinavian Recruitment Intelligence (SRI), riskerar arbetsgivare att lägga alltför stort fokus på vem de anställer och för lite på vad som händer efteråt.
– Vi får inte fastna i tanken att vi gör bakgrundskontroller och så löser det allt. Bakgrundskontroller är viktiga – men i dag används de ofta som ett sätt att prognostisera framtiden utifrån personens historik. I praktiken ligger lika många orsaker till incidenter i post hire-fasen, det vill säga när personen väl är anställd, säger han.
Bakgrundskontroller kan ge falsk trygghet
Enligt Gudmundson visar forskning om insiderhot att risker ofta utvecklas över tid, efter att en person fått tillgång till organisationens system, rutiner och information.
– Hur du onboardar, följer upp och bygger kultur är det viktiga. Där borde organisationer lägga betydligt mer resurser.
I stället fastnar många arbetsgivare i rekryteringsfasen, där bakgrundskontroller blivit ett slags universallösning.
– Det finns en falsk trygghet i dem. Man tror att man har ”rensat bort riskerna”.
I stället kan det vara det som händer inne i organisationen som skapar riskerna.
– Om människor inte blir sedda, hörda eller bekräftade, eller om de utsätts för toxiskt ledarskap, kan det i värsta fall leda till att de agerar ut.
Vill du minska insiderhot på riktigt, då måste du jobba med kultur.
Pierre Gudmundson
- Befattningsanalys: En strukturerad genomgång av en specifik tjänsts risker, ansvar, behörigheter och tillgång till verksamhetens skyddsvärden. Analysen används för att bedöma vilka hot och konsekvenser som kan kopplas till befattningen och om verksamhetsskyddet kräver åtgärder som bakgrundskontroller eller andra personalsäkerhetsinsatser.
- Pre-hire: Åtgärder som sker före anställning, till exempel intervjuer, referenstagning, bakgrundskontroller och säkerhetsprövningar. Syftet är att bedöma risker innan en person får tillgång till verksamheten.
- Post-hire: Säkerhets- och arbetsmiljöarbete som sker efter anställning, exempelvis onboarding, uppföljning, ledarskap och organisationskultur.
Stress kan göra medarbetare till omedvetna insiders
Gudmundson skiljer mellan två typer av insiders:
Omedvetna insiders saknar avsikt att skada verksamheten, men kan ändå orsaka allvarliga incidenter. Det handlar ofta om mänskliga misstag kopplade till stress, hög arbetsbelastning, bristande rutiner eller otillräcklig introduktion.
En medarbetare kan exempelvis klicka på en skadlig länk, hantera känslig information fel eller kringgå säkerhetsrutiner för att få arbetet att fungera i praktiken.
– Många arbetsgivare underskattar hur starkt arbetsmiljö och ledarskap påverkar risken för den typen av händelser. Stress, otydliga processer och bristande stöd kan i sig bli säkerhetsrisker.
Medvetna insiders har motiv, medvetenhet och uppsåt att skada eller utnyttja organisationen – antingen för egen vinning eller för att gynna någon annan, exempelvis en extern hotaktör.
Det kan handla om att en medarbetare säljer företagshemligheter, medvetet läcker känslig information eller hjälper utomstående att få tillgång till verksamheten.
Men drivkraften behöver inte alltid vara ekonomisk. Enligt Gudmundson kan även långvariga konflikter, upplevd orättvisa eller destruktivt ledarskap bidra till att vissa medarbetare utvecklar ett hämndbegär mot arbetsgivaren.
– I de flesta fall slutar människor bara och går vidare om de är missnöjda på ett jobb eller med en chef. Men en liten klick gör inte det, utan vill hämnas.
Bakgrundskontrollen måste utgå från rollen
Det betyder däremot inte att bakgrundskontroller saknar värde. Enligt Gudmundson är de en viktig del av säkerhetsarbetet – men bara om de utgår från verksamhetens faktiska risker.
– Du måste börja med att förstå vilka risker som finns i en specifik roll. Vilka skyddsvärden finns? Vad kan missbrukas? Det är först då du kan avgöra vilka kontroller som är relevanta.
En befattningsanalys avgör både om en bakgrundskontroll ska göras och hur långt den ska gå för en viss tjänst. Den är också central för att bedöma vilken rättslig grund som kan användas.
– Vår starkaste rekommendation är att man alltid har med sig rätt kompetenser runt bordet: juridik, säkerhet, HR och dataskydd.
Enligt Gudmundson minskar befattningsanalysen också risken för integritetsintrång.
– Du slipper kontrollera alla. Du kan vara selektiv och rikta insatserna där riskerna faktiskt finns utifrån vilken tjänst som behöver vilken säkerhet.
Jobba med kulturen för att minska insiderbrott
För Pierre Gudmundson är slutsatsen tydlig:
– Vill du minska insiderhot på riktigt, då måste du jobba med kultur. Det är där den stora effekten finns.
