Så undviker du säkerhetsmissarna
Vår säkerhet kan hotas av extremister, fientliga främmande makter, organiserad brottslighet och andra otrevliga aktörer. Och på jobbet sitter du med nycklarna till värdefull information. Att skärpa säkerhetstänket är viktigt.
Krig i Sveriges närområde, en utdragen Nato-process, terrorhot och larm om infiltration på statliga myndigheter har lett till ett skärpt fokus på säkerhetsfrågor. Den snabba teknikutvecklingen, liksom nya lagar och EU-direktiv, bidrar till att både medborgare och myndigheter berörs.
Skurkarna – ”antagonisterna” på säkerhetsspråk – kan vara allt från främmande makt, på jakt efter information och att påverka opinionen i landet, till krassa kriminella aktörer som söker ekonomisk vinning.
Alla bör därför fundera på vilken typ av information de hanterar i sitt arbete, tycker David Hughes, sektionschef inom säkerhetsskydd på Säkerhetspolisen, Säpo.
– Det gäller att hålla sig utbildad och uppdaterad. Dels om vilka hanteringsregler som gäller, dels om vilken typ av aktörer som kan vara intresserade av den information jag har tillgång till, säger han.
Katarina Sollgard Norlin, informationssäkerhetsspecialist på Myndigheten för samhällsskydd och beredskap, MSB, påpekar att antagonistiska angrepp, till exempel att någon hackar sig in eller planterar skadlig kod, hamnar först på tredje plats när det kommer till incidenter som rapporteras till myndigheten.
– Det är fortfarande systemfel och interna misstag, att man inte följt rutinerna eller att rutiner saknas, som är de vanligaste incidenterna, säger hon.
Misstag kan bero på trötthet och stress. Men ”den svenska snällheten”, viljan att snabbt hjälpa till, kan också utgöra en risk, tror Mathilda Perisa, informationssäkerhetschef på Göteborgs universitet.
– Vi borde vara lite mer ifrågasättande i allmänhet. Du som sitter bakom datorn är verksamhetens första säkerhetsmur. Det är viktigt att förstå det, säger hon.
Genom att följa säkerhetsexperternas råd går det att avvärja många av hoten. Till att börja med: klicka aldrig på okända länkar och bifogade filer. Om ett mejl eller sms ser ut att komma från din kollega eller chef, men innehåller en lite ovanlig begäran – slå en signal och dubbelkolla. Bedrägeriförsöken blir allt svårare att genomskåda. Så agera inte på autopilot.
Skapa också starka och unika lösenord på alla konton. En lösenordshanterare kan hjälpa, då behöver du bara ha ett lösenord i huvudet. Att använda multifaktorautentisering, MFA, vid inloggning är säkrast. Använd inte din jobbmejl till privata konton och gör de säkerhetsuppdateringar som poppar upp på jobbdatorn och i telefonen.
Om du befinner dig på en plats med offentliga nätverk, exempelvis på tåget eller på ett kafé, använd din jobbdator och VPN, som skyddar din internetanslutning med kryptering, eller vänta tills du kan göra en säker uppkoppling.
Det övergripande rådet de experter som Publikt talat med ger är att följa din organisations regler och anvisningar i allt – och att fråga chefen eller säkerhetsavdelningen om något känns oklart.
Konsekvenserna för medarbetare som slarvat med säkerheten kan bli allt från trötta suckar till åtal för tjänstefel. Men juridiskt efterspel på grund av slarv är väldigt ovanligt. Säkerhetsexperterna betonar i stället hur viktigt det är att medarbetare uppmuntras att rapportera misstag.
– Vi brukar säga att man ska ha en incidenttårta, att man ska fira när någon rapporterat en incident. Då kan orsaken utredas och åtgärder införas så att det inte händer igen, säger Katarina Sollgard Norlin.
David Hughes hoppas att alla statliga myndigheter har en kultur som gör att medarbetare vågar och vill rapportera egna misstag – och att de är så lojala och säkerhetsmedvetna att de gör det direkt.
– Då kan skadan minimeras, säger han.
Är du statsanställd kan du i ditt arbete få hantera säkerhetsskyddsklassificerad information, som har betydelse för landets säkerhet, eller andra sekretessbelagda uppgifter, som exempelvis kan innehålla integritetskänslig information. Men även ”öppen information” ska inte spridas hur som helst, menar David Hughes.
– Det är en omdömesfråga. Det behöver inte vara olagligt att prata om den, men det kan vara klart olämpligt, säger han.
Skulle han se en handläggare i statlig tjänst jobba med bärbar dator i en fullsatt tågkupé skulle han säga: ”Gör inte det!” Det gäller även planeringssamtalet på kaféet och jobbsnacket med kollegorna på krogen.
– Man är kanske inte medveten om att andra individer kan vara intresserade av informationen. I just den typen av offentliga miljöer kan man råka försäga sig, fel person hör det, och då har en sårbarhet uppstått.
Lite sund vaksamhet och nyfikenhet rekommenderar David Hughes även när man ser personer man inte känner igen på arbetsplatsen.
– Ställ en fråga då! Och se till att du vet vem som går bakom dig genom en dörr, eller att det syns på en tjänstelegitimation.
Om man hör eller ser saker som verkar vara ”lite utanför det normala”, eller om en utomstående ställer frågor om ens jobb som ”känns lite konstiga”, är rådet att lita på magkänslan.
– Rapportera till din säkerhetsorganisation. Hellre en gång för mycket än en gång för lite, säger David Hughes.
Han vill inte skrämma någon, betonar han, men väcka ett sunt säkerhetstänk.
Det är viktigt att komma ihåg att det är ett öppet och demokratiskt samhälle vi ska skydda. Yttrandefrihet råder, alla statsanställda har rätt att kontakta medier och berätta om missförhållanden på arbetsplatsen, och arbetsgivaren får enligt lag inte dela ut repressalier när det sker. En tystnadskultur är inget att sträva efter. Men att skydda sig mot systemhotande aktörer handlar om något helt annat, poängterar David Hughes.
– Angrepp förekommer, och man bör vara uppmärksam, säger han.
Så hjälper du till att skydda känslig information
- Håll dig uppdaterad om och följ din organisations regler för allt som rör informationssäkerhet.
- Dubbelkolla alltid innan du klickar på länkar och bifogade filer.
- Skapa unika lösenord för alla konton. Använd multifaktorautentisering, MFA – ”dubbel inloggning” – där det är möjligt.
- Använd inte din jobbmejl till konton utanför jobbet.
- Gör säkerhetsuppdateringar direkt.
- Använd VPN om du kopplar upp dig på offentliga nätverk.
- Var sunt nyfiken på okända personer på och runt din arbetsplats.
- Undvik att prata om jobbärenden i offentliga miljöer.
- Rapportera iakttagelser och dina egna misstag enligt organisationens rutiner.
