Anders Spalding, chef för National Security (säkerhetsskydd) på HiQ och tidigare underrättelseofficer vid MUST, gästar Spionpodden för ett samtal om HUMINT – personbaserad underrättelseinhämtning. Han förklarar hur människor kartläggs, hur relationer byggs och varför även information som verkar harmlös kan vara värdefull för den som ser hela bilden.

Spioneri ser sällan ut som på film

Ordet spioneri leder lätt tankarna till hemliga dokument, kodade meddelanden och möten i mörka gränder. Verkligheten är ofta mindre dramatisk.

Information kan samlas in genom vanliga samtal. På konferenser, branschträffar, resor och digitala plattformar möts människor som arbetar inom olika delar av näringslivet och offentlig sektor. Vi berättar om våra roller, projekt, kollegor och utmaningar. Det är en naturlig del av att lära känna andra och bygga professionella relationer.

Det mesta av detta är förstås helt ofarligt. Men samma öppenhet kan också utnyttjas av någon som har ett annat syfte med kontakten.

Det intressanta behöver inte vara en enskild hemlighet. Det kan vara små uppgifter som tillsammans visar hur en organisation fungerar, vem som fattar beslut, vilka problem som finns eller var verksamheten är sårbar.

Hur vanliga frågor kan avslöja mer än du tror

Elicitation är en metod för att få fram information utan att ställa tydliga eller känsliga frågor rakt ut. Samtalet kan kännas spontant och jämlikt, samtidigt som den ena personen har ett tydligt informationsmål.

Det kan handla om att bekräfta något som redan verkar känt, göra ett medvetet felaktigt påstående eller visa stort intresse för ett område där den andra personen har specialistkunskap. Vi människor vill gärna hjälpa till, rätta missförstånd och visa vad vi kan.

En fråga behöver därför inte låta misstänkt för att ge ett användbart svar.

Samtalet kan exempelvis handla om vilka system en organisation använder, hur ett projekt går, varför en leverans är försenad eller vem som ansvarar för en viss fråga. Varje uppgift kan verka obetydlig. I kombination med annan information kan den däremot bidra till en betydligt tydligare bild av verksamheten.

Förtroende byggs steg för steg

Personbaserad informationsinhämtning är sällan en enstaka fråga. Kontakten kan utvecklas över tid.

Det börjar kanske med en kontaktförfrågan på LinkedIn eller ett samtal under en konferens. Därefter följer fler kontakter, gemensamma intressen och en relation som känns alltmer naturlig.

När förtroendet växer förändras också vad vi är beredda att dela. Frågorna kan gradvis bli mer specifika, samtidigt som varje enskilt steg fortfarande känns rimligt.

Där ligger en viktig del av utmaningen: vi reagerar ofta på enskilda frågor, medan den som samlar information arbetar långsiktigt och ser hela kedjan.

”Jag arbetar inte med något hemligt”

Det är lätt att tänka att säkerhetsskydd bara berör personer med tillgång till säkerhetsklassificerad information. Men även den som inte arbetar direkt med känsliga uppgifter kan ha information som är intressant.

En organisation består av människor, teknik, leverantörer, processer och beroenden. Den som förstår hur delarna hänger ihop kan också identifiera svagheter och möjliga vägar in.

Det kan därför finnas ett värde i information om exempelvis:

• vilka personer som har särskilda roller eller behörigheter
• vilka leverantörer, system och tekniska lösningar som används
• förändringar, förseningar eller interna problem
• kommande projekt, upphandlingar och rekryteringar
• hur beslut fattas och vilka personer som påverkar dem
• arbetssätt, resor och andra praktiska rutiner

Ingen av uppgifterna behöver vara hemlig i sig. Men tillsammans kan de bli användbara för underrättelseinhämtning, social manipulation eller förberedelser inför ett cyberangrepp.

LinkedIn är också en karta över organisationen

Digitala plattformar gör det enklare än någonsin att kartlägga både människor och verksamheter.

På LinkedIn berättar vi gärna vad vi arbetar med, vilka projekt vi är stolta över och när vi byter roll. Företag publicerar nyheter om nya avtal, tekniska satsningar, rekryteringar och samarbeten. Informationen fyller ett legitimt syfte – men den kan samtidigt användas för att skapa trovärdiga kontaktförsök.

En person som redan känner till din roll, dina kollegor och organisationens aktuella projekt behöver inte börja samtalet från noll. Kontakten kan direkt upplevas som relevant och påläst.

Lösningen är inte att sluta använda LinkedIn eller undvika nya kontakter. Men vi behöver förstå att den information vi publicerar påverkar hur enkelt det är att bygga en trovärdig bild av oss.

Kunskap utan paranoia

Ett bra säkerhetsarbete ska inte göra människor rädda för att prata med varandra. Det ska göra det enklare att känna igen situationer där något inte stämmer och veta hur man ska agera.

Medarbetare behöver inte själva avgöra om en kontakt är ett värvningsförsök. Däremot behöver de kunna reagera när någon visar ett återkommande och ovanligt intresse för personer, system, projekt eller interna förhållanden.

Några frågor kan vara värda att ställa sig:

• Varför behöver personen den här informationen?
• Är frågorna rimliga utifrån personens roll och sammanhanget?
• Försöker personen få mig att bekräfta eller korrigera uppgifter?
• Har kontakten gradvis blivit mer personlig eller frågorna mer detaljerade?
• Vet jag vart jag ska vända mig om en kontakt känns fel?

Målet är inte misstänksamhet. Målet är en vardag där det är naturligt att stanna upp, tänka efter och rapportera sådant som avviker.

Vad organisationer kan göra redan idag

Tekniska skydd är viktiga, men de löser inte hela problemet. När människor är vägen till information behöver säkerhetsarbetet också utgå från människors vardag.

Organisationer kan stärka sin motståndskraft genom att:

Göra utbildningen konkret

Generella uppmaningar om att ”vara försiktig” är svåra att omsätta i praktiken. Använd exempel från konferenser, rekryteringskontakter, sociala medier, kundmöten och andra situationer som medarbetarna känner igen.

Förklara värdet av små informationsbitar

Medarbetare behöver förstå att risk inte bara handlar om att lämna ut hemliga dokument. Även till synes oskyldig information kan bli känslig när den kombineras med andra uppgifter.

Skapa enkla rapporteringsvägar

Det måste vara tydligt vem en medarbetare ska kontakta om något känns avvikande. Tröskeln bör vara låg och rapporteringen ska kunna ske utan att personen först behöver bevisa att ett faktiskt hot finns.

Ta hand om hela organisationen

Säkerhetsmedvetenhet får inte stanna hos ledningen eller de personer som har säkerhetsklassade roller. Reception, HR, inköp, kommunikation, teknik, försäljning och externa konsulter kan alla möta personer som söker information.

Arbeta långsiktigt

En årlig utbildning räcker sällan. Säkerhetsmedvetenhet behöver hållas levande genom återkommande samtal, övningar och tydliga rutiner.

Säkerhet börjar med att förstå hur hot uppstår

Organisationer arbetar i dag i ett läge där information är lättillgänglig och kontaktytorna är många. Det gör samarbete enklare – men också kartläggning.

Därför räcker det inte att enbart uppfylla regelverk eller införa fler tekniska kontroller. Verksamheter behöver förstå hur hot kan uppstå i praktiken och ge medarbetarna kunskap att agera när något känns fel.

Spioneri börjar inte alltid med en dramatisk händelse. Ibland börjar det med ett helt vanligt samtal.

Och någon som ställer lite för rätt frågor.

Lyssna på samtalet

I Spionpoddens avsnitt När småpratet blir spioneri – hantverket bakom HUMINT berättar Anders Spalding, chef för säkerhetsskydd på HiQ, mer om elicitation, värvning och hur vardagliga relationer kan användas för att samla information.

Lyssna på avsnittet för att få en inblick i människans roll i underrättelsearbetet – och varför kunskap är en viktig del av organisationens motståndskraft.

Kontakta oss om ni vill diskutera hur er organisation kan stärka sitt säkerhetsskydd.