1. Nytt jobb

Alex är en person i 40-årsåldern med goda meriter som har sökt anställning på Infrastrukturmyndigheten. Tjänsten är placerad i säkerhetsklass och Alex ska jobba inom säkerhetskänslig verksamhet, vilket innebär att den är av betydelse för Sveriges säkerhet på nationell nivå. Innan Alex anställs genomför arbetsgivaren därför en säkerhetsprövning för att undersöka lojalitet, pålitlighet och sårbarheter hos Alex.

Lojalitet bedöms utifrån till exempel anti-demokratisk ideologisk övertygelse eller problematisk anknytning till utlandet. Pålitlighet tar till exempel sikte på om en person är allmänt slarvig och förhåller sig pragmatiskt till regler. Sårbarheter kan uppstå efter hand och är något det inte alltid går att styra över själv, som att en närstående har belastande kontakter.

2. Säkerhetsprövning

I grundutredningen granskar arbetsgivaren intyg, betyg och referenser och genomför en säkerhetsprövningsintervju. Inget tyder på att Alex skulle vara illojal, opålitlig eller ha några sårbarheter ur säkerhetshänseende. Infrastrukturmyndigheten begär även registerkontroll hos Säkerhetspolisen. Eftersom Alex befattning är placerad i säkerhetsklass på nivå 2 gör Säkerhetspolisen en särskild personutredning och tittar närmare på Alex. Eftersom befattningen är placerad i denna säkerhetsklass görs även en kontroll av Alex sambo.

Allt ser ut att vara i sin ordning och arbetsgivaren godkänner Alex.

Arbetsgivaren verkar ha en bra process för säkerhetsprövning. Lika viktigt är att arbetsgivare har klart för sig vilka befattningar som involveras i det som är säkerhetskänsligt, så att de inte missar att göra säkerhetsprövning för vissa befattningar.

3. Säkerhetsskyddslagen

Eftersom Infrastrukturmyndigheten där Alex nu fått jobb bedriver säkerhetskänslig verksamhet lyder den under säkerhetsskyddslagen. Lagen säger att en sådan verksamhet måste skydda sig enligt vissa krav, och vidta åtgärder inom tre kategorier: fysisk säkerhet, informationssäkerhet och personalsäkerhet.

Fysisk säkerhet handlar till exempel om skydd mot intrång och sabotage, som stängsel, vakter och låssystem. Informationssäkerhet handlar om att värna skyddsvärd information och viktiga system som alltid måste fungera. Personalsäkerhet handlar om att se till att personalen är lämplig ur ett säkerhetshänseende.

4. Säkerhetsskyddsanalys

För att bedöma vilka delar av verksamheten som är säkerhetskänsliga har Infrastrukturmyndigheten gjort en säkerhetsskyddsanalys. Det är de skyldiga att göra enligt lagen. Analysen visar på vad som är skyddsvärt i verksamheten och vilka åtgärder som behövs: vad ska skyddas, mot vad ska det skyddas och hur ska det skyddas?

Det kan vara specifika delar eller viss information som är skyddsvärd, och utan korrekt analys blir åtgärderna kanske inte tillräckliga eller felriktade. Många verksamhetsutövare har svårt att identifiera sina skyddsvärden vilket är problematiskt eftersom allt säkerhetsskyddsarbete bygger på att skydda det som identifierats som skyddsvärt.

5. Utbildning i säkerhetsskydd

När anställningen börjar får Alex direkt gå en utbildning i säkerhetsskydd, vilket är en annan viktig del i personalsäkerhetsarbetet på Infrastrukturmyndigheten.

Utbildningen syftar till att höja kunskapen om säkerhetsskydd och bygga en säkerhetskultur så att medarbetare följer de rutiner och bestämmelser som finns.

6. Skyddsvärden

I sin befattning kommer Alex att få tillgång till både säkerhetsskyddsklassificerad information och andra skyddsvärden:

Dels är det en ledningscentral som alltid måste fungera. Det innebär att den är säkerhetskänslig ur ett tillgänglighetsperspektiv.

Dels är det ett informationssystem som måste fungera och informationen i systemet måste vara korrekt. Det är alltså säkerhetskänsligt ur ett tillgänglighetsperspektiv och ett riktighetsperspektiv.

Alex får också tillgång till uppgifter i ett internt informationssystem som är säkerhetsskyddsklassificerade och inte får hamna i orätta händer. Det är säkerhetskänsligt ur ett konfidentialitetsperspektiv.

7. Privatliv i balans

Åren går och Alex gör ett bra jobb på myndigheten. Utöver sambon finns nu två barn i familjen. Ekonomin är i ordning och Alex har blivit ordförande i bostadsrättsföreningen. Kort sagt mår Alex bra och trivs med tillvaron.

8. Sårbarheter

Plötsligt förändras livet, Alex sambo lämnar. Alex blir förkrossad, känner sig övergiven, börjar dricka för mycket alkohol och slutar gå till gymmet. På jobbet berättar Alex om separationen men är sparsam med detaljer eftersom det känns för privat.

Det finns saker man inte berättar för vem som helst, men detta är en situation som skapar nya sårbarheter. Förutom att separationen påverkar måendet är det vanligt att ekonomin blir sämre. Om främmande makt vill kartlägga myndigheten är det möjligt att de försöker hitta en ingång hos anställda som Alex.

9. Vänner

Alex får en kontaktförfrågan på LinkedIn av Robin, som jobbar i samma bransch. De börjar chatta med varandra, ses på en lunch och börjar umgås. Snart har Alex en ny nära relation. Efter en utekväll med Robin försover sig Alex och blir utskälld av sin chef inför kollegorna. Strax efteråt går en befordran Alex hoppats på till en annan kollega. Alex börjar vantrivas och känna sig besviken på arbetsgivaren. Men Robin ger mycket bekräftelse, är intresserad av Alex arbete och ställer många frågor, vilket Alex tycker är roligt.

10. Informationssystem

En dag ber Robin Alex att kolla upp en sak i ett it-system som finns på myndigheten. Alex som inte längre gillar sitt jobb särskilt mycket tycker inte frågan känns konstig. Informationen finns i ett system som alla anställda har tillgång till och som inte är försett med något särskilt skydd. Det tycker Alex är lite konstigt men det känns inte riskabelt att göra Robin en tjänst.

Här har myndigheten i sin säkerhetsskyddsanalys missat att identifiera att systemet innehåller säkerhetsskyddsklassificerad information. Vem som helst ska inte kunna läsa vad som helst, utan det behövs en tydlig behörighetsstyrning. Sådana system ska också ha säkerhetsloggar, så att det går att följa upp vem som tagit del av viss information.

11. Säkerhetsprövning – igen

Myndigheten har också missat att fånga upp nya sårbarheter hos Alex. En säkerhetsprövningsprocess som pågår kontinuerligt är ett bra skydd mot insiders. Säkerhetsprövningen behöver göras fortlöpande, till exempel genom att den närmaste chefen ställer frågor om livet vid sidan av arbetet i samband med uppföljningssamtal och utvecklingssamtal.

Målet är att chef och medarbetare ska ha en sådan relation att medarbetaren i ett tidigt skede informerar chefen om något förändras. Det är viktigt att skapa ett förtroendefullt och öppet klimat mellan chef och medarbetare Men även om myndigheten brustit i detta hade läckan kunnat undvikas om myndigheten gjort en noggrann analys av sina skyddsvärden och skyddat informationen som låg i det öppna systemet.

12. Säkerhetskultur

Ledningen har ett ansvar att placera säkerhetsskyddschefen på strategisk nivå och se till att säkerhetsfrågorna alltid är närvarande. Processer, metoder, rutiner och organisationssystem ska genomsyras av ett högt säkerhetsmedvetande.

Infrastrukturmyndigheten bör också jobba för en bättre säkerhetskultur på arbetsplatsen. Människorna som arbetar i säkerhetskänslig verksamhet och hur de agerar i olika situationer kan utgöra skillnaden mellan bra och dålig säkerhet. Chefer på olika nivåer behöver agera som föredömen och efterleva regelverk på alla plan. I en organisation med en bra säkerhetskultur kan Alex lyfta sina privata problem med sin chef eller någon annan på jobbet och den som uppmärksammar att information finns i fel system rapporterar det omedelbart. Då hade läckan kunnat stoppas. Det ska vara lätt att göra rätt, men också okej att göra fel i bemärkelsen att medarbetare ska våga lyfta brister eller problem med säkerheten för att organisationen sedan ska kunna åtgärda bristerna.

Vi lämnar Alex för denna gång. Arbetsgivaren har ännu inte upptäckt vad som hänt. Det finns verktyg för att skydda information och förhindra insiders i verksamheter. Några av dessa har presenterats i den fiktiva berättelsen om Alex.