Beskyt jer mod sabotage

Den øverste ledelse skal eje risikoen. Det skal være tydeligt, hvem der har ansvar for den samlede sikkerhed, og hvem der kan træffe beslutninger og iværksætte tiltag ved en hændelse.

Overvej om der er grundlag for at iværksætte nye sikkerhedstiltag med afsæt i det aktuelle trusselsbillede. For at kunne prioritere jeres indsats, bør I identificere de leverancer, anlæg, systemer, personer og leverandører, hvis bortfald vil ramme jer hårdest.

Det er vigtigt at tænke helhedsorienteret i sine sikkerhedsløsninger. Dette gælder både på tværs af det digitale og fysiske domæne, hvor sårbarheder i ét område kan skabe eller forstærke risici i et andet. Et cyberangreb kan understøtte fysisk sabotage, eksempelvis ved at ramme produktion, overvågning eller adgangskontrol. Fysisk adgang kan omvendt være vejen ind i organisationens it-systemer.

Den helhedsorienterede tilgang er også relevant inden for fysisk sikring, hvor forskellige typer af sikringstiltag bør ses i sammenhæng frem for som enkeltstående løsninger. Effekten af ét tiltag er nemlig aldrig bedre end “det svageste led”. Selv effektive tekniske og fysiske sikringstiltag kan miste effekt, hvis de ikke fx understøttes af hensigtsmæssig adfærd. I den forbindelse er det relevant at arbejde helhedsorienteret med sikkerhed, således at en potentiel fjendtlig aktør møder flere barrierer, selv hvis én foranstaltning omgås eller svigter.

Fjendtlige aktører kan forsøge at få uautoriseret adgang til organisationer ved at foregive at være en medarbejder, en vikar, en leverandør, en håndværker eller lignende. Sørg derfor for at have overblik over alle med adgang til jeres organisation. Adgange skal begrænses for hver medarbejder, således at de kun har adgang til de områder og systemer, som er nødvendige for deres opgaveløsning. Adgange, både fysiske og digitale, skal lukkes straks efter fratrædelse.

Det er også vigtigt at have styr på, hvem og hvad der kommer ind i organisationen. Det kan blandt andet sikres gennem en fast procedure for varemodtagelse, så det kontrolleres, at de modtagne varer svarer til det, der er bestilt, og at de kommer fra den forventede leverandør. Overvej om I kan have faste leverandører for at undgå at lukke ukendte ind. Hav regler for, at leverandører og andre gæster skal følges rundt inden for organisationens lokalitet, så det sikres, at de kun har adgang til de steder, hvor de har et legitimt ærinde.

Læs mere om, hvordan I håndterer besøg på https://samsik.dk/informationssikkerhed/besoeg/

Fjendtlige aktører er opportunistiske og vil ofte forsøge at udnytte organisationens svageste punkter ifm. planlægning eller udførelse af en sabotagehandling. Sørg for at holde øje med eventuelle sårbarheder, der vil kunne udnyttes med enkle midler. Gennemgå derfor sikkerheden i hegn, porte, døre, alarmer, kameraer, adgangskort, fjernadgange, privilegerede konti, sikkerhedsopdateringer i både IT og OT samt backup for at imødegå de mest åbenlyse sårbarheder.

Styrk jeres robusthed over for sabotage ved at sprede kritiske lagre, systemer og produktionskapacitet, og sørg for at opbevare flere kopier af backups. På den måde kan én sabotagehandling ikke standse hele driften.

For at undgå eksponering og dermed minimere risikoen for at blive et mål, bør I gennemgå hjemmesider, jobopslag, sociale medier, billeder og referenceprojekter. Fjern unødige oplysninger om lokaliteter, adgangsforhold, nøglepersoner, teknologi, leverancer og kritiske afhængigheder. Det gælder både, hvordan organisationen kommunikerer, men også hvad medarbejdere deler om organisationen på fx sociale medier.

I forbindelse med planlægningen af en sabotagehandling, indsamler den fjendtlige aktør oplysninger, der kan bruges til angrebet.

Medarbejderne ved ofte, hvordan den normale drift ser ud. De vil derfor ofte være de første til at opdage mistænkelige hændelser som fotografering af bygning, et lager, transportmidler eller adgangsforhold eller observationer af droner, ukendte køretøjer, beskadigede hegn, fremmede genstande eller usædvanlige spørgsmål.

Sørg for, at medarbejderne har de rette forudsætninger for at udvise sikker adfærd og for at sikre den fulde effekt af de fysiske sikringstiltag, fx via awareness-kampagner og træning.

Sørg for at jeres medarbejdere forstår og kan reagere på sabotagetruslen. En forespørgsel på en usædvanlig opgave, som fx tilbud om fotoopgaver, informationsindsamling eller andre små tjenester fra en ukendt person bør få jeres medarbejdere til at stoppe op. Krav om diskretion, skiftende profiler på online platforme eller usædvanlige betalingsformer kan være yderligere advarselstegn, som medarbejdere bør være opmærksomme på. Kommunikér til jeres medarbejdere, at de derfor skal være opmærksomme og rapportere til organisationens sikkerhedsansvarlige, hvis de oplever usædvanlige forespørgsler, eller hvis de oplever mistænkelig adfærd omkring organisationen eller ved andre medarbejdere.

For at sikre at medarbejdere indrapporterer mistænkelige hændelser eller observationer, er det vigtigt, at medarbejderne ved, hvor de skal melde observationer. Medarbejderne bør ikke selv konfrontere mistænkelige personer, men registrere og melde observationerne til de sikkerhedsansvarlige. Orientér jeres medarbejdere om, at hvis de mistænker, at der kan være tale om ulovlige handlinger, bør de kontakte politiet.
Det er vigtigt, at medarbejderne kan indberette noget mistænkeligt uden først selv at skulle afgøre, om det fx er “rigtig” spionage. En observation skal tages alvorligt, også hvis den senere viser sig at være uskyldig.

For at minimere konsekvenserne af en eventuel sabotagehandling, bør I have styr på beredskabet. Sørg for, at jeres beredskabsplaner er opdaterede og tilgængelige, og at alle relevante personer er bekendt med deres ansvar og roller i beredskabet i tilfælde af en hændelse. Aftal på forhånd:

• hvem der leder indsatsen
• hvem der kontakter myndighederne
• hvordan mennesker og kritiske funktioner beskyttes
• hvordan spor og dokumentation bevares
• hvordan den mest kritiske drift genetableres

Sørg for at have en plan for krisekommunikation i forbindelse med en hændelse, både internt til medarbejdere og til eksternt brug.

Øv jeres planer. Afprøv et scenarie, hvor jeres organisation udsættes for sabotage, for at blive bedre til at håndtere en reel hændelse.