Ikke alle sikkerhetshendelser starter med en kryptert server eller et krav om løsepenger. Noen begynner med et oppsigelsesbrev. En omstridt bærbar PC. En selger som hadde tilgang til FoU-data han aldri skulle ha kunnet åpne. Christian Ranum Spohr fra Eagle Shark har lagt fram denne saken – sak 2 fra en gjennomgang som også tok for seg løsepengevirus. Der sak 1 var høylytt, akutt og synlig, var sak 2 stille, langsom og langt vanskeligere å oppdage. Det er nettopp det som gjør den til den mest lærerike av de to. Og det er en sak som viser nøyaktig hvorfor tilgangsstyring etter prinsippet om minste privilegium ikke er en teknisk konfigurasjon – det er en styringsbeslutning med økonomiske konsekvenser.
Når risikoen kommer innenfra
Saken begynte med en oppsigelse. En ansatt i en betrodd stilling ble sagt opp som ledd i en omstrukturering. Han nektet å levere tilbake jobb-PC-en sin. Selskapet antok at det var en enkel tvist. Det var det ikke. Digital etterforskning avslørte at han hadde vært inne i systemer han ikke hadde noe der å gjøre – nærmere bestemt selskapets komplette mappe for forskning og utvikling, med immaterielle verdier anslått til 100 millioner amerikanske dollar. Han var selger. Han hadde ingen legitim grunn til å åpne FoU-data. Men tilgangsrettighetene hadde aldri blitt begrenset. Christian Ranum Spohrs team ble hentet inn. Det som fulgte, var en etterforskning over flere måneder som kombinerte digital etterforskning, fysisk overvåking og juridisk dokumentasjon. Teamet oppdaget at den tidligere ansatte hadde etablert et skallselskap – bemannet med en barndomsvenn og tre naboer – som han kanaliserte kontrakter og betalinger gjennom. Etterforskningen avdekket også en russisk forretningspartner som han hadde vært i jevnlig kontakt med, og dokumenterte fysiske møter mellom de to. Saken ble løst uten å gå til retten. Klagen fagforeningen hadde levert på vegne av den ansatte, ble trukket da bevisene ble lagt fram. PC-en ble til slutt levert tilbake – men den hadde ligget under vann og virket ikke lenger. Tyveriet av immaterielle verdier ble stanset. Den økonomiske eksponeringen ble begrenset til kostnaden for etterforskningen, som var betydelig lavere enn det potensielle tapet på 100 millioner dollar.
Detaljen som gjorde bruddet mulig
Tilgangsrettighetene hadde aldri blitt begrenset. Den ene setningen bærer hele tyngden i denne saken. Ikke et avansert angrep. Ikke en nulldagssårbarhet. Ikke en ekstern motstander som brukte måneder på å kartlegge infrastrukturen. En selger gikk rett inn i FoU-mappen fordi ingen noen gang hadde lukket døren. Christian Ranum Spohr var tydelig på dette: Det fantes en IT-leder som lærte noe viktig av denne saken – ikke fordi verktøyene sviktet, men fordi ingen hadde stilt det riktige spørsmålet. Hvorfor har en selger tilgang til FoU-data? «Det var noen med IT-ansvar som lærte noe viktig av denne saken. Og det er en grunn til at ikke alle skal ha nøklene til alt.» – Christian Ranum Spohr, Eagle Shark
Hva saken viser om tilgangsstyring etter minste privilegium og risikoen for innsidetrusler
I de fleste mellomstore virksomheter hoper tilgangsrettighetene seg opp over tid. Ansatte bytter roller. Prosjekter avsluttes. Rettigheter som ble gitt for et bestemt formål, blir værende lenge etter at formålet er borte. Resultatet er et uoversiktlig tilgangslandskap som ingen har full kontroll over – og som en motivert innsider kan utnytte i månedsvis før noen merker noe. Innsidetrusselen varsler ikke om seg selv. Den utløser ikke alarmer klokken 23 en fredag. Den virker i det stille, innenfor rammene av legitim påloggingsinformasjon, til noen enten oppdager den ved en tilfeldighet eller gjennomfører en bevisst undersøkelse. For IT-ledere – og særlig for CIO-er og CISO-er med ansvar for styring og risiko – er dette et strukturelt problem. Spørsmålet er ikke om de ansatte kan stoles på. De fleste kan det. Spørsmålet er om virksomheten har den operative disiplinen som skal til for å holde tillit og tilgang adskilt. Verizons DBIR for 2025 fant at 29 % av bruddene i EMEA hadde sitt utspring innenfor virksomheten – et tall som understreker hvor stor innsiderisikoen er, særlig for IT-ledere i Norden og Europa.
Tilgangsrettigheter som et styringsansvar
Hver ansatt skal ha tilgang til nøyaktig det rollen krever. Ikke mer. Når en rolle endres – ved forfremmelse, overføring eller oppsigelse – skal tilgangen endres umiddelbart. Og hver tilgang til sensitive systemer skal gi en logg som noen går gjennom. Dette er ikke et teknisk ideal. Det er et krav til styring. NIS2 forventer at virksomheter i EU innfører og dokumenterer risikobaserte tilgangskontroller – og kan vise at kontrollene fungerer i praksis, ikke bare i policydokumenter. Den tidligere ansatte i Christian Ranum Spohrs sak hadde fast tilgang til data som utgjorde selskapets viktigste immaterielle verdier. Det fantes ingen teknisk barriere mellom en selger og FoU verdt 100 millioner dollar. Det er ikke en svikt i tilliten. Det er en svikt i styringen.
Hva IT-ledere kan gjøre før hendelsen inntreffer
CapaOne-plattformen for endepunktadministrasjon gir IT-ledere det operative fundamentet som trengs for å tette dette hullet. CapaOne er utviklet i Danmark og driftet i EU, gir sanntidsinnsikt i hvem som har tilgang til hva i hele IT-miljøet, håndhever prinsippet om minste privilegium og opprettholder revisjonssporet som gjør en sikkerhetshendelse til en dokumentert sak du kan forsvare. Denne funksjonen er ikke unik for endepunktplattformer – styring av rettigheter finnes både i sikkerhetspakker og i endepunktplattformer – men her kjører den som kontinuerlig styring, ikke som et verktøy for å rydde opp etter at en hendelse allerede har skjedd. Når tilgangsrettigheter styres kontinuerlig i stedet for å settes én gang og glemmes, krymper vinduet for uoppdaget misbruk fra innsidere betydelig. Avvik blir synlige. Arbeidsflyter ved oppsigelse utløser automatisk tilbaketrekking av tilganger. Selgerens vei til FoU-mappen finnes ikke lenger. CapaOne er en komplett plattform for endepunktadministrasjon – laget for å fungere med Microsoft Intune, eller helt uten – og tetter styringshullet innsidetrusler oftest utnytter: faste tilgangsrettigheter som burde vært fjernet, og blindsoner i innsikten i endepunktene som gjør at misbruk kan fortsette uoppdaget. Den tidligere ansatte i denne saken gikk gjennom en dør som burde vært lukket den dagen rollen hans endret seg. I de fleste virksomheter står den døren fortsatt åpen – for noen. Det er den egentlige innsidetrusselen. Ikke personen. Hullet. Book en demo av CapaOne-plattformen for endepunktadministrasjon →
