Kun small talkista tulee turvallisuusriski

KUN SMALL TALKISTA TULEE TURVALLISUUSRISKI

HUMINT eli henkilötiedustelu voi alkaa aivan tavallisesta keskustelusta. Se voi olla kohtaaminen konferenssissa, uusi LinkedIn-yhteys tai kahvitapaaminen henkilön kanssa, joka vaikuttaa kiinnostuneelta työstäsi. Keskustelun lomassa hän kyselee työstäsi, projekteistasi tai ihmisistä ympärilläsi. Kysymykset eivät yksistään välttämättä tunnu mitenkään erikoisilta, mutta saattavat muodostaa yhdessä potentiaalisen tietoturvariskin.

HiQ:n kansallisen turvallisuuden ja turvallisuussuojaamisen johtaja sekä Ruotsin sotilastiedustelu- ja turvallisuuspalvelu MUSTin entinen tiedustelu-upseeri Anders Spalding kertoo, miten HUMINT toimii käytännössä Spionpoddenin podcast jaksossa.

Moderni vakoilu näyttää harvoin elokuvilta

Vakoilu tuo helposti mieleen salaiset asiakirjat, salatut viestit ja tapaamiset pimeillä kujilla. Todellisuus on usein hyvin arkisempi. Tietoa kerätään tavallisissa keskusteluissa, alan tapahtumissa, työmatkoilla ja verkossa. Ammattilaiset vaihtavat kokemuksia ja rakentavat suhteita. Samalla puhumme työstämme, projekteistamme, kollegoistamme ja kohtaamistamme haasteista. Se kuuluu normaaliin verkostoitumiseen ja ammatilliseen yhteistyöhön.

Useimmat näistä keskusteluista ovat tietenkin täysin harmittomia. Keskusteluiden avoimuutta voi kuitenkin hyödyntää henkilö, jonka tarkoitusperät ovat hyvin erilaiset. Pienistä yksityiskohdista voi saada paljon tietoa organisaation toiminnasta, päätöksenteosta, haasteista ja mahdollisista haavoittuvuuksista.

Tavalliset kysymykset voivat paljastaa enemmän kuin ajattelet

Tiedon hankkiminen keskustelun avulla (engl. elicitation) tarkoittaa tekniikkaa, jossa tietoa pyritään saamaan ilman suoria tai selvästi arkaluonteisia kysymyksiä. Keskustelu voi tuntua täysin tavalliselta, vaikka toisella osapuolella olisi selkeä tiedustelutavoite. Henkilö voi esimerkiksi pyytää vahvistamaan jonkin yleisesti tiedossa olevalta vaikuttavan asian, esittää tarkoituksella virheellisen väitteen tai osoittaa kiinnostusta aiheeseen, jonka toinen tuntee hyvin. Tällaisessa tilanteessa keskustelukumppani saattaa huomaamattaan täydentää tietoja, korjata väärän väitteen tai kertoa aiheesta enemmän.

Keskustelussa voidaan kysellä esimerkiksi organisaation käyttämistä järjestelmistä, projektin etenemisestä, toimitusten viivästymisistä ja päätöksistä vastaavista henkilöistä. Tavallisia työasioita, joista tulee helposti puhuttua ilman sen suurempaa harkintaa.

Henkilötiedustelussa suhdetta voidaan rakentaa vähitellen. Mitä tutummaksi toinen ihminen tulee, sitä luontevammalta hänen kanssaan on puhua myös työhön liittyvistä asioista. Samalla keskustelut voivat ajan myötä siirtyä yleisistä aiheista tarkempiin kysymyksiin. Luottamus tekee tiedon hankkimisesta tehokkaampaa, koska tutun ihmisen kysymyksiin ei välttämättä suhtaudu samalla tavalla kuin täysin vieraan.

Kaiken arvokkaan tiedon ei tarvitse olla salaista

Myös tavallinen työhön liittyvä tieto voi olla ulkopuoliselle arvokasta. Organisaatio koostuu ihmisistä, teknologiasta, toimittajista, prosesseista ja niiden välisistä riippuvuuksista. Kun näiden väliset yhteydet tunnetaan, voidaan tunnistaa myös mahdollisia heikkouksia ja sisäänpääsyn kohtia.

Arvokasta tietoa voivat olla esimerkiksi:

Henkilöt, joilla on keskeisiä vastuita tai laajat käyttöoikeudet
Toimittajat, järjestelmät ja tekniset alustat
Sisäiset haasteet, viivästykset tai organisaatiomuutokset
Tulevat projektit, hankinnat ja rekrytointisuunnitelmat
Miten päätöksiä tehdään ja ketkä niihin vaikuttavat
Työtavat, matkustustottumukset ja operatiiviset rutiinit

Minkään näistä tiedoista ei välttämättä tarvitse olla luottamuksellista. Yhdistettynä ne voivat kuitenkin tukea tiedustelua, sosiaalista manipulointia tai kyberhyökkäyksen valmistelua.

Linkedin on myös organisaatiosi kartta

LinkedInissä kerromme rooleistamme, projekteistamme ja uramuutoksistamme, kun taas yritykset julkaisevat tietoa kumppanuuksista, rekrytoinneista ja liiketoimintahankkeista. Kun toinen tietää jo roolisi, kollegasi ja organisaatiosi ajankohtaiset painopisteet, hänen on helpompi lähestyä sinua uskottavasti.

LinkedIn ja uusien ammatillisten suhteiden rakentaminen kuuluvat normaaliin työelämään. Samalla kannattaa miettiä, mitä tietoa itsestään ja organisaatiostaan jakaa julkisesti.

Tietoisuutta ilman vainoharhaisuutta

Hyvä turvallisuuskulttuuri ei rajoita normaalia keskustelua tai verkostoitumista. Jos joku osoittaa toistuvasti poikkeavaa kiinnostusta organisaation toimintaan tai työhön liittyviin asioihin, siihen kannattaa kiinnittää huomiota. Työntekijän ei tarvitse itse päätellä, mistä kiinnostus johtuu. Jos tilanne tuntuu poikkeavalta, siitä ilmoitetaan organisaation turvallisuudesta vastaavalle henkilölle tai sovitun ilmoituskanavan kautta.

Kysymyksiä, joita kannattaa pohtia:

Miksi tämä henkilö tarvitsee tätä tietoa?
Ovatko nämä kysymykset perusteltuja hänen roolinsa ja tilanteen kannalta?
Yrittääkö hän saada minut vahvistamaan tai korjaamaan tietoa?
Onko suhde muuttunut vähitellen henkilökohtaisemmaksi, tai ovatko kysymykset muuttuneet yhä yksityiskohtaisemmiksi?
Tiedänkö, keneen ottaa yhteyttä, jos jokin ei tunnu oikealta?

Miten organisaatiot voivat vahvistaa resilienssiään

Tekniset kontrollit ovat välttämättömiä, mutta ne eivät ratkaise koko ongelmaa. Kun ihmisistä tulee reitti tietoon, turvallisuuden on keskityttävä myös ihmisiin.

Organisaatiot voivat vahvistaa resilienssiään seuraavilla tavoilla:

Tee koulutuksesta käytännönläheistä

Yleisluonteisia ohjeita, kuten ”ole varovainen”, on vaikea soveltaa tosielämässä. Käytä esimerkkejä konferensseista, rekrytointiprosesseista, sosiaalisesta mediasta, asiakastapaamisista ja muista tilanteista, joita työntekijät kohtaavat säännöllisesti.

Selitä pienten tietojen arvo

Työntekijöiden on ymmärrettävä, että turvallisuusriskit eivät rajoitu salassa pidettäviin asiakirjoihin. Myös näennäisesti harmiton tieto voi muuttua arkaluonteiseksi, kun se yhdistetään muuhun tietoon.

Luo selkeät ilmoituskanavat

Työntekijöiden tulee tietää tarkasti, keneen ottaa yhteyttä, jos jokin tuntuu epätavalliselta. Ilmoittamisen tulee olla vaivatonta, eikä ihmisten pidä kokea, että heidän täytyy todistaa todellisen uhan olemassaolo ennen kuin he ottavat asian puheeksi.

Ota koko organisaatio mukaan

Turvallisuustietoisuuden ei pidä rajoittua johtoon tai turvallisuusselvitettyihin työntekijöihin. Vastaanoton työntekijät, HR-ammattilaiset, hankintatiimit, viestintä, myynti, IT ja ulkoiset konsultit voivat kaikki kohdata ihmisiä, jotka pyrkivät hankkimaan tietoa.

Käsittele tietoisuutta jatkuvana työnä

Yksi vuosittainen koulutus harvoin riittää. Turvallisuustietoisuuden on pysyttävä osana arjen työtä jatkuvan vuoropuhelun, käytännön harjoitusten ja vakiintuneiden toimintatapojen kautta.

Tunnistaminen on osa turvallisuutta

Organisaation turvallisuus ei ole vain turvallisuustiimin vastuulla. Jokainen työntekijä näkee työssään asioita, joita tekniset järjestelmät eivät näe. Siksi henkilöstön havainnot ovat tärkeä osa organisaation turvallisuutta. Turvallisuuskulttuuri toimii silloin, kun poikkeavista tilanteista uskalletaan kertoa ja niiden käsittelyyn on selkeä tapa.

Vakoilu ei aina ala dramaattisesti. Joskus siihen riittää tavallinen keskustelu ja muutama oikea kysymys.