Kraftsektoren er en av Norges mest kritiske infrastrukturer. Uten stabil og sikker strøm stopper sykehus, digital infrastruktur, industri, nødetater og samfunnets grunnleggende funksjoner. Samtidig øker kompleksiteten og sårbarheten i sektoren: mer digitalisering, mer fjernstyring, mer integrasjon mellom IT og OT, og et skjerpet trusselbilde.Mens oppmerksomheten ofte rettes mot cyberangrep og eksterne aktører, peker både nasjonale og internasjonale erfaringer på noe annet:
Den mest utfordrende risikoen kan komme innenfra – fra personer med legitim tilgang.
Dette er innsidetrusselen.
En innsidetrussel handler om risiko som oppstår fra personer på innsiden av virksomheten. Dette er aktører som allerede har legitim tilgang til systemer, informasjon eller fysiske områder, og som kan påføre virksomheten skade, enten bevisst eller ubevisst.
Typiske former for innsidetrusler er:
Det som gjør innsidetrusselen spesielt krevende å avdekke, er at disse personene allerede opererer innenfor virksomhetens tillitsrammer. De har:
Der eksterne trusselaktører må bryte seg inn, omgå sikkerhetsmekanismer og etterlate spor, har insideren allerede den tilgangen som trengs. Dette gjør at uønskede handlinger ofte kamufleres som normal arbeidsaktivitet, og at tradisjonelle sikkerhetstiltak alene ikke er tilstrekkelige for å håndtere innsiderisiko.
Kraftforsyningen skiller seg ut fra andre sektorer på flere måter:
Her kan en enkelt handling, med eller uten intensjon, gi store driftsmessige konsekvenser eller svekke beredskapen.
Kraftberedskapsforskriften stiller tydelige krav til personkontroll.
KBO-enheter skal gjennomføre bakgrunnssjekk før ansettelse, og kan også kreve kredittsjekk for personer som skal få tilgang til anlegg eller systemer i klasse 2 og 3. Før kredittsjekk tas i bruk, må virksomheten gjøre en risikovurdering, og opplysningene skal slettes etter endt vurdering.
Formålet er å sikre at personer med tilgang til klassifiserte systemer og anlegg er egnet og tilstrekkelig vurdert. Kravet gjelder ikke for personell som er sikkerhetsklarert etter sikkerhetsloven.
I praksis velger mange virksomheter å gå lenger enn minstekravene og inkludere innleid personell, leverandører, underleverandører og personer med indirekte teknisk tilgang som et ekstra sikkerhetslag rundt kritiske systemer.
Les hele kraftberedskapsforskriften på Lovdata sine sider.
Personellsikkerhet handler ikke om å mistenkeliggjøre ansatte. Det handler om:
Et solid personellsikkerhetsarbeid består blant annet av:
Når dette fungerer godt, reduseres både bevisste og utilsiktede innsidetrusler.
I kraftbransjen er bakgrunnssjekk ikke en formalitet, den er en integrert del av beredskapsarbeidet. Bakgrunnssjekk gir:
Les mer om hvordan du kan bygge gode bakgrunnssjekkrutiner her.
Sårbarhetsvurderinger og sikkerhetssamtaler utfyller dette ved å gi innsikt i forhold som kan endre seg over tid, som:
Sammen gir disse to metodene en langt mer robust vurdering av risiko enn noen av dem alene.
Effektivt personellsikkerhetsarbeid handler like mye om å skape trygghet som å håndtere risiko.
Når tiltakene er:
…øker også tilliten internt. Ansatte forstår sin rolle i å beskytte virksomheten, og sikkerhetskulturen blir sterkere og mer motstandsdyktig.
Semac støtter kraftsektoren med:
Målet er å gi virksomhetene et tydeligere risikobilde – og bedre beslutningsgrunnlag.
Semac bistår gjerne med innsikt og veiledning. Ta kontakt for en uforpliktende prat om hvordan dere kan styrke sikkerheten rundt kritiske tilganger.