Organiserte kriminelle nettverk leter ikke bare etter svakheter i teknologien. De leter også etter mennesker, relasjoner og virksomheter som kan gi dem tilgang. Nye advarsler fra Kripos og Økokrim aktualiserer behovet for bedre personellsikkerhet.
For norske virksomheter handler det om å forstå innsiderisiko, forebygge misbruk av legitim tilgang og sikre at mennesker, roller og fullmakter ikke blir en inngangsport for kriminalitet.
Virksomheter investerer stadig mer i cybersikkerhet, fysisk sikring og adgangskontroll. Likevel kan risikoen knyttet til mennesker med legitim tilgang være vanskeligere å oppdage. En medarbeider kan godkjenne betalinger, en konsulent kan administrere kritiske IT-systemer, og en ansatt kan kjenne virksomhetens kontrollrutiner og leverandører inngående. For kriminelle nettverk kan slik tilgang og kunnskap være verdifull.
Kripos har advart om hvordan kriminelle nettverk bruker innsidere og medhjelpere til å omgå kontrollmekanismene i samfunnet. I Nettavisen 3. oktober beskrev Ole Jørgen Arvesen, leder for etterforskning og etterretning i Kripos, hvordan personer på innsiden kan bidra med kunnskap, tilgang og veiledning.
Økokrims trusselvurdering for 2026 peker samtidig på hvordan kriminelle aktører etablerer seg i lovlige virksomheter, skjuler reelt eierskap og utnytter svakheter i kontrollsystemene. Sett i sammenheng viser advarslene hvorfor personellsikkerhet må være en integrert del av virksomhetens sikkerhetsarbeid.
Kriminelle nettverk utnytter lovlige virksomheter
Økokrim beskriver hvordan kriminelle aktører bruker lovlige foretak, skjult eierskap, hvitvasking og korrupsjon for å oppnå økonomisk gevinst og redusere risikoen for å bli oppdaget.
Stråselskaper, stråpersoner og kompliserte underleverandørkjeder kan skjule hvem som faktisk eier eller kontrollerer en virksomhet. Samtidig kan svakheter i registre og kontrollrutiner gjøre det vanskelig å avdekke sammenhengene.
En leverandør kan fremstå som legitim, og en transaksjon kan være korrekt registrert, selv om handlingene inngår i et større mønster av økonomisk kriminalitet. Personer med tilgang til informasjon, beslutninger eller kontrollfunksjoner kan bidra bevisst, under press eller uten å forstå hvordan de blir utnyttet.
Innsiderisiko handler derfor ikke bare om enkeltpersoners intensjoner, men også om hvordan virksomheten er organisert, og hvilke kontrollmekanismer som finnes.
Personellsikkerhet må ses i sammenheng med virksomhetens samlede risikobilde.
Tekniske og fysiske sikkerhetstiltak må suppleres med gode rutiner for mennesker, roller, fullmakter og relasjoner.
Kilde: Økokrim – Trusselvurdering 2026.
Hva innebærer innsiderisiko?
Innsiderisiko er muligheten for at personer med legitim tilgang kan påføre virksomheten skade eller tap, enten gjennom bevisste handlinger eller ved å bli utnyttet av andre.
En medarbeider kan utsettes for økonomisk press eller trusler, påvirkes av personlige relasjoner eller la seg friste av økonomiske fordeler. Andre kan dele sensitiv informasjon eller omgå rutiner uten å forstå konsekvensene.
Risikoen gjelder ikke bare fast ansatte. Konsulenter, leverandører og innleid personell kan ha tilgang til de samme systemene, opplysningene og funksjonene.
En medarbeider med økonomiske fullmakter kan påvirke utbetalinger, en person med tilgang til sensitive opplysninger kan dele informasjon med uvedkommende, og en ansatt med ansvar for anskaffelser kan påvirke leverandørvalg eller skjule interessekonflikter.
Nasjonal sikkerhetsmyndighet (NSM) fremhever personellsikkerhet som et viktig virkemiddel for å forebygge sikkerhetsrisiko knyttet til personer med legitim tilgang.
For virksomheten er det avgjørende å identifisere hvilke roller som innebærer størst risiko, hvilke verdier som må beskyttes, og hvor misbruk kan få størst konsekvenser.
Les mer om innsiderisiko og "innsidere" her!
Personellsikkerhet starter før første arbeidsdag
En risikovurdering bør danne grunnlaget for virksomhetens arbeid med rekruttering, bakgrunnssjekk og sikkerhetsoppfølging. Hvilke stillinger gir tilgang til kritiske systemer, økonomiske fullmakter eller sensitiv informasjon? Og hvilke kontroller er nødvendige for å redusere risikoen?
En bakgrunnssjekk kan gi arbeidsgiveren et bedre beslutningsgrunnlag før ansettelse. Omfanget må tilpasses stillingens risikoprofil og gjeldende regelverk. Målet er å verifisere relevante opplysninger og avklare forhold som har betydning for rollen.
Kontrollen gir imidlertid ingen garanti for fremtidig atferd og må inngå i en helhetlig vurdering av virksomhetens sikkerhetstiltak.
Semac tilbyr bakgrunnssjekk og rådgivning innen personellsikkerhet, tilpasset virksomhetens behov og den aktuelle stillingen.
Les mer om hvorfor bakgrunnssjekk er en av virksomhetens viktigste sikkerhetstiltak.
Personellsikkerhet er mer enn bakgrunnssjekk
En bakgrunnssjekk gir et øyeblikksbilde. Risikoen kan endre seg gjennom arbeidsforholdet, blant annet som følge av nye relasjoner, økonomiske utfordringer eller press fra andre.
Derfor bør virksomheter kombinere relevante kontroller før ansettelse med forebyggende tiltak i det daglige:
-
Tilgangsstyring: Gi ansatte tilgang til systemer og informasjon de trenger for å utføre arbeidsoppgavene, og gjennomgå tilganger regelmessig.
- Kontroll av kritiske oppgaver: Etabler kontrollmekanismer for betalinger, innkjøp, fullmakter og viktige beslutninger.
- Sikkerhetskultur og opplæring: Lær medarbeiderne å gjenkjenne forsøk på påvirkning, interessekonflikter og uvanlige forespørsler.
- Varslingsrutiner: Sørg for at ansatte vet hvordan de kan melde fra om bekymringer på en trygg måte.
- Løpende oppfølging: Vurder roller, tilganger og rutiner når arbeidsoppgaver eller risikoforhold endrer seg.
Målet med opplæring er ikke å skape mistenksomhet, men å gjøre medarbeiderne tryggere på hva de bør være oppmerksomme på, hvordan situasjoner skal håndteres, og når de bør varsle.
Semacs arbeid med personellsikkerhet omfatter tiltak før, under og etter ansettelse. Opplæring, bevisstgjøring og sikkerhetsrelaterte samtaler kan bidra til at medarbeidere forstår risikoen som følger med rollen, og vet hvordan de skal håndtere krevende situasjoner.
Les mer om ulike kurs Semac tilbyr knyttet til Personellsikkerhet, bevissthetstrening og mer.
Tillit og kontroll må gå hånd i hånd
Arbeidet med innsiderisiko må ikke føre til generell mistenkeliggjøring av ansatte. En god sikkerhetskultur bygger på tillit, tydelige rammer og forholdsmessige kontroller.
Kontrolltiltak må ha et legitimt formål og gjennomføres innenfor gjeldende regelverk. Gode rutiner beskytter også medarbeiderne ved å redusere risikoen for misbruk og gjøre det lettere å håndtere press og vanskelige beslutninger.
Kripos' advarsler og Økokrims trusselvurdering viser hvorfor innsiderisiko bør inngå i virksomhetens samlede sikkerhetsarbeid. For ledere, HR og sikkerhetsansvarlige er et godt utgangspunkt å identifisere roller med høy risiko, vurdere behovet for bakgrunnssjekk og sikre at tilganger, fullmakter og kontrollrutiner er tilpasset virksomhetens behov.
Virksomheter kan ikke alene stanse organiserte kriminelle nettverk, men de kan gjøre det vanskeligere for dem å utnytte virksomheten.
Personellsikkerhet handler om å beskytte mennesker, verdier og omdømme , og om å sørge for at legitim tilgang ikke blir en inngangsport for kriminalitet.
Ta kontakt med oss for en uforpliktende samtale om bakgrunnssjekk og personellsikkerhet i dag!