Säkerhetsdebatten har under senaste åren mest handlat om hur hoten mot företagen från hackare blir allt allvarligare.
Men hoten kommer inte bara utifrån. De anställda är också ett orosmoment, vilket hamnat i skymundan.

Men det som har hänt på bland annat Skattemyndigheten, Försäkringskassan och Carnegie visar med all tydlighet att det är ett hot som måste tas på största allvar.

– Effekten från det interna hotet kan bli större än den från hackare, för oss och andra företag, säger Carl-Magnus Hallberg, it-chef på OMX, som hört samma tongångar när han pratat med sina kollegor runt om i Europa.

Hos Sitic ser man att det är ett ökande hot.

– De interna sårbarheterna blir fler när företagen bygger alltmer komplexa system. Sårbarheterna ger fler tillfällen att vålla skada och då får vi tyvärr fler incidenter, säger Stefan B Grinneby, chef på Sveriges IT-incidentcentrum, Sitic.

Men att ta i tu med problemet är inte helt enkelt.

– Det är ett väldigt laddat område eftersom det handlar om att skydda företaget mot sina egna anställda, säger Carl-Magnus Hallberg, som tror många företag inte gör tillräckligt för att skydda sig just på grund av att det är så känsligt.

Hos OMX har man alltid haft inställningen att vara helt öppna med vad man har för rutiner.

Det är mycket bättre än att övervaka i smyg, enligt Carl-Magnus Hallberg.

Sitic ger rådet att vara väldigt respektfull när man diskuterar intern säkerhet. Ingen gillar att bli sedd som en säkerhetsrisk.

– Om man upplever att arbetsgivaren ser en så, slutar man förmodligen helt att ta till sig information och utbildning om säkerhet, säger Stefan B Grinneby.

Att komma till rätta med det interna hotet försvåras av att leverantörerna inte är duktiga på att hantera frågan.

– De är duktiga på teknik, men kan inte prata verksamhetsspråk. Istället för att komma med en ny brandvägg som kan en massa olika saker måste man utgå från vilken typ av information som måste skyddas och från vad, säger Carl-Magnus Hallberg.

Labcenters vd, säkerhetsexperten Predrag Mitrovic, håller med.

– Det är lättare för leverantörerna att sälja sina produkter med hotet från hackare som utgångspunkt. Intern säkerhet är mycket krångligare och handlar mer om interna processer, säger han.

För att skydda sig internt är nyckeln att ha riktigt bra autentisering av användarna för att kontrollera att alla bara har tillgång till vad de behöver, enligt Carl-Magnus Hallberg.

– Sedan är det viktigt att ha loggar på vem som gör vad. Och sedan ska man med jämna mellanrum titta på vad de anställda har gjort, säger Carl-Magnus Hallberg.