• Insider
• riskienhallinta
• sisäpiiriläinen

Maailma on muuttunut merkittävästi viime vuosina, ja turvallisuustilanne on kokenut suuria muutoksia. Tiedon suojaaminen ja sen hallinta korostuvat maailmassa, jossa tieto on valtaa. Sisäpiiriuhka on ollut osa ihmiskunnan historiaa sivilisaation alkuajoista lähtien. Insider threat eli sisäpiiriuhka viittaa tilanteeseen, jossa henkilö, jolla on valtuutettu pääsy organisaation tiloihin, tiedostoihin, laitteisiin, verkkoihin tai järjestelmiin, toimii tavalla, joka vaarantaa organisaation toiminnan tai tietojen luottamuksellisuuden, eheyden tai saatavuuden. Sisäpiiriuhka voi olla pahantahtoinen, huolimaton tai tahaton teko, joka voi kohdistua sekä fyysisiin että digitaalisiin resursseihin. Sisäpiiriuhka on monimutkainen ja vaikeasti havaittava turvallisuusuhka.

Soluttautunut sisäpiiriläinen on henkilö, joka on tarkoituksellisesti soluttautunut yrityksen toimintaan jonkin motiivin perusteella tai jonkin motiivin ajamana. Tällaisia motiiveita voivat olla mm. pitkäaikainen tiedustelutoiminta, yritysvakoilu, IPR:n varastaminen, sabotaasiin valmistautuminen. Henkilö toimii peitetyssä roolissa pyrkien pysymään huomaamattomana organisaation sisällä. Vaikka sisäpiiriuhkia pidetään tilastollisesti harvinaisina, niiden vaikutukset voivat olla merkittäviä ja pitkäkestoisia. Ne ovat myös usein vaikeasti havaittavissa, sillä toiminta voi ulospäin näyttää normaalilta pitkään. Kuten kyberturvallisuuskeskus NCSC on todennut:

”et ehkä ole kiinnostunut sodasta, mutta sota on kiinnostunut sinusta”

(NCSC 2025)

Riskien tunnistaminen: Potential Risk Indicators (PRI)

Sisäpiiriuhkien varhaiseen havaitsemiseen käytetään Potential Risk Indicators (PRI) luokittelua. PRI viittaa varhaisiiin varoitusmerkkeihin, jotka voivat viitata poikkeavaan käyttäytymiseen. Tällaisia indikaattoreita voivat olla esimerkiksi yksilön taipumuksia, stressitekijöitä, toimia tai käyttäytymismalleja, jotka voivat viitata poikkeukselliseen käyttäytymiseen. Sisäpiiriuhan tunnistamiseen ei ole olemassa luotettavaa kaavaa, mutta useimmat sisäpiiriläiset käyttäytyvät riskialttiisti ennen haitallisten toimien toteuttamista. Kaikki PRI eivät näy sisäpiirin uhkauksissa, eivätkä kaikki, jotka käyttäytyvät näin, toimi väärin. PRI ovat johtolankoja, jotka edellyttävät kriittistä ja analyyttistä tarkastelua.

Esimerkkejä mahdollisista PRI-indikaattoreista:

• Epätavallinen tai liiallinen tiedonkeruu
• Työsuhteen päättyminen, irtisanomiset, nuhteet tai varoitukset
• Poikkeava läsnäolo työtiloissa (esim. työajan ulkopuolella)
• Fyysisen tai digitaalisen pääsyn väärinkäyttö
• Turvallisuusselvityksen epääminen, keskeyttäminen tai peruuttaminen
• Ulkomaanmatkat riskimaiksi luokiteltuihin valtioihin
• Ulkomaalainen kansalaisuus tai tiiviit yhteydet ulkomaalaisiin tahoihin
• Avoin tyytymättömyys, kaunat työyhteisössä tai johdossa

PRI toimii tehokkaasti, kun organisaatiolla on selkeä käsitys siitä, mikä on normaalia toimintaa ja käyttäytymistä. Vain tällöin voidaan tunnistaa poikkeamat, jotka voivat kieliä sisäpiiriuhasta. Sisäpiiriuhkien torjunta ei ole pelkästään tekninen kysymys, vaan edellyttää inhimillisen käyttäytymisen tuntemusta. Käyttäjän toiminnan muutokset, järjestelmien epätavallinen käyttö, käyttöoikeuksien äkillinen laajentaminen tai tietojen poikkeava siirtely voivat viitata riskiin. Teknologia ja ihmiset täydentävät toisiaan. Tekninen valvonta voi tuottaa hälytyksiä, mutta niiden tulkintaan tarvitaan asiantuntevaa henkilöstä.

Hallinnolliset keinot uhkien torjumiseksi

Organisaatiot voivat ennaltaehkäistä sisäpiiriuhkia hallinnollisin keinoin. Näiden perustana on systeemiajattelu, jossa keskitytään ilmiöiden syihin, eikä yksittäisten henkilöiden syyllistämiseen. Yksi keskeinen malli on Zero Trust -periaate, jonka mukaan luottamus ei ole oletusarvo vaan ansaittava jatkuvasti.

Keskeiset hallinnolliset torjuntakeinot:

• Insider Threat -ohjelman perustaminen. Sisäpiiriuhkaohjelman tavoitteena on kerätä tietoa, valvontaa ja asiantuntemusta kaikkialta organisaatiosta, jotta voidaan paremmin ehkäistä, havaita ja reagoida sisäpiiriuhkiin, jotka kohdistuvat organisaation kriittisiin resursseihin
• Riskienarviointi. Riskienarvioinnin ensimmäinen vaihe on tunnistaa ja arvioida organisaation kohtaamat insider-riskit. Tämä osio sisältää riskien tunnistamisen ja resurssien kohdentamisen tehokkaasti. Tämän jälkeen aloitetaan kontrollien suunnittelu ja toteutus, jossa kehitetään ja otetaan käyttöön organisaation toimintaan sopivat kontrollit
• Rekrytointiprosessin tehostaminen
• Sisäinen tutkinta sekä tietoturvarikkomusprosessi. Organisaatiolla tulee olla näitä tapauksia varten dokumentoitu tutkintaprosessi, jonka avulla epäilyyn liittyviä riskejä ja riskienhallintatoimeenpiteitä voidaan toteuttaa
• Tiedonhallinta sekä pääsynhallinta. Tiedonhallinnan sekä pääsynhallinnan turvalliseen toteutukseen tulee ottaa huomioon säännökset, toimintatavat, ohjeet sekä tiedonhallinnan jalkauttaminen organisaatiossa. Tiedonhallinnassa tarvitaan teknisiä ja hallinnollisia kontrolleja, joilla varmistetaan pääsynhallinta ja roolitukset. Ilman pääsyä ei ole sisäpiiriläisiä.
• Tilannekuvan ja koulutuksen lisääminen organisaatiossa. Erittäin tietoinen työvoima on avainasemassa sisäpiiriuhkien varhaisessa havaitsemisessa ja ehkäisemisessä ja luo itsestään organisaation ennakkovaroitusjärjestelmän.

Henkilöstöhallinta on olennainen osa kokonaisvaltaista turvallisuusprosessia

Rekrytointiprosessi on kriittinen osa organisaation turvallisuutta, ja siihen kannattaa varata riittävästi aikaa. Organisaatioiden tulee huomioida, kenet he tuovat muuriensa sisäpuolelle ja miten he valvovat näitä henkilöitä. Työntekijöiden taustaselvitys eli turvallisuusselvitys voi varmistaa nuhteettomuuden tietylle tasolle, mutta tämä ei saa olla ainoa tai kertaluonteinen toimenpide. Ihmisten olosuhteet, asenteet ja motiivit voivat muuttua vuosien saatossa. Turvallisuusselvitys kertoo henkilöstöstä ainoastaan tämänhetkisen tilanteen ja sen, ettei henkilö ole vielä jäänyt kiinni. Soluttautuneet toimijat voivat luoda taidokkaasti peitetarinan, joka läpäisee perinteiset seulontamenetelmät. Henkilöillä voi olla taitavasti ja pitkäjänteisesti rakennettuja henkilöllisyyksiä. Tämän syystä turvallisuusselvitys ei voi olla ainut turvallisuuden kontrolli henkilöstöturvallisuudessa.

Lähde:

Korppi, T. 2025. Soluttautunut sisäpiiriuhka organisaatiossa : tunnistaminen ja hallinnolliset torjuntakeinot – Theseus, Turun ammattikorkeakoulun opinnäytetyö.