Tailgating og fysisk inntrenging: Balanser høflighet og adgangskontroll

Scenen utspiller seg hver morgen i tusenvis av norske virksomheter: En medarbeider tæpper adgangskortet ved inngangspartiet, dytter opp glassdøren og holder den åpen av ren folkeskikk for personen bak som kommer bærende på en tung leveransekasse. I 99 prosent av tilfellene er det snakk om en kollega eller et legitimt bud. Men for et penetrasjonstest-team eller en målrettet angriper representerer dette ene sekundet med høflighet den enkleste veien gjennom hele den fysiske sikkerhetskjeden.

Når det gjelder sosial manipulasjon, utnytter tailgating (også omtalt som «piggybacking» eller uautorisert følging) menneskelig empati og tillit. For en CISO, sikkerhetssjef eller eiendomsansvarlig er dilemmaet velkjent: Hvordan håndhever man streng adgangskontroll i tråd med NSMs grunnprinsipper for IKT-sikkerhet uten å forvandle kontoret til en mistenksom festning? Å finne balansen mellom fysisk sikring og en åpen, nordisk bedriftskultur krever at man går bort fra rigid kjefting og heller etablerer klare, vennlige handlingsmønstre.

Hva er tailgating, og hvorfor styrer fysisk sikkerhet cybersikkerheten?#

Oppsummert: Tailgating innebærer at en uautorisert person passerer et adgangskontrollert punkt ved å følge rett etter en autorisert medarbeider. Så snart en ukjent aktør fysisk befinner seg i lokalene, er det interne nettverket, ubevoktede skjermer og serverrom direkte sårbare for kompromittering.

Mange ser for seg dataangrep som eksterne hackere som utnytter programvarefeil fra den andre siden av kloden. Likevel er fysisk inntrenging en av de mest effektive metodene for å omgå digitale barrierer. Klassiske scenarier observert under fysiske sikkerhetsrevisjoner og penetrasjonstester bygger på kjente roller i hverdagen:

• Det falske budet: Personen bærer en stor stabel med esker, ferske bakervarer eller en blomsterbukett, noe som gjør det fysisk umulig å hente frem et adgangskort uten å sette fra seg alt på bakken.
• Den falske serviceteknikeren: Kledd i håndverkerklær eller synlighetsvest, utstyrt med verktøykasse og et fiktivt oppdragsnotat, ber vedkommende om rask tilgang til ventilasjonsrommet eller IT-skapet.
• Den travle gjesten eller den distré ansatte: Vedkommende hevder å ha glemt kortet på skrivebordet etter en kaffepause på fortauet, og stoler på at ingen i døren orker å skape en ubehagelig situasjon ved å avvise dem.

Når den fysiske sonen først er brutt, kan en angriper plugge en ondsinnet enhet inn i et ledig nettverksuttak, stjele ugraderte interne dokumenter fra en pult eller fotografere passord notert på gule lapper. Sammenhengen mellom tailgating, fysisk sikkerhet og cybersikkerhet er uatskillelig: Det logiske forsvaret fungerer bare så lenge den fysiske adgangen faktisk er under kontroll.

Hvordan trene ansatte mot tailgating uten å skape mistro?#

Oppsummert: For å unngå en kultur preget av mistenksomhet, bør opplæringen erstatte passiv dørholding med en kultur for aktiv og hjelpsom vertskapsrolle. Å spørre hvem en person skal besøke og følge vedkommende til resepsjonen ivaretar god service samtidig som identiteten kontrolleres.

Den største barrieren mot å stoppe tailgating er frykten for å virke uhøflig, avvisende eller mistenksom overfor andre. Ingen ønsker å smelle døren i ansiktet på en fremmed. For å fjerne denne psykologiske sperren må virksomheten gi de ansatte et felles språk og en positiv handlingsmodell:

• Gjør avvisning om til vertskap: I stedet for å si «Du har ikke lov til å gå inn her», bør den innarbeidede responsen være: «Hei! Hvem har du en avtale med? Bli med meg bort til resepsjonen, så ordner vi et besøksskort til deg.»
• Normaliser synlig adgangskort for alle: Å bære adgangskort i nøkkelbånd må være en selvfølge for samtlige, fra administrerende direktør i ledergruppen til sommerstudenten. Når regelen er universell, oppleves det ikke personlig eller krenkende å be noen vise frem kortet sitt.
• Standardiser rutiner for eksterne leverandører: Renholdspersonale, håndverkere og eksterne konsulenter må registreres i resepsjonen og utstyres med midlertidig adgang før de slippes inn i etasjene.

For å innarbeide disse refleksene uten kjedelige e-læringsvideoer er engasjerende spillmetodikk et solid virkemiddel. Dette er kjerneideen i Cyber Cup, en lagbasert quizkonkurranse i arkadestil med 3-minutters runder og sanntids ledertavle. Løsningen er tilgjengelig umiddelbart i selvbetjening med 5 gratis tilganger uten kredittkort, og lar organisasjonen trene på reelle situasjoner innen fysisk sikkerhet og sosial manipulasjon gjennom sunn intern kappestrid.

Hvilke fysiske tiltak støtter opp under riktig atferd?#

Ansvaret for sikkerheten kan aldri hvile utelukkende på skuldrene til den enkelte medarbeider. Byggets utforming og tekniske barrierer må understøtte de ønskede rutinene:

• Sluser og rotasjonsgrinder: I motsetning til vanlige svingdører slipper rotasjonsgrinder og speedgates kun gjennom én person per godkjente kortlesing.
• Sentralisert varemottak: Etabler et fast leveringspunkt ved resepsjonen eller i første etasje, slik at bud ikke trenger å bevege seg fritt rundt i etasjene på egen hånd.
• God sikt fra resepsjonen: Sørg for at resepsjonsområdet har direkte innsyn mot hovedinngangene, supplert med callinganlegg og videoporttelefon for henvendelser utenom ordinær åpningstid.

Ved å kombinere fysiske hindre med trygge medarbeidere som tør å opptre som gode sikkerhetsverter, skjermes virksomhetens verdier i tråd med Digitalsikkerhetsloven uten at det går på bekostning av trivselen.

Ønsker dere å styrke medarbeidernes motstandsdyktighet mot sosial manipulasjon og fysisk inntrenging? Ta kontakt med oss for en prat om bedriftens behov og for å oppleve de interaktive treningskonseptene fra Brain Security.

BRAIN SECURITY I PRAKSIS · Cyber Cup

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Sosial manipulering: Hvorfor interaktiv dialog utkonkurrerer statiske råd (Phishing & Social Engineering) : Oppdag hvordan opplæring i sosial manipulering via interaktiv dialog trener ansatte til å stå imot overtalelse på interne meldingsapper.
• Falske kolleger i videomoter: Slik avslorer du deepfakes i sanntid (Phishing & Social Engineering) : Laer hvordan du oppdager deepfakes i Teams og Zoom. Visuelle tegn, lydavvik og konkrete rutiner for ledergruppen og IT-sikkerhetsansvarlige.
• Internt phishing: Hva gjor du nar e-posten kommer fra en kollega? (Phishing & Social Engineering) : Mistenkelig e-post fra en legitim intern konto? Lær hvordan du håndterer kompromitterte kontoer og internt phishing i tråd med NSMs prinsipper.
• Null friksjon: Hvorfor passordfri tilgang øker deltakelsen i sikkerhetsopplæring (Gamification) : Fjern innloggingsbarrierer og doble deltakelsen i virksomhetens sikkerhetskampanjer. Les hvordan CISO kan engasjere de ansatte uten friksjon.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Cyber Cup : Intern cybersikkerhetsturnering: korte lagkamper som bygger varige sikkerhetsvaner i hele virksomheten.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)