Innsiderisiko er en av de mest krevende sikkerhetsutfordringene for virksomheter, nettopp fordi trusselen kommer fra personer som allerede har legitim tilgang til systemer og data. I denne artikkelen ser vi først på hvem innsidetrusselen kan være, hvilke tekniske signaler som kjennetegner innsideaktivitet – og deretter hvordan denne risikoen kan oppdages og håndteres ved hjelp av Insider Risk Management i Microsoft Purview.
Den typiske innsidetrusselen
Den typiske innsidetrusselen er, basert på NPSA-rapporten (2013), en fast ansatt, ofte mann i alderen 30–45 år, med høyere utdanning og arbeid innen områder som sikkerhet, salg, kundeservice eller økonomi. De fleste er ikke i ledende stillinger, og mange har vært ansatt i mindre enn fem år.
Et av de viktigste funnene i NPSA-rapporten er at de fleste «selvrekrutterer» seg selv til rollen som innsider over tid, ofte i kombinasjon med personlige, økonomiske eller organisatoriske stressfaktorer.
Indikatorer på innsideaktivitet
Nyere rapporter, som en studie fra Ponemon Institute og DTEX Systems (2025), viser typiske tekniske indikatorer på forhøyet innsiderisiko, blant annet brukere som:
- Sender sensitiv informasjon til eksterne mottakere via e-post
- Logger på utenfor normale arbeidstider
- Gjør uvanlige eller gjentatte søk etter sensitiv informasjon
- Laster ned store datamengder som ikke er relevante for rollen
- Kopierer eller samler filer fra sensitive områder (data hoarding)
- Nedgraderer eller avklassifiserer dokumenter
- Forsøker å omgå eller deaktivere sikkerhetskontroller
- Bruker uautoriserte lagringsenheter, som USB-enheter
Innsideaktivitet skjer hovedsakelig på brukernes endepunkter. Det er der de kopierer, laster opp og videresender virksomhetsdata. Deretter følger bruk av skytjenester og e-post som distribusjonskanaler. Slik aktivitet er sjelden enkeltstående, men opptrer ofte i sekvenser. Et eksempel på en slik sekvens kan være en bruker som laster ned en mengde konfidensielle dokumenter fra et SharePoint-område, deretter nedgraderer dokumentene, for så til slutt å sende dokumentene til en ekstern person på e-post. Vurderinger av innsiderisiko handler derfor mindre om å vurdere enkeltstående indikatorer, men mer om å forstå atferdsmønstre over tid.
Selv om de tekniske signalene er godt kjent, viser rapporten fra Cybersecurity Insiders og Cogility (2025) at innsidertrusler i stor grad oppleves som like vanskelig eller vanskeligere å oppdage enn eksterne angrep. De fleste virksomheter overvåker riktignok brukeraktiviteter, men de kobles i liten grad til organisatorisk og menneskelig kontekst, som rolleendringer eller fratredelse. Dette forsterkes ytterligere av økt bruk av kunstig intelligens, som kan akselerere eksfiltrering og gjøre misbruk vanskeligere å oppdage.
lllustrasjon fra rapporten:
Hvordan oppdage og håndtere innsiderisiko
For å oppdage og håndtere innsiderisiko bør vi ta i bruk løsningen «Administrasjon av intern risiko» i Microsoft Purview, også kalt Insider Risk Management (IRM). Siden IRM er et utbredt akronym, bruker jeg det i resten av artikkelen.
Utgangspunktet for IRM er aktivitetsloggene i Microsoft 365-tenanten. All brukeraktivitet i Microsoft 365 logges, blant annet når brukere sender e-post, åpner dokumenter i SharePoint, deler filer i OneDrive og – dersom endepunkter er onboardet – det brukerne gjør på sine datamaskiner. Disse loggene samles i Unified Audit Log (UAL). IRM korrelerer kontinuerlig disse aktivitetene på tvers av tjenester og over tid. I stedet for å vurdere enkeltaktiviteter isolert, ser IRM etter mønstre og sekvenser som samlet kan indikere innsiderisiko. Basert på disse mønstrene og sekvensene (som vi definerer i en policy), så tildeler IRM brukerne en risikoscore.
Når den samlede risikoscoren når et gitt nivå, genereres det et varsel. Et varsel betyr ikke nødvendigvis at det foreligger en reell innsidetrussel, men gir en indikasjon på at det kan foreligge en forhøyet risiko som bør undersøkes nærmere. Som administratorer må vi derfor gjennomgå varslene i kontekst, analysere hvilke aktiviteter som har bidratt til scoren, og vurdere om dette er forventet og legitim bruk eller faktisk innsideaktivitet. IRM fungerer dermed som en teknisk beslutningsstøtte som hjelper virksomheten med å vurdere om det faktisk foreligger innsideaktivitet.
Se video om hvordan arbeidsflyten i IRM fungerer (fra Microsoft Learn):
Merk at IRM kun er tilgjengelig for brukere med Compliance Suite-lisens eller Microsoft 365 E5-lisens.
1. Vi gjør klar IRM
Først må vi gi oss tilgang til IRM. Det gjør vi ved å gå til Purview – Innstillinger – Roller og omfang – Rollegrupper og legge brukerkontoen vår inn i rollegruppen Insider Risk Management:
Deretter bør vi sikre at vi kan vurdere innsiderisiko uten å vite hvem brukerne er. Det vil være mindre inngripende ovenfor brukerne – tenk innebygd personvern. Vi går til Innstillinger, Administrasjon av intern risiko – Personvern og velger «Vis pseudonymiserte versjoner av brukernavn». Merk at det er pseudonymisering, ikke anonymisering, fordi vi kan enkelt finne ut hvem brukeren er ved å bare endre på denne innstillingen:
Deretter bør vi velge hvilke policyindikatorer som skal ligge til grunn å vurdere brukeraktivitet. Vi går til Innstillinger – Administrasjon av intern risiko – Policyindikatorer og som minimum aktiverer alle Office-indikatorer. Det betyr at IRM vil overvåke og analysere brukeraktivitet relatert til bruk av Outlook, SharePoint og Teams. Dersom brukernes datamaskiner er onboardet i Purview, så bør vi i tillegg inkludere Enhetsindikatorer. Da vil IRM i tillegg overvåke og analysere endepunktsaktiviteter, som kopiering til USB-enheter og opplasting av filer til tjenester på Internett.
Vær klar over at det vi har gjort kun er klargjøring. For at IRM skal starte med å analysere brukeraktivitet, så må vi opprette policyer.
2. Vi oppretter policy for datalekkasje
Nå kan vi gå inn i IRM. Her må vi først «Aktivere analyse for å søke etter potensielle risikoer». Vi går til menypunktet Oversikt, åpner den anbefalte handlingen «Analyse for å søke etter potensielle risikoer», og aktiverer analysen. Mulig det er gjort i din tenant, det er i så fall helt greit.
Når analyse er aktivert, så kan vi opprette vår første policy. Vi velger menypunktet Policy – Opprett policy – tilpasset policy. Her ser vi at vi kan velge hvilke aktivitetstyper som skal ligge til grunn for policyen, blant annet datatyveri blant brukere som slutter, datalekkasje og risikabel bruk av kunstig intelligens. Nå ser vi hvor omfattende IRM egentlig er.
En grei policy å starte med er datalekkasje, så la oss opprette den. Policyen overvåker all brukeraktivitet relatert til de policyindikatorene vi har valgt (som bruk av e-post og SharePoint):
Vi gir policyen et navn:
Vi velger deretter at vi ikke vil prioritere innhold:
Deretter kan vi velge hvilke utløsningshendelser som skal ligge til grunn for policyen. Her har vi allerede valgt Office-indikatorene i innstillingene, derfor dukker de automatisk opp her:
På samme side kan vi definere hvilke sekvenser som skal utløse denne policyen. Dette er viktig, fordi det er jo sekvensene som er det som til slutt definerer hvorvidt det faktisk foreligger innsiderisiko. Dersom en bruker for eksempel laster ned et dokument fra SharePoint, og deretter eksfiltrerer dokumentet til en ekstern bruker som et vedlegg til en e-post, så vil det utløse et varsel.
Deretter velger vi terskelverdiene som skal ligge til grunn. Terskelverdiene er hvor mange like aktiviteter som må gjennomføres før policyen slår inn. Vi kan velge de innebygde tersklene, men vær klar over at de er ganske høye. Du vil sannsynligvis justere de ned noe.
Til slutt velger vi hvilke terskeltyper som skal brukes. Her bør vi velge terskler spesifikke for brukernes aktivitet:
Det er stort sett det vi trenger å konfigurere i policyen. Da er det bare å lagre policyen (send inn), og vente en stund (en dag eller to) til policyen trår i kraft.
3. Vi gjennomgår varsler
Etterhvert som policyen avdekker potensiell innsiderisiko, så vil varslene dukke opp i menypunktet Varsler. Siden vi har valgt pseudnomiserte brukernavn i innstillingene, så ser vi bare en tilfeldig tekststreng i feltet brukernavn:
Her ser vi altså to varsler, begge flagget som høy alvorlighetsgrad. Vi kan åpne det første varslet for å få frem detaljene:
Her er det forholdsvis mye å gjennomgå. Merk menypunktene i topp; aktivitetsutforsker, alle risikofaktorer og brukeraktivitet. De brukes for å utforske brukeraktivitetene som ligger til grunn for varselet. Hvis vi velger brukeraktivitet, så får vi frem et scatter plot som visualiserer aktivitetene, og som inkluderer tidspunktet for når selve varslet ble opprettet:
Her ser vi at det har vært en del brukeraktivitet over tid, men 1. desember 2025 gjennomførte brukeren så mange risikable brukeraktiviteter at det ble generert et varsel.
4. Vi oppretter sak
Dersom analysen vår konkluderer med at dette er reell innsideaktivitet, for eksempel ved at denne brukeren har eksfiltrert virksomhetssensitive data, så kan vi bekrefte varselet og opprette en sak.
Da har vi dannet grunnlaget for en personalsak:
Som vi har sett er IRM en omfattende løsning, og vi har i denne artikkelen bare skrapet i overflaten. Likevel danner det vi har gjennomgått et godt grunnlag for å komme i gang. Det er fortsatt flere policyer og utforske, og vi har heller ikke tatt for oss adaptiv beskyttelse. Det får vi ta for oss i en oppfølgingsartikkel.