CISA har för första gången sedan 2020 uppdaterat sin guide för att motverka insiderhot. Den reviderade guiden tar ett tydligare grepp om hur organisationer bör arbeta med hotidentifiering i en tid av distansarbete, AI-verktyg och snabba förändringar i arbetslivet.

Den centrala förändringen i tankesättet är rörelsen bort från bilden av det klassiska insiderhotet, en missnöjd anställd som medvetet saboterar, mot en bredare förståelse där beteende bedöms i kontext. Oavsiktliga handlingar och anställda som manipuleras av externa aktörer inkluderas nu explicit i hotbilden.

Nytt i 2026 års guide

Den uppdaterade guiden innehåller:

• Nya fallstudier med konkreta exempel på hur insiderhot tar sig uttryck i moderna organisationer.
• Vägledning för hybrid- och distansarbete, där traditionell fysisk övervakning inte längre räcker.
• Avsnitt om AI-manipulerade anställda, där externa aktörer utnyttjar AI-genererat innehåll för att påverka och manipulera personal.
• Hantering av avslutade anställningar, ett kritiskt riskmoment som kräver tydliga rutiner.

Kontinuerlig riskreducering, inte reaktiv kontroll

CISA betonar att ett effektivt insiderhotprogram bygger på fyra steg: definiera hotet, identifiera och detektera, bedöma, och hantera. Programmet ska vara proaktivt och kontinuerligt, inte reaktivt.

För svenska och europeiska företag är vägledningen relevant även utan direkt koppling till kritisk infrastruktur. Insiderhot, avsiktliga eller oavsiktliga, är en av de vanligaste orsakerna till dataintrång. Att ha tydliga rutiner för beteendeövervakning, åtkomstkontroll och hantering av personalförändringar är grundläggande säkerhetsarbete.

Guiden finns tillgänglig på CISA:s webbplats och riktar sig primärt till organisationer inom kritisk infrastruktur, men principerna är tillämpbara i de flesta verksamheter.