En overbevisende CV og et godt videointervju er ikke alene bevis på hvem en person er. Når arbeid eller leverandørtilgang gir adgang til viktige systemer, bør identitetskontroll og tilgangsstyring ses i sammenheng. Målet er bedre kontroll – ikke generell mistanke mot medarbeidere.
Hva menes med en trojansk ansatt?
Uttrykket beskriver her en person som skaffer seg en jobb eller et oppdrag under falske premisser for å få legitim tilgang. Det må ikke forveksles med at en ordinær medarbeider gjør en feil eller blir utsatt for phishing.
FBI oppdaterte 13. oktober 2026 sin veiledning om nordkoreanske IT-arbeidere som infiltrerer virksomheter gjennom identitets- og ansettelsessvindel. Veiledningen gjelder et internasjonalt, særlig amerikansk, trusselbilde. Den er ikke belegg for å hevde at tilsvarende infiltrasjon er påvist hos norske kunder av Absec.
Kontroll bør følge hele arbeidsforholdet
FBI understreker at enkeltindikatorer er upålitelige og at for aggressive kontroller kan ramme legitime kandidater. En ryddig prosess bør derfor kombinere flere kontroller, ha en ansvarlig beslutningstaker og gi rom for å avklare uskyldige forklaringer.
Vår anbefaling er å bruke faste rutiner som står i forhold til stillingens risiko. Avklar personvern, behandlingsgrunnlag og arbeidsrettslige rammer før nye bakgrunnssjekker eller overvåkingstiltak innføres. Ikke bruk nasjonalitet, språk eller et KI-deteksjonsverktøy som bevis på uredelighet.
Leverandørtilgang fortjener samme oppmerksomhet
En ekstern konsulent kan ha viktige tilganger uten å være ansatt hos dere. Ta derfor også leverandørbrukere med i gjennomgangen. Be om navngitte kontaktpersoner, tydelig ansvar for godkjenning og en rutine for å avslutte tilganger når oppdrag endres.
Et praktisk eksempel er å gjennomgå én leverandørkonto fra bestilling til avslutning. Kan dere forklare hvem som godkjente tilgangen, hva kontoen kan gjøre, og hvem som følger opp avvik? Dette er et øvelsesforslag, ikke en beskrivelse av en hendelse hos en kunde.
Fem spørsmål til HR, IT og ledelsen
- Hvordan bekrefter vi identiteten? Avtal en dokumentert prosess med uavhengig kontroll av relevante opplysninger og referanser.
- Hvilken tilgang er nødvendig? Gi bare tilganger rollen krever, og vurder særskilt godkjenning for privilegerte oppgaver.
- Hvem følger opp avvik? Beskriv hvordan observasjoner vurderes samlet, og hvem som kan undersøke dem.
- Hva krever vi av leverandører? Avklar ansvar for identitetskontroll, underleverandører og varsling ved endringer.
- Hvordan avsluttes tilgangen? Kontroller at kontoer og rettigheter gjennomgås ved rollebytte og avsluttede oppdrag.
Vil dere avklare ansvar for tilgang og oppfølging?
Absec kan ta en gjennomgang med virksomhetens IT-ansvarlige eller driftspartner om tekniske tilganger og sikkerhetsoppfølging. HR- og juridiske vurderinger må håndteres av rette fagansvarlige.
Kilder og avgrensning
Kildene er gjennomgått 25. oktober 2026. Generelle sikkerhetsråd, ikke en vurdering av bestemte personer eller individuell juridisk rådgivning.