Riku Ruokolahti: Ryktet är en avgörande kraft mot informationsmanipulation

I informationskriget utkämpas striden om människors tankar, och demokratin som system bygger på människors tankar. Just av denna anledning är demokratin med sina institutioner särskilt sårbar när en informationspåverkare slår till. En organisations rykte utgörs i sin tur av de gemensamma uppfattningar som människor har om respektive organisation. Denna artikel belyser informations- och cyberpåverkan ur angriparens perspektiv samt hur organisationens rykte hänger samman med detta.

Ur en cyberangripares perspektiv handlar det i grunden om maskiner och människor samt förtroendeförhållandena mellan dem – och mer specifikt om att missbruka dessa förtroendeförhållanden till angriparens fördel.

Låt oss ta ett exempel. Du får ett överraskande men till synes harmlöst meddelande från ditt barns lärare. I meddelandet sammanfattas vad som hänt i klassen. Du svarar på meddelandet och nämner saker som rör ditt barns hälsa, saker som läraren redan känner till. Men det gör hen inte. Hen vet inte, eftersom avsändaren inte är läraren, utan en illvillig angripare som känner dig obehagligt väl. Du har just avslöjat ytterligare personlig information för denne genom att nämna ditt barns hälsotillstånd. I nästa meddelande finns en bilaga som just rör detta hälsotillstånd, och trots datorns varningar öppnar du den. Självklart öppnar du den. Det är väldigt få som inte skulle göra det.

Du gissade rätt. Bilagan är ett sofistikerat skadligt program.

Angriparen i det här fallet har gjort sin förberedelse och planerat sin attack noggrant. Han har utnyttjat dina känsliga områden samt förtroendeförhållandet mellan dig och läraren, och nu utnyttjar han datorns förtroendeförhållande till sin administratör. Du, i egenskap av administratör, öppnade bilagan trots varningarna. I detta skede har angriparen fått tillgång till din dator och utnyttjar förtroendeförhållandena mellan datorns interna gränssnitt. Och när man väl har kommit in som en betrodd aktör ifrågasätter datorn inte längre förtroendeförhållandena lika lätt. Någonstans djupt inne i din dator finns ett mindre känt programmeringsfel som angriparen fortsätter att utnyttja mellan dina program och ditt arbetsplatsnätverk. Det finns nämligen ett förtroendeförhållande mellan ditt arbetsplatsnätverk och din dator. Oavsett om det handlar om datorer eller människor står förtroendet i centrum för angriparens verksamhet.

Om du utsätts för en så noggrant förberedd attack har du troligen att göra med konfidentiell information eller en organisation som är av intresse för angriparen. Det slutgiltiga målet för en avancerad attack är sällan en enskild person.

Som vi såg i det föregående exemplet handlar det i cybervärlden inte bara om att påverka datorer, utan en central del av cyberattacker är också att lura människor.

Detta leder oss smidigt vidare till informationsmiljön och vidare till informationspåverkan. Vi utvecklade för en tid sedan på T-Media en longitudinell studie som på djupet undersökte finländarnas värderingar. Det handlade inte om någon lättvindigt sammanställd frågelista, utan i kvalitativa intervjuer fick vi en mycket bred bild av centrala opinionsbildare (bland annat ärkebiskopen, presidentämbetet, statssekreterare, inflytelserika personer inom kultur- och konstvärlden, pensionärsorganisationer, fackföreningar, tankesmedjor, företrädare för näringslivet, ungdomar och företrädare för olika minoriteter). Utifrån detta grundarbete skapade vi ett kvantitativt mått som djupgående kartlade de värderingar som råder bland finländarna och framtida förändringar av dessa. Undersökningen fick ett namn som gjorde rättvisa åt det arbete som lagts ned på den. Undersökningen fick namnet Folkets värderingar.

UNDERSÖKNINGEN ”FOLKETS VÄRDERINGAR”

Undersökningen ”Folkets värderingar”, som utvecklades och genomfördes av T-Media, ingick i det arbete som Taloudellinen tiedotustoimisto TAT bedrev för att kartlägga förändringar i sin verksamhetsmiljö. Genomförandet av denna ytterst intressanta undersökning avbröts på grund av bristande finansiering, då TAT (Taloudellinen tiedotustoimisto) justerade sin strategi och inriktade sig på ungdomar. Under processen ändrades även namnet: TAT (Taloudellinen tiedotustoimisto) heter numera Talous ja nuoret TAT.

Olika medborgarundersökningar och tolkningen av dessa är vanliga verktyg för underrättelsetjänsterna. Med hjälp av sådana kan man till exempel förutse samhällsförändringar eller, i värsta fall, försöka i förväg bedöma hur ukrainarna skulle kunna ta emot en potentiell ockupant. Forskningsdata är också ett viktigt verktyg för informationspåverkan. Rapporten ”Folkets värderingar” skulle ha varit en riktig skatt för en illvillig angripare. Undersökningen avslöjade nämligen mer än bara värderingar och förändringar i dessa. Den avslöjade en polarisering av värderingarna. Det vill säga de frågor där medborgarna är starkt oeniga sinsemellan. Just denna information är värdefull ur angriparens perspektiv i informationskrigföring.

När en angripare identifierar samhällets skiljelinjer kan han eller hon på ett effektivt sätt underblåsa splittring mellan människor. Genom att förstärka splittringen drivs människor isär och det skapas misstro, vilket i sin tur försvagar nationens sammanhållning och därmed dess förmåga att fatta beslut och agera. På detta sätt undermineras hela nationer. Man behöver bara läsa nyhetsflödet eller se sig omkring för att förstå hur effektivt detta är. Den amerikanska demokratin knakade i fogarna under de två senaste presidentvalen och i efterdyningarna av dessa. Informationspåverkan sägs också ha spelat en nyckelroll i Storbritanniens utträde ur EU.

NYA ORD SOM EN DEL AV INFORMATIONSINFLYTANDE

En angripare kan till exempel via nätdiskussioner smyga in termer och nyskapelser i vårt vardagliga språk som leder till polarisering och oenighet. Dessa smyger sig obemärkt in i vårt vardagsspråk, och en målmedveten informationspåverkare kan följa hur den terminologi han eller hon har hittat på får nytt liv i politikernas mun, i debattprogram och till och med i tv-nyheterna. Det är svårt att i efterhand bevisa termernas verkliga ursprung, särskilt eftersom informationspåverkan är en långsiktig verksamhet: de målinriktade orden kan ha använts i över ett decennium. Vi kanske själva använder informationskrigets språk utan att inse att vi gör det. Till exempel stämplades en person som argumenterade för Nato före kriget i Ukraina mycket lätt som en ”Nato-hök”, och kritik mot den ryska regeringen har i sin tur försökt stämplas som ”russofobi”.

Institutionernas verksamhetsförutsättningar bygger på individernas förtroende

Samhället består inte bara av människor utan även av institutioner. Med institutioner avses i detta sammanhang konkreta organisationer som faller under den offentliga makten, och dessa utgör en fruktbar grogrund för en illvillig angripare. Medborgarnas förtroende för sina institutioner är en absolut förutsättning för ett fungerande samhälle. Det ligger däremot i angriparens intresse att undergräva medborgarnas förtroende för samhällssystemet.

I det här skedet kompletterar vi angriparens perspektiv med försvarets perspektiv och betraktar saker och ting även ur försonarens synvinkel. Vi har redan i det här skedet lärt oss att vara ganska listiga, och det är hög tid att, vid sidan av förstörelsen, börja bygga upp förtroende omkring oss.

I samband med T-Medias Reputation&Trust mäter vi stödet bland medborgarna för varje organisation inom den offentliga sektorn. Detta stöd från intressenterna omfattar medborgarnas förtroende för organisationen, förtroendet i krissituationer, viljan att ta del av organisationens ståndpunkter, viljan att stödja organisationen med skattepengar, viljan att arbeta för organisationen samt sannolikheten att tala positivt om organisationen.

Dessa former av individers förtroende och beteende i förhållande till en offentligt finansierad organisation utgör, kort sagt, organisationens samhälleliga förutsättningar för verksamheten. Och just dessa verksamhetsförutsättningar är, ur informationspåverkansperspektiv, de faktorer som en angripare försöker undergräva och som vi som samhällsmedlemmar vill försvara.

Hur försvarar man organisationens verksamhetsförutsättningar i informationskriget?

För att kunna bygga upp och, vid behov, försvara organisationens verksamhetsförutsättningar måste man förstå varifrån de härrör. Syftet med och bakgrunden till Reputation&Trust kretsar just kring denna fråga. När vi utvecklade modellen strävade vi efter att identifiera, isolera och formulera de generella uppfattningar som är kopplade till organisationer och som har en koppling till stöd från intressenterna, det vill säga verksamhetsförutsättningarna ur en aktörs perspektiv inom den offentliga sektorn.

Reputation&Trust modellerar organisationens anseende utifrån åtta olika delfaktorer. Mer information om modellen.

Reputation&Trust har redan i flera år tillämpats i stor utsträckning inom den offentliga sektorn. Antalet enskilda Reputation&Trust inom den offentliga sektorn är imponerande. Denna mängd enhetligt genomförda undersökningar ger möjlighet att betrakta de insamlade uppgifterna som en helhet och fördjupa sig i ämnet.

Den bifogade metaanalysen visar sambandet anseende den offentliga sektorns verksamhetsförutsättningar. Metaanalysen ger upphov till en statistisk modell som visar att anseende i genomsnitt påverkar stödet från den offentliga sektorns intressenter med en multiplikator på 1,11. Med stöd av denna studie kan man med säkerhet hävda att anseende en central faktor för institutionernas och därmed samhällets verksamhetsförutsättningar. Genom att stärka sitt anseende vinner institutionerna medborgarnas förtroende och ökar sin motståndskraft inför situationer där man försöker undergräva deras förutsättningar att fungera.

Den uppmätta anseendekoefficienten utgör naturligtvis en möjlighet både för angriparen och för försvararen: Även anseende undergräver handlingsförutsättningarna vid en hög anseendekoefficient. Ett proaktivt anseendearbete stärker däremot krisresiliensen vid en hög anseendekoefficient.

Metaanalys av Reputation&Trust inom den offentliga sektorn

Varje punkt i denna bild representerar en organisation inom den offentliga förvaltningen som har undersökts Reputation&Trust under åren 2018–2021. Varje punkts placering i diagrammet baseras på den aktuella organisationens statistiskt modellerade anseende och stöd från intressenterna. På den horisontella axeln visas organisationens anseende på den vertikala axeln stödet från intressenterna. Stödet från intressenterna bygger på medelvärdet av de verksamhetsförutsättningar som mätts för organisationen och som beskrivits ovan (förtroende, vilja att uttrycka sig positivt och så vidare). anseende är i sin tur organisationens anseende, statistiskt modellerat med hjälp av Reputation&Trust. Den statistiska felmarginalen för varje enskild undersökning (punkt på kartan) beror på standardavvikelsen för svaren i den aktuella undersökningen, men ligger i alla presenterade undersökningar mellan 0,04 och 0,06 på skalan 1–5 i figuren. I materialet ingår ett stort antal olika organisationer inom den finska offentliga sektorn.

Att vara känd är en del av försvaret

En representant för institutionen kan nu komma att tänka att frågor som rör anseende inte spelar någon roll bland allmänheten om organisationen är relativt okänd. Detta kan vara ett farligt sätt att tänka. Nedan förklarar jag varför.

I alla fall beskrivs kännedomen om två olika organisationer.

Det är väldigt få som känner till organisation A, medan nästan alla finländare känner till organisation B, åtminstone till namnet. Och när en person säger att hen känner till organisationen vid namn, vet hen troligen redan betydligt mer om den än bara en bokstavskombination. Ett namn fastnar inte lätt i minnet om det inte kopplas till något konkret eller en viss föreställning.

Ur angriparens perspektiv skiljer sig dessa organisationer åt avsevärt. När det gäller den ena organisationen har allmänheten en viss bild av den, medan det bara är ett fåtal som känner till den andra organisationens existens.

Är det då så att organisation A, som är relativt okänd, inte behöver oroa sig för sitt rykte när det gäller informationspåverkan? Tyvärr är det inte så. I själva verket kan organisation A, ur informationspåverkanssynpunkt, vara ett lättare mål än organisation B.

När det nästan inte finns några föreställningar alls kan uppfattningar om en organisation snabbt uppstå på initiativ av någon annan än organisationen själv. Så kan det till exempel ha gått till för Statens revisionsverk (VTV). Jag påstår inte att just händelserna kring VTV:s anseendekris utgick från en informationspåverkares perspektiv, men VTV är ett bra exempel på hur en relativt okänd institutions anseende mycket snabbt kan fyllas av negativa föreställningar. Idag är VTV en välkänd organisation.

Det fenomen som beskrivs ovan är naturligtvis en möjlighet för angriparen. På sitt sätt skulle man kunna tänka sig att det vore rimligt för en offentligt finansierad institution av nationell betydelse att, åtminstone i viss utsträckning, hålla medborgarna informerade om institutionens existens, verksamhet och mål.

Jag hävdade att organisation A ur angriparens perspektiv kan vara ett lättare mål än organisation B, men detta är inte självklart. Situationen beror på organisation B:s rykte. Att vara känd i sig innebär inte någon direkt försvarsförmåga. Låt oss anta att organisation B skulle vara VTV med sin nuvarande kändhet. Potentiella nya negativa uppgifter om organisationen, vare sig de är sanna eller falska, skulle från angriparens perspektiv falla på fruktbar mark. Mottagandet av ny information skulle påverkas av en bekräftelsebias: allmänheten skulle vara ganska benägen att tro även på nya negativa uppgifter om VTV, eftersom de skulle stödja befintliga uppfattningar om organisationen i fråga. Därför skulle det vara betydligt lättare att undergräva VTV:s verksamhetsförutsättningar än exempelvis polisens.

Organisation B skulle för övrigt, med tanke på sin kändhet, kunna vara polisen, som har anseende ganska starkt anseende förtroende hos allmänheten. Ur angriparens perspektiv är det just av denna anledning svårt att undergräva polisens ställning. Negativ information om en ansedd organisation tas inte riktigt på allvar, även om den skulle vara sann.

Detta fenomen kallas i sin tur kognitiv dissonans. Kortfattat innebär det en obehagskänsla som uppstår när vi får information som inte stämmer överens med vår egen världsbild. Vi ignorerar lätt sådan information och går vidare. Kognitiv dissonans uppstår i ett sådant fall anseende starkt anseende och är i sig ett centralt försvarsmekanism. Det är ju som kommunikationskonsulterna brukar säga: ”Anseendet bär oss över kriserna.” Så kan det verkligen vara!

För säkerhets skull bör det påpekas att organisationerna A och B inte är VTV och polisen. Kännedomsmätningarna avser exempelorganisationer som i detta sammanhang förblir anonyma.

Låg kännedom utgör en risk för institutionen ur ett informationspåverkansperspektiv, trots att kännedom i sig inte skapar resiliens för organisationen. Motståndskraft i fråga om informationspåverkan uppstår anseende gott anseende , och anseende gott anseende förtjänas och byggas upp redan innan problem uppstår, så att förtroende- och anseendebuffertarna klarar av den störning som en oväntad situation orsakar.

VAD, ÄR FINLAND EN KORRUPT KLEPTOKRATI?

Även om det skulle vara svårt att undergräva en central institution, betyder det inte att man inte ändå ständigt försöker göra det. Tiden är på angriparens sida. Varje organisation drabbas på sikt av misstag eller problem som en ihärdig angripare kan utnyttja genom att intensifiera sina redan pågående informationsoperationer.

Vi västerlänningar betraktar det ryska maktsystemet som en korrupt kleptokrati. Just nu, våren 2022, skulle en angripare som har viljan, resurserna och rätt timing – tack vare en korrekt lägesbild – effektivt kunna rubba det finska systemet ur vårt eget perspektiv. Genom att läcka sanna eller påhittade misstankar om korruption från Riksrevisionen och genom att med hjälp av fallet Jari Aarnio koppla samman dessa till en berättelse om polisens korruption skulle en skicklig angripare kunna utnyttja detta tidsfönster och så tvivel hos folket om att även vårt eget system är en korrupt kleptokrati.

anseende är ytterst känslig information

Låt oss återvända till cybervärlden för ett ögonblick. Silverskin Information Security testar olika system genom att systematiskt attackera dem, men med tillstånd – eller snarare på begäran. Intensiva penetrationstester märks garanterat. Varningsklockorna borde åtminstone ringa när angriparen samtidigt prövar allt som är möjligt och omöjligt.

Utifrån händelserna under testattacken sammanställs en rapport till kunden, där alla testade attacktekniker och -metoder gårs igenom. Rapporten innehåller även information om vilka metoder som lyckades ta sig igenom försvaret och hur långt de kom. Åtgärder föreslås för de säkerhetsluckor som upptäckts. Gissa om rapporten som beskrivs ovan innehåller känslig information. Ur angriparens perspektiv är rapporten i praktiken en handledning i hur man tar sig in i målsystemet på ett säkert, elegant och obemärkt sätt. Och om något har åtgärdats, vet man även hur det har åtgärdats.

anseende statistikbaserad anseende av organisationens anseende är, ur informationskrigets perspektiv, en rapport av exakt samma värde. Effektanalysen bygger på korrelations- och regressionsanalyser, och den visar direkt vilka organisationsspecifika föreställningar som har störst inverkan på just den aktuella institutionens verksamhetsförutsättningar. Analyserna ger också information om vilka uppfattningar som är svagare, det vill säga vilka områden av organisationens anseende som människor vet minst om eller vilka uppfattningar de är starkt oeniga om. En erfaren angripare skulle använda rapporten på följande sätt:

Man skulle utifrån effektanalysen undersöka vilka faktorer som i störst utsträckning stärker respektive undergräver förtroendet för målorganisationen.
Man skulle granska polariseringsanalysen av delfaktorerna och välja den anseende där det samtidigt råder störst oenighet och störst okunskap.
Skulle rikta en massiv informationskampanj med kirurgisk precision just mot den anseende av målorganisationens anseende där genomslagskraft, oenighet och okunnighet möts.

Genom att agera på detta sätt skulle angriparen kunna undergräva förtroendet för den berörda institutionen på ett otroligt effektivt sätt. Alla träffar skulle hamna precis där pansaret är som svagast eller saknas helt, och där det finns ett viktigt inre organ under pansaret.

Ur angriparens perspektiv är slutrapporten från penetrationstestet och effektanalysen Reputation&Trust i praktiken samma sak. De är som färdigutformade strategier som med säkerhet leder till framgång. Det är de också för försvararen, men ur försvararens perspektiv är framgången inte lika säker, och försvararen har inte råd att vänta på rätt tillfälle. Att bryta mot reglerna är på många sätt enklare och snabbare än att planmässigt bygga upp vackra saker. Just därför måste krisresiliens byggas upp både i cybervärlden och i omdömesvärlden kontinuerligt, målmedvetet och framför allt i fredstid.

Ibland kan helt olika vägar leda till samma punkt

Den här gången hamnade cybersäkerhet och anseende i samma fack, konstaterar författaren till denna artikel, Riku Ruokolahti, utvecklingschef på T-Media och huvudutvecklare Reputation&Trust . Förutom anseende har Riku även varit verksam i olika bakgrundsroller inom cybersäkerhet. De mest anmärkningsvärda av dessa är hans över tio år långa arbete i styrelsen för cyberattackföretaget Silverskin Information Security Oy samt hans arbete som investerare och rådgivare till ledningen i företaget Cyber Intelligence House, som specialiserar sig på underrättelseverksamhet på dark web.

Silverskins centrala filosofi är att öka den övergripande säkerheten för företag och samhällen genom att granska institutioner ur angriparens perspektiv och på denna grund föreslå korrigerande åtgärder. CIH samlar å sin sida in information och observerar fenomen, händelser, brott och dataläckor som inträffar i skydd av anonyma nätverk. Legitima institutioner (bland annat INTERPOL), samhällen och företag utnyttjar den information som CIH samlar in för att kunna förbereda sig och reagera på hot.

Innehållet i artikeln och angreppsscenarierna har granskats av cybersäkerhetsexperten Mikko S. Niemelä. Mikko har grundat cyberangreppsföretaget Silverskin och Cyber Intelligence House, som är specialiserat på cyberunderrättelse. Dessutom undervisar Mikko i cybersäkerhet vid National University of Singapore och fungerar som rådgivare åt bland annat FN:s kontor för narkotikakontroll och brottsbekämpning (UNODC) och INTERPOL.