Sådan kan du modstå påvirkningskampagner

TRUST-modellen – en tilgang til håndtering af påvirkninger.

CISA – det amerikanske svar på Center for Cybersikkerhed – har i forbindelse med sin publikation ”CISA Insights”, som adresserer truslen fra påvirkningskampagner rettet mod kritisk infrastruktur i USA, givet en metode til, hvordan man modstår påvirkningskampagner.

Tilgangen er ligesom med så meget andet sikkerhedsarbejde overordnet, hvilket betyder, at metoden ikke givet et praktisk ’plug-and-play’-værktøj, men en fremgangsmåde med hvilken man kan håndtere truslen. Med dette sikres det, at man arbejder risikobaseret, og at de konkrete greb bliver individuelt tilpasset den enkelte organisation i respekt for, at alle organisationer er forskellige.

TRUST

Modellen hedder TRUST, og den blev udbredt i forbindelse med det amerikanske præsidentvalg i 2019, efter at en egentlig enhed til håndtering af ’MDM’ blev etableret i 2018. TRUST-modellen kan også anvendes i andre MDM-situationer som i den aktuelle konflikt mellem Ukraine og Rusland. Med MDM forstås påvirkningskampagner – eller indflydelsesoperationer, som CISA betegner det – hvor der anvendes ’misinformation, disinformation and malformation tactics’. Derfor forkortelsen MDM.

I forhold til kritisk infrastruktur skriver CISA, at infrastrukturejere og -operatører skal spille en proaktiv rolle i at reagere på MDM. Man kan tilføje, at også samfundsvigtige funktioner i Danmark, som fx dansk forskning, bør have en proaktiv tilgang, hvilket TRUST-modellen kan hjælpe med. TRUST-modellen er blot én tilgang – andre kan være lige så gode.

Forberedelse, forberedelse og forberedelse

TRUST-modellen består af fem elementer:

T – Tell your story
R – Ready your team
U – Understand and asses
S – Strategize your response
T - Track the outcomes.

’Tell your story’ handler om at italesætte truslen over for relevante interessenter i og uden for organisationen. For en dansk forskningsinstitution kan det fx være at starte dialogen med medarbejdere og studerende. Hvad betyder den eskalerende konflikt for vores sikkerhedssituation? Hvordan kan evt. påvirkningskampagner ramme os, og hvad skal vi være opmærksomme på i den kommende tid?

’Ready your team’ handler om at gøre teamet klar til at håndtering af en påvirkningssituation. Derfor afhænger forberedelse af teamet meget af, om man har igangsat dialogen med sine folk i ’Tell your story’, inden man evt. bliver ramt af påvirkningskampagner. Det er altså behov for et fortløbende arbejde, der ikke er overstået ved én mail eller et medarbejdermøde.

’Understand and asses’ går ind i den grundlæggende forståelse for, hvad en påvirkningskampagne er til for. Hvad er motiverne fra den påvirkende part? Er genstanden for en påvirkningskampagne en demokratisk valghandling, vil det for en udenlandsk, ondsindet aktør være at påvirke en folkestemning, der kan medføre destabilisering. I en forskningsinstitution kan det være påvirkning af selve forskningen i en retning, der ikke er uafhængig eller på anden måde ikke lever op til de værdier og normer, som forskningsinstitutionen almindeligvis er underlagt. Det kan også være en påvirkning, der kan medføre en mindre hensigtsmæssig omgang med fortrolige informationer og forskningsresultater. Det kan også have det mål at undergrave tilliden til institutionen, dens forskere og deres forskningsresultater.

’Strategize response’ vedrører, at man kan planlægge og eksekvere et effektivt svar, når man først har identificeret en påvirkningsaktivitet mod det, som ens institution står for. I tilfældet påvirkning mod en forskningsinstitution, hvor fx institutionens uafhængighed anfægtes, vil en folkestemnings modstandsdygtighed over for en påvirkning være afhængig af, hvordan institutionen i forvejen ses på, dens image og fx hidtidige resultater. Et strategisk valgt modsvar står derfor i forlængelse af, hvordan kommunikationen om institutionen i øvrigt er.

’Track Outcomes’ – handler om, at man løbende evaluerer eksistensen af påvirkningskampagner og betydningen af ens respons med henblik på løbende justering af indsatsen.

Er jeres forskning i fare?

Meget af arbejdet med TRUST-modellen handler lige som med alt andet sikkerhedsarbejde om forberedelse. Er man opmærksom på en trussel, er forudsætningerne for en god forberedelse langt bedre, end hvis man har oplevelsen af, at den kommer som et lyn fra en klar himmel. Det er her, at man med fordel kan se på CFCS og PETs trusselsvurderinger og i øvrigt holde sig orienteret om, hvad der sker rundt omkring i verden. Cyberangreb og påvirkningskampagner fra statsaktører kommer sjældent ud af det blå, men er del en samlet strategi.

En af de nyeste publikationer, der adresserer truslen mod dansk forskning – herunder også påvirkningsvirksomhed fra fremmede stater – er Uddannelses- og Forskningsministeriet og PETs fælles publikation ’Er jeres forskning i fare?’ Den publikation udkom i foråret 2021 og giver en generel introduktion, som kan danne basis for den nævnte dialog, som foreslås under TRUST-modellens første punkt: ’Tell your story’.