Insider Threat Investigator — løn 2026: 64.304 kr. om måneden

En insider threat investigator arbejder med den type sager, hvor truslen kommer indefra: en medarbejder, en vikar eller en leverandør, der har lovlig adgang og bruger den forkert.

Det kan være tyveri af data før et jobskifte, svindel, salg af oplysninger eller ren skødesløshed, der gør skade. De fleste sager viser sig at være uagtsomme, ikke ondsindede — og det er en af grundene til, at undersøgelsen skal laves ordentligt, før nogen bliver anklaget.

• Modtage mistanken: en alarm fra et system, en henvendelse fra en leder eller en kollega
• Sikre spor: logfiler og data skal sikres, før de overskrives, og på en måde der kan dokumenteres
• Afdække forløbet: hvem gjorde hvad hvornår, og kan det have en uskyldig forklaring
• Vurdere omfanget: hvilke data er berørt, og er de forladt virksomheden
• Samarbejde: HR, juridisk afdeling og ledelsen inddrages, og ved alvorlige sager politiet
• Rapportere: en skriftlig fremstilling, der kan holde til at blive læst af en advokat eller en domstol
• Lukke hullet: de fleste sager afslører også en adgang eller en kontrol, der manglede

Rollen kræver omhu og upartiskhed. Undersøgeren skal lede efter det, der taler imod mistanken, lige så aktivt som det, der taler for. En forhastet konklusion kan ødelægge et menneskes karriere og samtidig gøre sagen ubrugelig juridisk.

Arbejdet findes i finanssektoren, i forsvars- og medicinalvirksomheder, i store koncerner og hos de firmaer, der laver undersøgelser for andre.

Hvilken lovgivning dækker denne rolle? Undersøgelser af medarbejdere er behandling af personoplysninger og kræver et lovligt grundlag efter databeskyttelsesforordningen og databeskyttelsesloven. Medarbejderen skal som udgangspunkt oplyses om kontrollen på forhånd, og overvågning skal stå i rimeligt forhold til formålet. Whistleblowerloven kræver, at virksomheder over en vis størrelse har en ordning, hvor forhold kan indberettes fortroligt, og at indberetteren beskyttes. Ved mistanke om strafbare forhold er efterforskning politiets opgave, ikke virksomhedens.

Sporene hentes fra logsystemer — Microsoft Sentinel, Splunk eller QRadar — hvor man kan følge, hvem der har åbnet hvad hvornår, og fra overvågning af datastrømme, der kan vise, om store mængder filer er kopieret ud.

Til undersøgelse af en computer eller en telefon bruges efterforskningsværktøjer som Magnet AXIOM, EnCase eller det frie Autopsy, der laver en kopi af lagringen, så originalen ikke ændres. At kunne dokumentere, at beviset ikke er blevet rørt, er afgørende, hvis sagen ender et formelt sted.

Mailsystemer gennemsøges via de indbyggede undersøgelsesfunktioner i Microsoft Purview, og adgangsforløb ses i Microsoft Entra ID eller Active Directory.

Selve sagen føres i et sagssystem med adgang for meget få, fordi oplysningerne er følsomme, og fordi en utæt undersøgelse kan skade både virksomheden og den, der undersøges.