«Det er bare et internt system» – fritaket som gjør innsiden sårbar
Ingen inputvalidering, ingen logging, delt admin-passord – det er jo bare internt. Setningen brukes som fritak fra alt vi vet om sikkerhet, og hviler på en antagelse som sluttet å stemme for lenge siden: at innsiden er trygg.
Fritaket
Legg merke til hvor ofte setningen brukes, og hva den brukes til:
«Vi hopper over inputvalidering her, det er bare internt.»
«Alle bruker samme admin-bruker, det er bare internt.»
«Ingen vits i audit-logging, det er bare internt.»
Setningen fungerer som et universalfritak: alt vi vet om sikkerhet, opphevet av ett ord. Og fritaket hviler på én antagelse:
At det finnes en innside, og at innsiden er trygg.
Begge deler var tvilsomme for ti år siden. I dag er begge feil.
Innsiden finnes ikke lenger
Tegn opp «det interne systemet» og se hva som faktisk når det:
Hjemmekontor-laptoper på hjemmenettverk. VPN-tilganger til konsulenter, noen glemt aktive etter endt oppdrag. SaaS-integrasjoner med API-nøkler. CI/CD-pipelines med brede rettigheter. Og hver eneste utviklermaskin med hundrevis av tredjepartspakker med egne oppdateringskanaler.
«Internt» beskriver i dag ikke en trygg sone. Det beskriver bare hvem systemet var ment for. Angripere bryr seg ikke om intensjoner – de bryr seg om veier inn, og om hva som venter innenfor. Og fritaket setter spor. GitGuardian fant i 2026 at interne repoer er omtrent seks ganger så tilbøyelige som offentlige til å inneholde hardkodede hemmeligheter, kaller det gjelden etter «privat som standard»-tenkning, og beskriver den oppsamlede gjelden som materialet angripere utnytter når de først har nådd de interne systemene. Rundt 28 prosent av lekkasjene de registrerte, startet helt utenfor koden – i Slack, Jira og Confluence.
Én phishet utviklerkonto, og angriperen står på innsiden din. Da er spørsmålet brutalt enkelt: Hva venter der? Systemene bygget med validering, minste tilgang og logging, eller systemene bygget med fritaket?
Interne systemer er ofte de farligste
Snu perspektivet, så ser du at interne systemer fortjener mer mistenksomhet, ikke mindre:
- De har bredere tilganger – admin-verktøy, dataeksporter, integrasjonsnøkler
- De får ofte minst sikkerhetsoppmerksomhet, og havner lett utenfor det omfanget pentesten ble kjøpt for
- De logger ofte minst, og et innbrudd ingen logger, oppdages sent. I Mandiants etterforskninger i 2025 ble 48 prosent av innbruddene først oppdaget utenfra (M-Trends 2026)
- Og de er bygget med fritaket, så de faller lettest
Det interne kundeadmin-verktøyet med tilgang til alle kunder er et bedre bytte enn det herdede offentlige API-et. Angripere vet det. Fritakssetningen sørger for at forsvaret ikke gjør det.
Bytt ut fritaket med ett spørsmål
Prinsippet som erstatter «det er bare internt», er kjent: anta at nettverket er fiendtlig, verifiser hver forespørsel, gi minste nødvendige tilgang. Zero trust, om du vil ha begrepet.
Men begreper implementerer ingenting. Start med spørsmålet i stedet. Legg det i designdiskusjoner og PR-maler:
«Hva kan en angriper som allerede står her, gjøre videre?»
Spørsmålet aksepterer premisset fritaket nekter for: at innsiden kan falle. Og det tvinger frem de riktige tiltakene, ett system om gangen: validering ved hver grense, egne brukere med egne rettigheter, logging som gjør bevegelse synlig.
Poenget er ikke at hvert interne system skal festningsbygges over natten, men at fritaket skal bort og hvert avvik fra standarden skal være en vurdert beslutning, ikke en refleks.
Når ingen spør videre
«Det er bare et internt system» var en gang en beskrivelse.
Nå er det en sårbarhet med grammatikk.
Stryk setningen fra teamets vokabular og still angriperspørsmålet i stedet. Innsiden din er aldri tryggere enn det svakeste systemet noen unnskyldte med ett ord.