Najważniejsze zasady obrony przed atakiem socjotechnicznym

W poprzednim artykule pisaliśmy o atakach socjotechnicznych, na które może być narażona firma.

Teraz podajemy najważniejsze zasady, do których powinni stosować się pracownicy w celu ochrony jej bezpieczeństwa.

Jeśli Twoja firma posiada dużą liczbę pracowników, wiele lokalizacji, nie posiada systemu klasyfikacji danych, a pracownicy nie są przeszkoleni z zakresu bezpieczeństwa, może być zagrożona…

Jeśli Twoi pracownicy nie są świadomi zagrożeń, łatwo mogą paść ofiarą socjotechników, osób, którzy przy pomocy manipulacji wyłudzają niezbędne im dane. Szczególnie częstym narzędziem stosowanym przez socjotechników jest telefon.

Istnieją sposoby na weryfikację osób mogących podszywać się pod inne osoby.

W jaki sposób sprawdzić tożsamość dzwoniącej osoby?

• Należy zidentyfikować rozmówcę, czyli sprawdzić czy osoba pochodzi z zewnątrz
• Powinno się odnaleźć dzwoniącą osobę w firmowym spisie firm i oddzwonić do niej
• Warto spytać o wspólną tajemnicę firmy, jeśli taka istnieje
• Jak również poprosić o wiadomość podpisaną elektronicznie

Jak zweryfikować status pracownika?

• Powinno się sprawdzić, czy dzwoniący znajduje się na liście pracowników danej firmy.
• Należy wykonać telefon do konkretnego działu, w celu sprawdzenia czy rzeczywiście taki pracownik figuruje na liście.

Weryfikacja informacji, które pragnie uzyskać osoba dzwoniąca

• Zaleca się sprawdzenie stanowiska, zakresu odpowiedzialności danej osoby, aby dowiedzieć się czy jest ona uprawniona do otrzymania informacji
• Konieczne jest uzyskanie potwierdzenia od szefa
• Odnalezienie zainteresowanej uzyskaniem informacji osoby w specjalnej bazie danych weryfikującej dostęp osób do danych informacji

Jak sprawdzić osobę, niebędącą pracownikiem firmy?

• Należy zweryfikować jej tożsamość oraz status zatrudnienia w firmie
• Warto się dowiedzieć czy osoba podpisała zobowiązanie do nieujawniania informacji

Jak sklasyfikować dane?

• Wewnętrzne – powinno się zweryfikować tożsamość osoby pytającej, jako zatrudnionej w firmie
• Prywatne – konieczna konsultacja z działem kadr, przed ujawnieniem takiej informacji
• Tajne – należy zweryfikować tożsamość osoby pytającej u właściciela tajnej informacji Przekazanie informacji tylko za zgodą pisemną szefa, bądź właściciela informacji

Źródło:

K.Mitnick; W. Simon, Sztuka podstępu, Wyd. Helion, Gliwice 2003.

Zobacz także: