Kodėl technologinės apsaugos nepakanka?
Socialinė inžinerija – tai manipuliavimo žmonėmis metodai, kuriais siekiama išgauti konfidencialią informaciją, prisijungimo duomenis, paskatinti atlikti mokėjimą ar kitą nesaugų veiksmą. Sukčiai išnaudoja skubą, pasitikėjimą, smalsumą ir norą padėti, todėl net įprastai atrodantis prašymas gali tapti saugumo incidento pradžia.
Grėsmės neapsiriboja el. paštu. Sukčiai gali derinti kelis kanalus – po įtartino laiško paskambinti, atsiųsti SMS ar apsimesti darbuotoju, tiekėju arba kurjeriu. Todėl organizacijos saugumas priklauso ne tik nuo technologijų, bet ir nuo žmonių elgesio bei vidinių procedūrų.
Testavimas, kuris parodo realų pasirengimą
Teoriniai mokymai suteikia žinių, tačiau praktinės situacijos atskleidžia, ar darbuotojai geba jas pritaikyti. Socialinės inžinerijos testavimo metu imituojamos iš anksto suderintos, realistiškos grėsmės, o darbuotojų reakcijos padeda nustatyti silpnąsias organizacijos saugumo vietas.
„Vien teorinių mokymų dažnai nepakanka – darbuotojas gali žinoti saugumo taisykles, tačiau susidūręs su įtikinamu prašymu ir skubos spaudimu pasielgti ne taip, kaip reikėtų. Testavimas leidžia praktiškai įvertinti, ar žmogus sustoja, patikrina informaciją, atsisako atlikti neįprastą veiksmą ir praneša apie įtarimą.
Rezultatai padeda suprasti, kur reikia stiprinti darbuotojų įgūdžius, tobulinti vidines procedūras ar papildyti technines apsaugos priemones“, – sako Deividas, „Heximus“ IT projektų vystymo vadovas.
Keturios pagrindinės testavimo kryptys
„Heximus“ siūlo keturias socialinės inžinerijos testavimo kryptis, leidžiančias įvertinti skirtingas organizacijos rizikas.
- Phishing – el. laiškai. Imituojami apgaulingi laiškai su įtartinomis nuorodomis, prisegtukais, netikromis prisijungimo užklausomis ar tariamais vadovų ir tiekėjų prašymais.
- Vishing – telefono skambučiai. Tikrinama, ar darbuotojai atpažįsta apsimetimą IT specialistu, vadovu, klientu ar tiekėju ir neatskleidžia informacijos bei neatlieka nepatvirtintų veiksmų.
- Smishing – SMS žinutės. Vertinama reakcija į apgaulingas žinutes, netikras nuorodas ir prašymus skubiai patvirtinti paskyrą ar atlikti kitą veiksmą.
- Fizinės socialinės inžinerijos testavimas. Tikrinama, ar laikomasi patekimo į patalpas taisyklių, tinkamai registruojami lankytojai ir apsaugoma darbo vietose esanti konfidenciali informacija.
Testavimo scenarijai pritaikomi pagal organizacijos veiklą, darbuotojų funkcijas ir aktualias rizikas.
Ką organizacija gauna po testavimo?
Testavimo vertė – ne vien nustatyti darbuotojų veiksmai, bet ir supratimas, kodėl jie įvyko. Pavyzdžiui, darbuotojas gali pastebėti įtartiną laišką, tačiau nežinoti, kam apie jį pranešti. Tokiu atveju problema susijusi ne tik su budrumu, bet ir su vidiniais procesais.
Po testavimo parengiama rezultatų ataskaita su nustatytomis rizikomis ir rekomendacijomis. Jos padeda:
- tikslinti darbuotojų mokymus;
- tobulinti informacijos ir mokėjimų tikrinimo procedūras;
- gerinti pranešimų apie incidentus procesą;
- įvertinti papildomų techninių saugumo priemonių poreikį.
Testavimas vykdomas kontroliuojamai, iš anksto suderinus jo apimtį, scenarijus ir atsakomybes. Fiksuojami tik testui reikalingi veiksmai, o realūs slaptažodžiai ir perteklinė konfidenciali informacija nerenkami. Tikslas – tobulinti organizacijos saugumą, o ne bausti darbuotojus.
Atsparumas prasideda nuo pasirengimo
Socialinės inžinerijos grėsmių neįmanoma pašalinti vien technologinėmis priemonėmis. Tačiau praktinis testavimas, tiksliniai mokymai ir aiškios procedūros padeda sumažinti riziką bei užtikrinti, kad darbuotojai žinotų, kaip elgtis kilus įtarimui.
„Heximus“ padeda organizacijoms patikrinti pasirengimą socialinės inžinerijos atakoms, nustatyti saugumo spragas ir suplanuoti konkrečius tobulinimo veiksmus.
Norite įvertinti savo organizacijos pasirengimą? Susisiekite su „Heximus“ ir aptarkime jūsų poreikius.
