 |
|
Шаг два: подтверждение статуса человека
Самая большая опасность для информационной безопасности заключается не в профессиональном социальном инженере, не в талантливом взломщике, а в том, кто намного ближе: в только что уволенном сотруднике, жаждущем мести, либо пытающемся подняться за счет известной ему информации о компании.
Перед предоставлением чувствительной информации другому человеку или разрешения на действия с компьютерами, либо оборудованием, убедитесь, что человек все еще является работником компании. В этом вам могут помочь следующие методы:
Директория работников.Если у компании есть онлайн директория со списком текущих работников, проверьте статус звонящего.
Подтверждение у начальства. Позвоните менеджеру по телефону, указанному в файлах компании, а не тому, что указал человек.
Подтверждение из отдела.Позвоните в департамент, где работает человек, сделавший запрос и узнайте его статус.
Шаг третий: Проверка необходимости к знанию
Помимо проверки нынешнего статуса работника в компании, остается вопрос - а может ли человек получить доступ к какой-то конкретной информации, либо запросить действие, влияющее на компьютерные системы компании.
Определение может происходить при использовании одного из этих методов:
Посоветуйтесь с ответственными людьми. Компания может предоставить готовый доступ к информации путем публикации листов, где будут указаны права работников к данным. Это списки могут быть составлены в зависимости от статуса, отдела или уровня ответственности. Такие списки должны храниться в онлайне, чтобы была возможность быстро просмотреть их.
Заметка
Важно заметить, что такие списки являются своеобразным приглашением атакующему. Если человек понимает, что компания предпринимает попытке к защите своей информации, его мотивация в получении копии такого списка огромна. Заполучив его однажды, социальный инженер откроет себе множество дверей и подвергнет компанию серьезному риску.
Получение разрешения от менеджера.Работник связывается со своим менеджером или менеджером звонящего и получает разрешение на исполнение запроса.
Получение разрешения от информационного владельца, либо назначенного должностного лица.Первый решает, получит ли человек доступ. Если решение затрагивает получение доступа к компьютерным системам, то работник тотчас связывается со своим менеджером для подтверждения информации о текущем статусе человека. Если статус неизвестен, то это ответственность менеджера - запросить подтверждения у информационного владельца. Такая система позволит не беспокоить последних лишний раз и по пустякам.
Для большой компании в условиях рыночной конкуренции может быть полезна разработка специального пакета, предоставляющего проверку на необходимость знания. Такая база данных хранит имена работников и уровень доступа к каждой категории информации. Пользователи не смогут проверить уровень доступа отдельного индивидуума, кроме как введя его имя и уникальный идентификатор. Затем программа выдает ответ, может ли работник получить доступ к информации. Такой шаг поможет избежать поможет избежать опасности.
{2-я часть}