 |
|
Внутренний телефонный справочник
Политика: Сообщение информации из внутреннего телефонного справочника возможно только сотрудникам компании.
Пояснения/Заметки: Все названия должностей, имена, телефонные номера и почтовые адреса, содержащиеся в телефонном справочнике компании должны рассматриваться как информация для внутреннего пользования, и должна сообщаться в соответствии с принятой политикой в отношении внутренней информации.
Кроме того, каждый звонящий должен знать имя или внутренний телефон абонента, с которым он хочет связаться. Даже несмотря на то, что оператор может переключить звонок на нужного абонента и в том случае, если звонящий не знает внутренний номер, сообщать это номер ему нельзя (Любопытным рекомендую попробовать позвонить в любое американское правительственное агентство и попросить оператора дать внутренний номер).
Телефонные номера специальных отделов
Политика: Служащие не должны давать телефонные номера службы тех. поддержки, отдела телекоммуникаций, системных администраторов и т.д. не убедившись, что звонящий имеет право контактироваться с этими подразделениями. Оператор, перенаправляя вызов, должен называть имя звонящего.
Пояснения/Заметки: Хотя некоторые организации сочтут эти меры слишком жесткими, такая политика затруднит для социального инженера возможность представиться сотрудником компании обманом заставив других служащих перенаправить его звонок через свой внутренний номер (что в некоторых телефонных системах выглядит как звонок внутри офиса). Также знание внутренних телефонов таких отделов может помочь инженеру убедить жертву в достоверности своих слов.
Передача информации
Политика: Телефонные операторы и секретари не должны принимать сообщения или передавать информацию никаким людям кроме тех, которых они ЛИЧНО знают как действующих сотрудников компании.
Пояснения/Заметки: Социальному инженеру ничего не стоит обманом заставить служащих непреднамеренно подтвердить личность злоумышленника. Вот, например, такой трюк. Социальный инженер узнает номер телефона оператора и под каким-то предлогом просит его принимать сообщения, которые адресованы ему. Потом, во время разговора с жертвой, злоумышленник притворяется сотрудником, просит какую-либо конфиденциальную информацию и оставляет в качестве обратного телефон коммутатора. Позже, взломщик звонить оператору и получает сообщения, оставленные для него ничего не подозревающей жертвой.
Предметы на вынос
Политика: Перед выдачей любого предмета курьеру или другому неустановленному лицу секретарь или сотрудник охраны должны получить удостоверение личности с фотографией и записать данные оттуда в журнал учета посылок в соответствии с установленным порядком.
Пояснения/Заметки: Одна из тактик социально инженера заключается в том, чтобы обманом заставить одного сотрудника передать конфиденциальную информацию другому, предположительно авторизованному сотруднику, оставив ее на ресепшне. Естественно, секретарь или сотрудник службы безопасности считают, что посылка разрешена к выносу. Соц. инженер либо сам забирает пакет, либо пользуется услугами курьерской службы.