Grundlagen des Audit-Mindsets

Was ist Grundlagen des Audit-Mindsets?

Mit einem Audit-Mindset halten Sie auch bei scheinbar alltäglichen Anfragen kurz inne – besonders dann, wenn sie von einer vertrauten Person zu kommen scheinen. Eine dringende E-Mail Ihres vermeintlichen Vorgesetzten fordert Sie auf, eine Zahlung noch am selben Tag an einen unbekannten Lieferanten zu veranlassen. Sie erkennen die Warnsignale, entscheiden, dass es weniger kostet, unkooperativ zu wirken, als einen Betrüger zu bezahlen, und rufen Ihren Vorgesetzten unter der bereits gespeicherten Nummer an. Er hat die E-Mail nicht gesendet. Sie melden den Versuch und erfahren, was die IT-Sicherheit daraufhin unternimmt.

Was Sie lernen in Grundlagen des Audit-Mindsets

• Wenden Sie ein Audit-Mindset auf routinemäßige Anfragen an, indem Sie eine Pause einlegen, bevor Sie handeln, und nicht danach
• Identifizieren Sie die Warnsignale, die eine echte interne Anfrage von einem Social-Engineering-Versuch unter Verwendung eines vertrauenswürdigen Namens unterscheiden
• Prüfen Sie eine unerwartete Anfrage über einen unabhängigen Kanal und verwenden Sie dafür bereits bekannte Kontaktdaten statt der Angaben in der Nachricht
• Zeitdruck und Berufung auf Autorität als bewusste Druckmittel erkennen, nicht als Grund, eine Prüfung auszulassen
• Melden Sie einen Betrugsversuch über den Vorfallkanal, auch wenn nichts verloren gegangen ist, sodass das Muster nachvollzogen werden kann

Grundlagen des Audit-Mindsets — Trainingsschritte

1. Neun Dollar

   Er wird in nichts einbrechen. Er wird eine Domain kaufen, die sich auf den ersten Blick wie die echte liest.

2. Ein Zeichen

   Das ist die gesamte technische Komponente dieses Angriffs.

3. Eine dringende Bitte

   Donnerstagnachmittag: Eine vermeintliche Zahlungsaufforderung von David Chen, dem CFO, trifft ein. Sie möchten helfen: Er ist Ihr Vorgesetzter, die Anfrage klingt plausibel, und Sie wollen nicht schuld sein, wenn ein Lieferant abspringt. Genau darauf setzt der Angreifer.

4. Worauf die Anfrage setzt

   Drei Fragen beantworten fast jede Anfrage wie diese: Ist es ungewöhnlich, umgeht es eine Kontrolle und entmutigt es die Überprüfung? Alle drei sind aus der Nachricht selbst zu beantworten.

5. Über einen unabhängigen Kanal prüfen

   Die Antwort würde denjenigen erreichen, der diese Domain besitzt. Der Anruf bei der Durchwahl im Firmenverzeichnis erreicht David. Verwenden Sie die Nummer, die Sie bereits haben, niemals eine, die in der Nachricht angegeben ist.

6. Vorfall melden

   David hat es bestätigt. Er glaubt, dass sein Konto kompromittiert sein könnte. Die IT-Sicherheit wird feststellen, ob das wahr ist. Ihre Aufgabe besteht nun darin, es zu Protokoll zu geben.

7. Bericht einreichen

   Geben Sie die Absenderadresse genau so an, wie sie angezeigt wurde. Damit kann die IT-Sicherheit die Domain ermitteln und den Missbrauch beim Registrar melden.

8. Was die IT-Sicherheit tatsächlich festgestellt hat

   Die Antwort korrigiert eine Annahme, die es wert ist, korrigiert zu werden.

9. Nichts wurde kompromittiert

   David vermutete einen Kontoeinbruch. Tatsächlich war so gut wie kein Konto kompromittiert worden.

10. Neun Dollar, weg

    Die Missbrauchsmeldung geht beim Domain-Registrar ein.