Social-Media-Richtlinie
Erfahren Sie, was Sie nicht auf Unternehmenskonten posten sollten.
Was ist Social-Media-Richtlinie?
Ein einziger unvorsichtiger Beitrag kann einen Deal preisgeben, eine Kundenliste preisgeben oder einem Angreifer Informationen liefern. Sie überprüfen Beiträge, die auf realen Vorfallmustern basieren: ein Hinweis auf einen Geschäftsabschluss nächste Woche, ein Bürofoto mit einem Monitor im Rahmen, eine öffentliche Öffnung, die gegen Kommunikationsrichtlinien verstößt. Für jedes Risiko benennen Sie das spezifische Risiko und schreiben den Inhalt so um, dass die Botschaft erhalten bleibt und die Gefährdung nicht. Anschließend überprüfen Sie Ihr eigenes Profil auf die Details, die einen gezielten Phishing-Angriff ermöglichen.
Was Sie lernen in Social-Media-Richtlinie
- Identifizieren Sie Arten von Unternehmensinformationen, die nicht in persönlichen oder beruflichen Social-Media-Profilen erscheinen sollten
- Bewerten Sie Social-Media-Beiträge auf betriebliche Sicherheitsrisiken, einschließlich Standortdaten, Organigramme und Technologiedetails
- Schreiben Sie Social-Media-Inhalte neu, um vertrauliche Informationen zu entfernen und gleichzeitig den Zweck der ursprünglichen Nachricht beizubehalten
- Erkennen Sie, wie Angreifer öffentliche Social-Media-Profile auswerten, um Pretexting-Szenarien für gezielte Angriffe zu erstellen
- Wenden Sie die Social-Media-Richtlinie Ihres Unternehmens auf unklare Situationen an, in denen sich persönliche Meinungsäußerung und Unternehmensrisiko überschneiden
Social-Media-Richtlinie — Trainingsschritte
-
Willkommen bei Catalyst Innovations
Es ist ein ganz normaler Mittwochmorgen. Sie haben es sich in Ihrem Homeoffice gemütlich gemacht und sind gerade dabei, Ihre Nachrichten zu lesen.
-
Eine Nachricht von Mark
Auf Alices Telefon summt eine Telegram-Benachrichtigung von ihrem Kollegen Mark Chen, einem leitenden Entwickler im Team.
-
Marks LinkedIn-Beitrag
Neugierig auf das, was Mark geteilt hat, öffnet Alice LinkedOut auf ihrem Desktop, um seinen Beitrag zu finden.
-
Was Mark geteilt hat
Marks Beitrag ist begeistert, aber schauen Sie sich genauer an, welche Informationen er öffentlich preisgegeben hat.
-
Eine E-Mail von TechForge
Fünf Tage sind vergangen. Alice erhält offenbar eine E-Mail von TechForge Solutions über die Zusammenarbeit mit Project Helios.
-
Klicken Sie auf den Link
Die E-Mail sieht legitim aus – sie verweist auf Project Helios, erwähnt Mark namentlich und kennt die Frist für das zweite Quartal. Alice klickt auf den Link, um auf das Partnerportal zuzugreifen.
-
Anmelden am Portal
Das Partnerportal fordert Alice auf, sich mit ihren Arbeitsdaten anzumelden.
-
Authentifizierungsfehler
Auf der Seite wird ein Authentifizierungsfehler angezeigt. Das ist seltsam – Alice ist sich sicher, dass sie ihr Passwort richtig eingegeben hat. In ihrem Magen bildet sich ein Knoten. Warum funktioniert es nicht? Sie beschließt, abzuwarten und es später noch einmal zu versuchen, aber das ungute Gefühl bleibt bestehen.
-
Etwas stimmt nicht
Zwei Stunden später erhält Alice eine dringende E-Mail vom Catalyst Innovations Security Operations Center.
-
Die Absenderdomäne
Alice erkennt, was passiert ist. Kehren wir zur ursprünglichen E-Mail zurück und untersuchen die Warnsignale, die ihr entgangen sind. Erstens – die E-Mail-Adresse des Absenders.
Abdeckung der Sicherheits-Frameworks
CIS Controls
- CIS 14.1 Establish and Maintain a Security Awareness Program
- CIS 14.5 Train Workforce Members on Causes of Unintentional Data Exposure
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind