Prêt de badge
Prêtez votre badge, et le journal des portes dira toujours que c'était vous.
Qu'est-ce que Prêt de badge?
Un badge d'accès est un identifiant qui porte un nom, et le lecteur de la porte enregistre la carte, pas la personne qui la porte. Dans cet exercice, une collègue que vous connaissez depuis des années vous demande votre badge pour dix minutes, avec une raison valable. Vous apprenez à voir ce que votre badge ouvre sans le dire, à refuser sans conflit, à l'accompagner au guichet qui délivre un badge à son nom et à signaler la faille derrière la demande.
Ce que vous apprendrez dans Prêt de badge
- Considérer un badge d'employé comme un identifiant d'accès qui inscrit votre nom dans un journal, et non comme une pièce d'identité qui prouve qui vous êtes
- Reconnaître qu'un badge prêté vous attribue les déplacements de quelqu'un d'autre aussi longtemps que l'enregistrement est conservé
- Refuser la demande de badge d'un collègue sans transformer un petit service en accusation
- Orienter un collègue sans badge vers le badge temporaire qui peut être délivré à son propre nom
- Signaler un membre du personnel présent toute la journée sans passage de badge, car rien d'autre dans le système ne l'a remarqué
Prêt de badge — Étapes de la formation
-
Seize heures vingt
Jeudi après-midi, au troisième étage de Brackmoor Freight. Les devis sont validés, les manifestes de la nuit sont déjà au service expédition et le plateau commence à se vider. Le badge d'Alice est à sa place habituelle, face visible sur le bureau, à côté du clavier.
-
Ce qu'est la carte
Avant toute chose, regardez l'objet lui-même. Un nom, une entreprise et un intitulé de poste. Ce qui n'y est imprimé nulle part est pourtant l'essentiel : la liste des portes qu'il ouvre.
-
Hana, des opérations
Hana Weiss arrive du côté opérations du plateau. Alice travaille avec elle depuis trois ans. C'est elle qui débloque une marchandise retenue en douane à sept heures du matin sans jamais en faire toute une histoire. Elle s'arrête près du bureau, les mains vides et rien autour du cou.
-
Dix minutes
Elle a un problème, et un vrai.
-
Elle tend la main
Tout ce qu'elle dit est vrai. Hana travaille bien ici, le poste d'expédition doit bien être redémarré avant le traitement de nuit, et dix minutes, ce sont vraiment dix minutes. La question n'a jamais été de savoir si Alice lui fait confiance. C'est de savoir quel nom la porte va inscrire.
-
Elle le prend bien
Alice refuse le badge mais accepte de l'aider. Hana le prend mieux que prévu.
-
Direction l'accueil
Elles traversent tout le plateau et prennent l'escalier. Quatre minutes, surtout des marches, et l'occasion de demander comment se passe le compte de Rotterdam.
-
Enregistrée en bonne et due forme
À l'accueil, Hana donne son nom, l'hôtesse la trouve dans la liste du personnel et imprime un badge temporaire rattaché à son propre dossier, valable jusqu'à la fin de la journée. Le tout prend moins de temps que la conversation à l'étage.
-
L'après-midi qui n'a pas eu lieu
Une question sur l'autre version de cet après-midi, celle où le badge a changé de mains.
-
De retour avec le sien
Hana remonte dix minutes plus tard, en route vers la salle des serveurs, un badge accroché à sa veste. Elle s'arrête à son bureau en passant.
Couverture des référentiels de sécurité
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 6 Access Control Management
- CIS 14.3 Train Workforce Members on Authentication Best Practices
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.AA Identity Management, Authentication, and Access Control