Failles d'enregistrement des visiteurs
Personne ne l'a inscrit, mais il a rendez-vous à dix heures.
Qu'est-ce que Failles d'enregistrement des visiteurs?
Un registre des visiteurs est la trace de qui était dans le bâtiment et de qui s'en est porté garant, et un visiteur non inscrit à la porte est le moment où cette trace se crée ou disparaît sans bruit. Ici, vous tenez l'accueil une demi-heure et répondez vous-même à l'interphone. Vous apprenez à lire le registre avant d'ouvrir, à vérifier l'histoire auprès de l'hôte cité plutôt que du visiteur, à l'enregistrer, à imprimer le badge et à l'accompagner.
Ce que vous apprendrez dans Failles d'enregistrement des visiteurs
- Consulter le registre des visiteurs avant d'ouvrir une porte, pour que le récit du visiteur ne soit pas la seule preuve disponible
- Confirmer un visiteur non inscrit auprès de l'hôte qu'il cite, et non auprès du visiteur lui-même
- Créer l'enregistrement avant l'ouverture de la porte, pour que la trace indique qui s'est porté garant du visiteur
- Remettre le badge et traiter la mention Accompagnement requis comme une consigne et non comme une décoration
- Signaler un incident évité pour que les hôtes qui prennent une invitation d'agenda pour une inscription l'apprennent avant la prochaine visite
Failles d'enregistrement des visiteurs — Étapes de la formation
-
Tenir l'accueil
Mardi matin, bâtiment A de Marrowfield Logistics. Alice tient l'accueil pendant une demi-heure, le temps que l'équipe fasse sa passation hebdomadaire à l'étage. L'avis circule dans l'étage chaque fois que l'accueil reste sans personne.
-
L'interphone
À 10:08, l'interphone d'entrée à côté du comptoir se met à sonner. La caméra de la porte côté rue montre un homme en veste, bien en face de l'objectif, qui attend. Il ne porte pas de badge, et personne d'autre n'est à l'accueil pour répondre.
-
Répondre
Il ne se cache pas de la caméra et il n'est pas pressé. Il ressemble à tous les consultants qui sont un jour arrivés cinq minutes en avance.
-
Un rendez-vous à dix heures
Il donne son nom sans qu'on le lui demande.
-
Le registre du jour
Avant d'ouvrir la porte, une chose sur le comptoir mérite d'être lue : le registre que l'équipe d'accueil tient dans Foyerline. Il contient toutes les personnes qu'un hôte a inscrites pour aujourd'hui.
-
Que répondez-vous ?
Il est poli, il est en avance et il a une heure de rendez-vous. Il ne figure pas non plus sur le registre, et la personne qui réglerait normalement cela est à l'étage en passation. La question n'est pas de savoir s'il faut le croire. C'est de savoir si quelque chose d'autre que lui indique qu'il est attendu.
-
Il la nomme
Un vrai visiteur sait exactement qui il vient voir et répond sans y réfléchir.
-
Demander à Sarah
Un nom n'est pas une vérification. Quiconque a lu le site de l'entreprise peut citer quelqu'un du marketing. La vérification, c'est de lui demander à elle.
-
Ce que vous lui avez demandé
Deux lignes en message direct, et à elles deux elles portent toute la vérification.
-
Elle l'attend
Sarah répond avant qu'il ait fini d'attendre.
Couverture des référentiels de sécurité
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
- CIS 14.6 Train Workforce Members on Recognizing and Reporting Security Incidents
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind