Failles d'enregistrement des visiteurs
Personne ne l'a inscrit, mais il a rendez-vous à dix heures.
Qu'est-ce que Failles d'enregistrement des visiteurs?
Un registre des visiteurs est la trace de qui était dans le bâtiment et de qui s'en est porté garant, et un visiteur non inscrit à la porte est le moment où cette trace se crée ou disparaît sans bruit. Ici, vous tenez l'accueil une demi-heure et répondez vous-même à l'interphone. Vous apprenez à lire le registre avant d'ouvrir, à vérifier l'histoire auprès de l'hôte cité plutôt que du visiteur, à l'enregistrer, à imprimer le badge et à l'accompagner.
Ce que vous apprendrez dans Failles d'enregistrement des visiteurs
- Consulter le registre des visiteurs avant d'ouvrir une porte, pour que le récit du visiteur ne soit pas la seule preuve disponible
- Confirmer un visiteur non inscrit auprès de l'hôte qu'il cite, et non auprès du visiteur lui-même
- Créer l'enregistrement avant l'ouverture de la porte, pour que la trace indique qui s'est porté garant du visiteur
- Remettre le badge et traiter la mention Accompagnement requis comme une consigne et non comme une décoration
- Signaler un incident évité pour que les hôtes qui prennent une invitation d'agenda pour une inscription l'apprennent avant la prochaine visite
Failles d'enregistrement des visiteurs — Étapes de la formation
-
Tenir l'accueil
Mardi matin, bâtiment A de Marrowfield Logistics. Alice tient l'accueil pendant une demi-heure, le temps que l'équipe fasse sa passation hebdomadaire à l'étage. L'avis circule dans l'étage chaque fois que l'accueil reste sans personne.
-
L'interphone
À 10:08, l'interphone d'entrée à côté du comptoir se met à sonner. La caméra de la porte côté rue montre un homme en veste, bien en face de l'objectif, qui attend. Il ne porte pas de badge, et personne d'autre n'est à l'accueil pour répondre.
-
Répondre
Il ne se cache pas de la caméra et il n'est pas pressé. Il ressemble à tous les consultants qui arrivent avec quelques minutes de retard.
-
Un rendez-vous à dix heures
Il donne son nom sans qu'on le lui demande.
-
Le registre du jour
Avant d'ouvrir la porte, une chose sur le comptoir mérite d'être lue : le registre que l'équipe d'accueil tient dans Foyerline. Il contient toutes les personnes qu'un hôte a inscrites pour aujourd'hui.
-
Que répondez-vous ?
He is polite, he is calm, and he has a meeting time. He is also not on the register, and the person who would normally sort this out is upstairs in a handover. The question is not whether to believe him. It is whether anything other than him says he is expected.
-
Il la nomme
Un vrai visiteur sait exactement qui il vient voir et répond sans y réfléchir.
-
Demander à Sarah
Un nom n'est pas une vérification. Quiconque a lu le site de l'entreprise peut citer quelqu'un du marketing. La vérification, c'est de lui demander à elle.
-
Ce que vous lui avez demandé
Deux lignes en message direct, et à elles deux elles portent toute la vérification.
-
Elle l'attend
Sarah répond avant qu'il ait fini d'attendre.
Couverture des référentiels de sécurité
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
- CIS 14.6 Train Workforce Members on Recognizing and Reporting Security Incidents
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind