Fondamenti di Mentalità da Auditor
Metti in discussione la richiesta, anche quando ti fidi del mittente.
Cos’è Fondamenti di Mentalità da Auditor?
Una mentalità di audit è l’abitudine di soffermarsi su una richiesta che sembra di routine, e il momento più difficile per usarla è un messaggio da qualcuno di cui ti fidi. Un'e-mail urgente che sembra provenire dal tuo manager richiede un pagamento in giornata a un fornitore sconosciuto. Nominerai i segnali d'allarme, deciderai che apparire inutili costa meno che pagare un truffatore e chiamerai il manager al numero già presente nei tuoi contatti. Non lo ha mai inviato. Quindi segnalalo e vedi cosa fa la sicurezza dopo.
Cosa imparerai in Fondamenti di Mentalità da Auditor
- Applicare una mentalità di audit alle richieste che sembrano di routine facendo una pausa prima di agire piuttosto che dopo
- Identificare i segnali di allarme che separano una richiesta interna autentica da un tentativo di ingegneria sociale utilizzando un nome attendibile
- Verifica una richiesta inaspettata fuori banda utilizzando i dettagli di contatto che già possiedi, non quelli forniti nel messaggio
- Riconoscere l'urgenza e il ricorso all'autorità come tattiche di pressione deliberate piuttosto che ragioni per saltare un controllo
- Segnala un tentativo di frode attraverso il canale degli incidenti anche quando non è andato perduto nulla, in modo che sia possibile rintracciarne lo schema
Fondamenti di Mentalità da Auditor — Fasi della formazione
-
Nove dollari
Non romperà nulla. Comprerà un dominio che a prima vista sembrerà quello reale.
-
Un personaggio
Questa è l'intera componente tecnica di questo attacco.
-
Una richiesta urgente
Giovedì pomeriggio. Arriva una richiesta di pagamento da David Chen, il CFO. Il tuo primo istinto è quello di aiutare: lui è il tuo manager, la richiesta è plausibile e non vuoi essere il motivo per cui un venditore se ne va. Quell'istinto è l'obiettivo.
-
Su cosa conta la richiesta
Tre domande rispondono a quasi ogni richiesta come questa: è insolito, aggira un controllo e scoraggia il controllo? A tutti e tre è possibile rispondere dal messaggio stesso.
-
Verifica su un canale che non controlla
La risposta raggiungerebbe chiunque possieda quel dominio. Chiamando l'interno della rubrica aziendale raggiunge David. Utilizza il numero che già possiedi, mai quello fornito nel messaggio.
-
Segnalalo
David lo ha confermato. Pensa che il suo account potrebbe essere compromesso; la sicurezza stabilirà se ciò è vero. Il tuo compito ora è registrarlo.
-
Archivia la segnalazione
Includi l'indirizzo del mittente esattamente come è apparso. È il dettaglio che consente alla sicurezza di trovare il dominio e archiviare la segnalazione di abuso.
-
Quale sicurezza ha effettivamente trovato
La risposta corregge un presupposto che vale la pena correggere.
-
Niente è stato compromesso
David pensava che fosse stato hackerato. Quasi nessuno c'era stato.
-
Nove dollari, andati
La denuncia di abuso arriva al registrar.
Copertura dei framework di sicurezza
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind