Prestito del badge
Presta il tuo badge e il registro delle porte dirà comunque che eri tu.
Cos’è Prestito del badge?
Un badge di accesso è una credenziale con un nome sopra, e il lettore sulla porta registra la tessera, non la persona che la porta. In questo esercizio una collega con cui lavori da anni ti chiede il badge per dieci minuti, con un motivo credibile. Impari a capire cosa apre il tuo badge, a rifiutare senza scontri, ad accompagnarla allo sportello che rilascia un pass a suo nome e a segnalare la falla dietro la richiesta.
Cosa imparerai in Prestito del badge
- Trattare il badge aziendale come una credenziale di accesso che scrive il tuo nome in un registro, non come un documento che prova chi sei
- Riconoscere che un badge prestato ti attribuisce gli spostamenti di un'altra persona per tutto il tempo in cui il registro viene conservato
- Rifiutare la richiesta di badge di un collega senza trasformare un piccolo favore in un'accusa
- Indirizzare un collega senza badge al pass temporaneo che può essere rilasciato a suo nome
- Segnalare un dipendente rimasto dentro tutto il giorno senza passaggi di badge, perché nient'altro nel sistema se n'è accorto
Prestito del badge — Fasi della formazione
-
Le quattro e venti
È giovedì pomeriggio, al terzo piano di Brackmoor Freight. I preventivi sono approvati, i manifesti della notte sono già alla spedizione e il piano comincia a svuotarsi. Il badge di Alice è al solito posto, a faccia in su sulla scrivania accanto alla tastiera.
-
Che cos'è la tessera
Prima di tutto, guarda l'oggetto in sé. Un nome, un'azienda e una qualifica. Quello che non è stampato da nessuna parte è ciò che conta davvero: l'elenco delle porte che apre.
-
Hana delle operations
Hana Weiss arriva dal lato operations del piano. Alice lavora con lei da tre anni. È quella che sblocca una merce ferma in dogana alle sette del mattino senza mai farne un dramma. Si ferma accanto alla scrivania, a mani vuote e senza niente al collo.
-
Dieci minuti
Ha un problema, ed è un problema vero.
-
La mano tesa
È tutto vero. Hana lavora davvero qui, il server delle spedizioni va davvero riavviato prima dell'elaborazione notturna, e dieci minuti sono davvero dieci minuti. Il punto non è mai stato se Alice si fida di lei. Il punto è quale nome scriverà la porta.
-
La prende bene
Alice dice no al badge e sì alla commissione. Hana la prende meglio del previsto.
-
Giù alla reception
Attraversano tutto il piano e prendono le scale. Quattro minuti, quasi tutti di scale, e l'occasione per chiedere come va il cliente di Rotterdam.
-
Registrata come si deve
Alla reception Hana dice il suo nome, l'addetta la trova nell'elenco del personale e stampa un badge temporaneo legato al suo profilo, valido fino a fine giornata. Il tutto richiede meno tempo della conversazione al piano di sopra.
-
Il pomeriggio che non c'è stato
Una domanda sull'altra versione di questo pomeriggio, quella in cui il badge è passato di mano.
-
Di ritorno con il suo
Dieci minuti dopo Hana risale diretta alla sala server, con un pass agganciato alla giacca. Passando, si ferma alla sua scrivania.
Copertura dei framework di sicurezza
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 6 Access Control Management
- CIS 14.3 Train Workforce Members on Authentication Best Practices
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.AA Identity Management, Authentication, and Access Control