Procedure di verifica

Cos’è Procedure di verifica?

Un fornitore di vecchia data ti invia un'e-mail per informarti che la sua banca è cambiata e ti chiede di aggiornare il record di pagamento prima dell'esecuzione successiva. Il numero della fattura è reale, la firma corrisponde a quella di qualcuno con cui hai parlato e gli unici dettagli errati sono le informazioni di contatto e il numero di conto. Eseguirai la procedura che lo rileva: apri la directory dei fornitori verificati dagli appalti, confronta il telefono, l'e-mail e la cronologia bancaria verificati con ciò che afferma l'e-mail e chiama il numero registrato per confermare.

Cosa imparerai in Procedure di verifica

• Trattare le richieste di modifica dei dettagli bancari come il tipo di richiesta a più alto rischio nella contabilità fornitori, con verifica formale obbligatoria indipendentemente dall'urgenza o dalla storia della relazione
• Utilizza un elenco di fornitori autorevole tenuto sotto controllo separato dal reparto Acquisti come unica fonte affidabile per contatti verificati e dettagli bancari
• Rifiutare le informazioni di contatto fornite all'interno di una richiesta sospetta: numeri di telefono, indirizzi di risposta e blocchi di firme nel messaggio fanno parte dell'attacco
• Confronta una richiesta in entrata con la cronologia delle modifiche bancarie di un fornitore per rilevare storie inventate come acquisizioni improvvise di banche o rotazioni di routing
• Effettua una richiamata di verifica fuori banda al numero verificato della directory su una linea registrata prima che qualsiasi record bancario venga aggiornato
• Richiedere una richiesta di modifica formale che passa attraverso l'Approvvigionamento prima che AP possa agire su una modifica dei dettagli bancari
• Invia un rapporto strutturato sull'incidente che acquisisca il dominio del mittente, il telefono falsificato, l'account fraudolento e le fasi di verifica intraprese in modo che il SOC possa cercare tentativi paralleli

Procedure di verifica — Fasi della formazione

1. Un tranquillo giovedì mattina

   È giovedì mattina alla CypherPeak Technologies. Sei Alice, una coordinatrice della contabilità fornitori, e l'esecuzione del pagamento del fornitore di venerdì è il tuo ultimo grande compito prima del fine settimana. La maggior parte del lavoro è di routine: abbina le fatture agli ordini di acquisto, accoda i pagamenti e ricontrolla che eventuali modifiche ai dettagli bancari siano state formalmente approvate tramite l'Approvvigionamento.

2. Un'e-mail da Cascade Heavy

   Nella tua casella di posta arriva un'e-mail contrassegnata come urgente. Il nome visualizzato del mittente è Marcus Webb , il senior account manager presso Cascade Heavy Industries, uno dei vostri fornitori di lunga data.

3. Lettura della richiesta

   La riga dell'oggetto recita URGENTE: Aggiornamento dei dati bancari prima del ciclo di venerdì - INV-2024-3847 . Il nome di Marcus è giusto. Il numero della fattura è corretto. L'importo e la data di scadenza corrispondono all'esecuzione di venerdì. Ma Marcus ti sta chiedendo di reindirizzare il pagamento su un conto bancario nuovo di zecca perché presumibilmente la banca della sua azienda è stata appena acquisita.

4. Politica di verifica di CypherPeak

   Il tuo playbook AP è chiaro. Per qualsiasi richiesta di modifica dei dettagli bancari, la procedura di verifica non è facoltativa: Cerca il fornitore in VendorVerify , la directory autorevole controllata dagli appalti. Utilizza il numero di telefono verificato da VendorVerify, mai un numero dalla richiesta stessa. Conferma la modifica con il contatto nominato del fornitore su una linea registrata. Richiedi una richiesta di modifica formale tramite Procurement prima di qualsiasi account update. Il punto è semplice: un utente malintenzionato può falsificare un'e-mail, una firma e persino una risposta. Non possono falsificare i dettagli di contatto verificati che l'Approvvigionamento tiene sotto controllo separato.

5. Apri VendorVerify

   Apri il browser e vai a VendorVerify. La directory è ospitata internamente su vendor-verify.cypherpeak.com ed è l'unica fonte autorevole per i contatti dei fornitori e i dettagli bancari su CypherPeak.

6. Accedi a VendorVerify

   VendorVerify utilizza CypherPeak SSO, lo stesso account che controlla ogni portale interno. Utilizza le credenziali salvate nel tuo gestore di password.

7. Cerca il venditore

   VendorVerify mostra il dashboard della directory. Cerca il fornitore indicato nell'e-mail in modo da poter confrontare ciò che afferma l'e-mail con ciò che l'Approvvigionamento ha effettivamente verificato.

8. Apri il record del fornitore

   Un risultato verificato corrisponde a: Cascade Heavy Industries. Apri il record per visualizzare i dettagli bancari e di contatto verificati che Procurement tiene sotto controllo separato.

9. Confronta il telefono verificato

   La scheda fornitore riporta i dettagli del contatto Approvvigionamento effettivamente verificato, con la data di verifica. Confronta quelli con ciò che afferma l'e-mail.

10. Confronta la storia bancaria

    Le modifiche bancarie su CypherPeak vengono tracciate formalmente. L'approvvigionamento registra ogni modifica approvata con un timestamp e un approvatore. La cronologia rende la storia dell'e-mail facile da falsificare.