Basisbeginselen van de auditmindset

Wat is Basisbeginselen van de auditmindset?

Een audit-mindset is de gewoonte om te pauzeren bij een routinematig ogend verzoek, en de moeilijkste plaats om deze te gebruiken is een bericht van iemand die u vertrouwt. Een dringende e-mail die afkomstig lijkt te zijn van uw manager, vraagt om betaling op dezelfde dag aan een onbekende leverancier. U benoemt de waarschuwingssignalen, besluit dat onbehulpzaam lijken minder kost dan het betalen van een fraudeur, en belt de manager op het nummer dat al in uw contacten staat. Hij heeft het nooit verzonden. Vervolgens meld je het en kijk je wat de beveiliging vervolgens doet.

Wat je leert in Basisbeginselen van de auditmindset

• Pas een auditmentaliteit toe op routinematige verzoeken door te pauzeren voordat u actie onderneemt in plaats van erna
• Identificeer de waarschuwingssignalen die een echt intern verzoek onderscheiden van een poging tot social engineering met behulp van een vertrouwde naam
• Verifieer een onverwacht verzoek buiten de band met behulp van de contactgegevens die u al heeft, en niet de gegevens die in het bericht staan
• Erken urgentie en een beroep op autoriteit als doelbewuste druktactieken in plaats van redenen om een cheque over te slaan
• Meld een poging tot fraude via het incidentenkanaal, ook als er niets verloren is gegaan, zodat het patroon kan worden getraceerd

Basisbeginselen van de auditmindset — Trainingsstappen

1. Negen dollar

   Hij zal nergens in breken. Hij gaat een domein kopen dat in één oogopslag lijkt op de echte.

2. Eén karakter

   Dat is de hele technische component van deze aanval.

3. Een dringend verzoek

   Donderdagmiddag. Er komt een betalingsverzoek binnen van David Chen, de CFO. Uw eerste instinct is om te helpen: hij is uw manager, het verzoek is plausibel en u wilt niet de reden zijn dat een verkoper wegloopt. Dat instinct is het doelwit.

4. Waar het verzoek op rekent

   Drie vragen beantwoorden vrijwel elk verzoek als volgt: is het ongebruikelijk, omzeilt het een controle en ontmoedigt het controle? Alle drie zijn verantwoordelijk vanuit het bericht zelf.

5. Verifieer op een kanaal dat hij niet beheert

   Als u antwoordt, bereikt u degene die eigenaar is van dat domein. Als u het toestelnummer in het bedrijfstelefoonboek belt, bereikt u David. Gebruik het nummer dat u al heeft, nooit het nummer dat in het bericht staat.

6. Rapporteer het

   David heeft het bevestigd. Hij denkt dat zijn account mogelijk in gevaar is gebracht; De beveiliging zal uitwijzen of dat waar is. Jouw taak is nu om het vast te leggen.

7. Dien het rapport in

   Vermeld het afzenderadres precies zoals het verscheen. Het zijn de details waarmee de beveiliging het domein kan vinden en een misbruikrapport kan indienen.

8. Wat de beveiliging daadwerkelijk heeft gevonden

   Het antwoord corrigeert een aanname die het corrigeren waard is.

9. Er werd niets gecompromitteerd

   David ging ervan uit dat hij was gehackt. Er was bijna niemand geweest.

10. Negen dollar, weg

    De misbruikmelding komt terecht bij de registrar.