Badge uitlenen
Leen je badge uit en het deurlogboek zegt nog steeds dat jij het was.
Wat is Badge uitlenen?
Een toegangsbadge is een toegangsmiddel met een naam erop, en de lezer bij de deur logt de kaart, niet de persoon die hem draagt. In deze oefening vraagt een collega met wie je al jaren werkt of ze je badge tien minuten mag lenen, met een reden die klopt. Je oefent met zien wat je badge stilletjes opent, weigeren zonder confrontatie, meelopen naar de balie die een pas op haar naam uitgeeft en het gat achter het verzoek melden.
Wat je leert in Badge uitlenen
- Een personeelsbadge zien als een toegangsmiddel dat je naam in een logboek schrijft, niet als een identiteitsbewijs dat bewijst wie je bent
- Herkennen dat een geleende badge de bewegingen van iemand anders aan jou toeschrijft zolang de registratie wordt bewaard
- Het verzoek van een collega om je badge weigeren zonder een kleine gunst in een beschuldiging te veranderen
- Een collega zonder badge doorverwijzen naar de tijdelijke pas die op diens eigen naam kan worden uitgegeven
- Een medewerker melden die de hele dag binnen was zonder badgeregistratie, omdat niets anders in het systeem het opmerkte
Badge uitlenen — Trainingsstappen
-
Twintig over vier
Het is donderdagmiddag op de derde verdieping van Brackmoor Freight. De offertes zijn goedgekeurd, de nachtmanifesten liggen al bij expeditie en de afdeling begint leeg te lopen. De badge van Alice ligt waar hij altijd ligt: met de voorkant naar boven op het bureau naast het toetsenbord.
-
Wat de kaart is
Kijk eerst naar het ding zelf. Een naam, een bedrijf en een functie. Wat er nergens op staat, is juist waar het om gaat: de lijst met deuren die hij opent.
-
Hana van operations
Hana Weiss komt aanlopen vanaf de operationskant van de afdeling. Alice werkt al drie jaar met haar samen. Zij is degene die om zeven uur 's ochtends een zending die bij de douane vastzit, loskrijgt zonder er ooit een punt van te maken. Ze blijft bij het bureau staan, met lege handen en niets om haar nek.
-
Tien minuten
Ze heeft een probleem, en het is een echt probleem.
-
Ze steekt haar hand uit
Alles wat ze zegt, klopt. Hana werkt hier echt, de verzendserver moet echt opnieuw worden opgestart voor de nachtelijke verwerking, en tien minuten zijn echt tien minuten. De vraag was nooit of Alice haar vertrouwt. De vraag is welke naam de deur opschrijft.
-
Ze vat het goed op
Alice zegt nee tegen de badge en ja tegen het klusje. Het valt beter dan Hana had verwacht.
-
Naar de receptie
Ze lopen samen de hele afdeling over en nemen de trap. Vier minuten, vooral trappen, en een kans om te vragen hoe het met de klant in Rotterdam gaat.
-
Netjes aangemeld
Bij de balie noemt Hana haar naam, de receptie vindt haar in de personeelslijst en drukt een tijdelijke badge af op haar eigen dossier, geldig voor de rest van de dag. Het geheel duurt korter dan het gesprek boven.
-
De middag die niet gebeurde
Eén vraag over de andere versie van deze middag, die waarin de badge van eigenaar wisselde.
-
Terug met een eigen badge
Tien minuten later komt Hana weer boven, op weg naar de serverruimte, met een pas aan haar jasje geklemd. Onderweg stopt ze even bij haar eigen bureau.
Dekking van beveiligingsframeworks
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 6 Access Control Management
- CIS 14.3 Train Workforce Members on Authentication Best Practices
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.AA Identity Management, Authentication, and Access Control