Прохід через домофон
Кур'єр біля дверей не є посвідченням особи.
Що таке Прохід через домофон?
Замкнений вхід тримається лише доти, доки той, хто відповідає на домофон, справді перевіряє. Ви бачите від початку до кінця одне неперевірене відчинення, а потім самі відповідаєте на виклик: розпитуєте відвідувача, який не може сказати, кому доставка, зважуєте поспішне виправдання проти того, чого він не скаже, і повідомляєте про спробу, щоб наступні двері в кварталі вже були попереджені.
Що ви дізнаєтесь у Прохід через домофон
- Розуміти, що вхід із бейджами перевіряє лише тих, хто вже всередині, тож той, хто відповідає на домофон, однаково мусить перевірити відвідувача
- Простежувати, до чого сягає одне неперевірене відчинення, коли людина вже всередині: від маркерної дошки без нагляду до ключа гостьової мережі та списку клієнтів на стіні
- Розпізнавати ознаки, що відрізняють справжнього відвідувача від легенди: немає уніформи, немає бейджа, немає імені одержувача
- Перевіряти причину візиту прямим запитанням, на яке справжній відвідувач відповідає без вагань, а не приймати неперевірене виправдання
- Відмовляти у вході, коли особу неможливо підтвердити, навіть якщо відвідувач нетерплячий, симпатичний чи прийшов у відому прогалину в роботі рецепції
- Негайно повідомляти службу безпеки про непідтверджену спробу входу, щоб опис поширили раніше, ніж та сама людина спробує інші двері
Прохід через домофон — Кроки навчання
-
Минулого вівторка
Тиждень тому розійшлося те саме повідомлення від господарської служби, і ті самі пів години минули без нікого на рецепції. Аліса за своїм столом. На стіні поруч спринт-дошка досі показує список клієнтів цього кварталу і ключ гостьового Wi-Fi, який хтось написав для відвідувача в березні і так і не стер.
-
Домофон, минулого тижня
О 09:14 настінний блок починає дзвонити. На екрані чоловік у звичайній куртці біля дверей на вулицю, обома руками притискає до грудей коробку. Рецепції немає, тож відповідати Алісі.
-
Відповісти, минулого тижня
Минулого тижня Аліса відповіла не замислюючись. Кур'єр біля дверей, поки немає рецепції, це звичайний вівторок, а не подія.
-
Його легенда
Він говорить швидко, як людина, якій до десятої треба зробити ще три доставки.
-
Що сказала Аліса
У нього коробка, він поспішає, а рецепція повернеться за чверть години. Минулого тижня Аліса відповіла на те запитання, яке він поставив.
-
Відчинити
Минулого тижня Аліса натиснула «Відчинити». Натисніть зараз і подивіться, як унизу клацають двері для чоловіка, якого ніхто не перевірив.
-
Дві хвилини
Аліса повертається до пошти. Чоловік із коробкою не підіймається нічого передати, і ніхто цього не чекає. Він іде сходами.
-
Він не чекав
Через дві хвилини він уже на третьому поверсі. Коробки вже немає, бейджа немає, і ні в кого за столами немає причини замислитися, хто він. Посилка ніколи не була метою. Метою були двері.
-
Дошка
Він проходить повз столи, не зупиняючись, і зупиняється біля дошки. Телефон угору, два знімки, секунди чотири.
-
Пішов
Він ховає телефон і йде тим самим шляхом, яким прийшов, так само неквапливо. Ніхто на поверсі не глянув двічі. Коробка, якщо в ній узагалі щось було, так нікуди й не дісталася.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind