Testy socjotechniczne

Weryfikujemy procedury postępowania, polityki i wdrożone standardy zachowania podczas codziennej pracy. Poddajemy testom relacje na wiadomości mailowe z zainfekowanymi załącznikami, próby wyłudzenia danych osobowych i uzyskania nieuprawnionego dostępu do danych wrażliwych.


Przeprowadzenie testów socjotechnicznych

Celem niniejszych działań jest przeprowadzenie testów socjotechnicznych na pracownikach gminy lub dla jednostek podległym gminom. Lista pracowników wraz z numerami telefonu, adresami email i szczegółami pełnionej roli w organizacji zostanie dostarczona przez zleceniodawcę. Poniżej zaprezentowano kilka przykładowych scenariuszy.

Analiza poprzedzona białym wywiadem (ang, OSINT) stanowi element każdego scenariusza i pozwala określić jak wiele i jakie informacje na temat firmy oraz jej pracowników można zdobyć z otwartych, ogólnodostępnych źródeł. Wynikiem testów i analizy jest raport z poczynionych działań wraz z rekomendacjami naprawczymi.

Przykładowy scenariusz opiera się na phishingowych kampaniach mailowych. Nieświadomi pracownicy w wyznaczonym czasie otrzymają odpowiednio spreparowane maile, które będą wyglądać jak wiadomości pochodzące np. od firmy kurierskiej, banku lub zewnętrznych systemów i usług z których korzysta firma. Maile będą zawierać linki i/lub formularze, które pracownicy mogą uzupełnić i wysłać. Celem linków jest zebranie informacji kto kliknął w “niebezpieczny” link. Celem formularzy jest próba wyłudzenia od pracowników informacji dot. logowania do kont pocztowych, zewnętrznych systemów i usług z których korzysta firma, itd.

Kolejnym scenariuszem mogą być ataki socjotechniczne przez telefon. Mowa tutaj o próbie wyłudzenia informacji w rozmowie telefonicznej oraz wysyłce smsów zawierających link do złośliwej strony z formularzem. Wiadomości sms i rozmowy telefoniczne przeprowadzane podczas tego rodzaju audytu są rejestrowane i dostarczane jako załącznik raportu. Przeprowadzenie takiego scenariusza ma na celu sprawdzenie w jakim stopniu pracownicy firmy są odporni na wektor ataku przez urządzenia mobilne, który stał się szczególnie popularny w ostatnich latach.


Szkolenie z podstaw obrony przed atakami socjotechnicznymi

Szkolenie może być przeprowadzone zarówno dla pracowników gminy, nauczycieli jak i dla jednostek podległym gminom. Szkolenie obejmuje takie tematy jak:

  1. Podstawowe zagadnienia z obszaru cyberbezpieczeństwa dotyczące między innymi:
  2. Ataki socjotechniczne
  3. Bezpieczeństwo w sieci
  4. Bezpieczeństwo urządzeń i nośników danych
  5. Zagrożenia związane z urządzeniami mobilnymi
  6. Bezpieczeństwo haseł

Możliwe do osiągnięcia korzyści dla pracowników wynikające z wiedzy pozyskanej na szkoleniu:

  • Podniesienie świadomości. Pracownicy poznają sposoby działania cyberprzestępców. Zrozumieją swoją rolę w utrzymaniu i ochronie bezpieczeństwa firmy.
  • Zabezpieczenie danych. Ryzyko kradzieży lub wyłudzenia poufnych danych zostanie znacznie obniżone. Pracownicy będą potrafili wykryć podejrzane zachowania i proaktywnie im zapobiegać.
  • Zachowanie ciągłości biznesu. Ryzyko utraty ciągłości procesów biznesowych na skutek ataków na infrastrukturę krytyczną, do której mają dostęp określeni pracownicy, będzie niższe.
  • Ochrona systemów informatycznych. Włamanie do infrastruktury sieciowej organizacji będzie dużo trudniejsze, ponieważ konta pracowników i urządzenia z których korzystają będą lepiej zabezpieczone.