Testy socjotechniczne
Weryfikujemy procedury postępowania, polityki i wdrożone standardy zachowania podczas codziennej pracy. Poddajemy testom relacje na wiadomości mailowe z zainfekowanymi załącznikami, próby wyłudzenia danych osobowych i uzyskania nieuprawnionego dostępu do danych wrażliwych.
Przeprowadzenie testów socjotechnicznych
Celem niniejszych działań jest przeprowadzenie testów socjotechnicznych na pracownikach gminy lub dla jednostek podległym gminom. Lista pracowników wraz z numerami telefonu, adresami email i szczegółami pełnionej roli w organizacji zostanie dostarczona przez zleceniodawcę. Poniżej zaprezentowano kilka przykładowych scenariuszy.
Analiza poprzedzona białym wywiadem (ang, OSINT) stanowi element każdego scenariusza i pozwala określić jak wiele i jakie informacje na temat firmy oraz jej pracowników można zdobyć z otwartych, ogólnodostępnych źródeł. Wynikiem testów i analizy jest raport z poczynionych działań wraz z rekomendacjami naprawczymi.
Przykładowy scenariusz opiera się na phishingowych kampaniach mailowych. Nieświadomi pracownicy w wyznaczonym czasie otrzymają odpowiednio spreparowane maile, które będą wyglądać jak wiadomości pochodzące np. od firmy kurierskiej, banku lub zewnętrznych systemów i usług z których korzysta firma. Maile będą zawierać linki i/lub formularze, które pracownicy mogą uzupełnić i wysłać. Celem linków jest zebranie informacji kto kliknął w “niebezpieczny” link. Celem formularzy jest próba wyłudzenia od pracowników informacji dot. logowania do kont pocztowych, zewnętrznych systemów i usług z których korzysta firma, itd.
Kolejnym scenariuszem mogą być ataki socjotechniczne przez telefon. Mowa tutaj o próbie wyłudzenia informacji w rozmowie telefonicznej oraz wysyłce smsów zawierających link do złośliwej strony z formularzem. Wiadomości sms i rozmowy telefoniczne przeprowadzane podczas tego rodzaju audytu są rejestrowane i dostarczane jako załącznik raportu. Przeprowadzenie takiego scenariusza ma na celu sprawdzenie w jakim stopniu pracownicy firmy są odporni na wektor ataku przez urządzenia mobilne, który stał się szczególnie popularny w ostatnich latach.
Szkolenie z podstaw obrony przed atakami socjotechnicznymi
Szkolenie może być przeprowadzone zarówno dla pracowników gminy, nauczycieli jak i dla jednostek podległym gminom. Szkolenie obejmuje takie tematy jak:
- Podstawowe zagadnienia z obszaru cyberbezpieczeństwa dotyczące między innymi:
- Ataki socjotechniczne
- Bezpieczeństwo w sieci
- Bezpieczeństwo urządzeń i nośników danych
- Zagrożenia związane z urządzeniami mobilnymi
- Bezpieczeństwo haseł
Możliwe do osiągnięcia korzyści dla pracowników wynikające z wiedzy pozyskanej na szkoleniu:
- Podniesienie świadomości. Pracownicy poznają sposoby działania cyberprzestępców. Zrozumieją swoją rolę w utrzymaniu i ochronie bezpieczeństwa firmy.
- Zabezpieczenie danych. Ryzyko kradzieży lub wyłudzenia poufnych danych zostanie znacznie obniżone. Pracownicy będą potrafili wykryć podejrzane zachowania i proaktywnie im zapobiegać.
- Zachowanie ciągłości biznesu. Ryzyko utraty ciągłości procesów biznesowych na skutek ataków na infrastrukturę krytyczną, do której mają dostęp określeni pracownicy, będzie niższe.
- Ochrona systemów informatycznych. Włamanie do infrastruktury sieciowej organizacji będzie dużo trudniejsze, ponieważ konta pracowników i urządzenia z których korzystają będą lepiej zabezpieczone.