Скорее всего, вы слышали о социальной инженерии – когда сотрудника компании убеждают совершить действие, открывающее доступ злоумышленнику, и при этом жертва будет уверена, что не делает ничего плохого, и, возможно, даже будет рада оказать кому-то кажущуюся необходимой помощь.

Например, вы можете позвонить в службу поддержки, убедить сотрудника в том, что вы кто-то, кем вы не являетесь, и получить конфиденциальные данные. Это может быть так же просто, как проникнуть в офисное здание без пропуска, следуя за другим человеком, причем он, скорее всего, еще и придержит вам дверь. Уверенный в себе злоумышленник может долго и успешно выдавать себя за сотрудника.

Такие случаи легко приводить в качестве примера, и на бумаге все проблемы очевидны. Но реальный мир – это совершенно другое дело, здесь бдительность и подозрительность уступают место естественному человеческому желанию помогать и идти навстречу.

Заметки с полей

Это может случиться с каждым

Один из моих инженеров попался на простой прием социальной инженерии; к счастью, без каких-либо последствий. Как-то в офисе появились два человека, которых он принял за представителей владельцев здания, и попросили пустить их к шкафу за дверью, это было нужно им для каких-то работ в соседнем офисе. У нас было небольшое помещение, и в этот шкаф приходил кабель от оператора связи Verizon, и там же находилось все сетевое оборудование. Наш инженер, всегда очень бдительный в интернете, на этот раз не только не попросил их подтвердить свою личность, но и придерживал дверцу шкафа, пока они все изучали. Когда он сообразил, что допустил двух совершенно незнакомых людей к нашему ключевому оборудованию без какой-либо проверки, он был ужасно растерян и смущен. Эти люди действительно были от владельцев, и все было в порядке, но урок запомнился навсегда – любого можно застать врасплох.

Нас всех когда-то обманывали, в большинстве случаев безобидно. Тем не менее безопасность нельзя основывать на надежде, что мы не столкнемся со злоумышленником.

Потенциальной мишенью является любой сотрудник, но наибольшему риску подвергаются те, кто взаимодействует с людьми со стороны – в первую очередь это служба поддержки, а также менеджеры по работе с клиентами и все, кто помогает продажникам с подключением новых клиентов. Проводите с ними регулярные тренинги по безопасности.

Если вы хотите проверить, насколько ваша команда готова противостоять обману, проведите упражнение в стиле «тайный покупатель». Например, попросите кого-то, кого не знает ваша команда, но кому вы доверяете, попытаться пройти в офис без пропуска. Это простая и безобидная проверка, но она выявит слабые места, которые вы сможете исправить. Пусть ваш шпион попробует попасть в офис быстрее вас, в лучших традициях Голливуда или телешоу. Не стоит недооценивать человеческое стремление помогать, а также то, насколько далеко люди готовы зайти в злоупотреблении им.