אחד המושגים המוכרים בעולם אבטחת המידע נקרא Social engineering (הנדסה חברתית).
הכוונה היא ליכולת לנצל תכונות פסיכולוגיות של אדם על מנת להניע אותו ולגרום לו לבצע את בקשת התוקף, לדוגמה להזין פרטי זיהוי או אשראי.
קיימים מספר תרחישי תקיפה מקובלים בהנדסה חברתית והעיקרי שבהם הוא Phishing.
עובדים מקבלים לינק תמים לכאורה, או קובץ שמצורף לדואר האלקטרוני, הם מתפתים ללחוץ על הלינק או הקובץ ומאפשרים לתוקף להשתלט על המחשב או הסלולר.
רמת התחכום של התוקפים עולה לאורך השנים לכן עובדים בארגון שאינם בקיאים בנושא נופלים בפח לעיתים קרובות.
קיימים מספר מוצרי אבטחה שמנסים לתת מענה לבעיה הזו, אולם החלק החשוב באמת בהתמודדות עם מתקפות מסוג זה עוסק בהדרכת עובדים.
הדרך הטובה ביותר לעשות זאת היא בעזרת ביצוע תרגילי אמת, בהם בשלב ראשון התוקף מנסה להערים על העובד ובשלב שני להשתלט על המחשב ולנוע ברשת.
באופן הזה, אתה כמנהל אבטחת מידע בוחן הן את ערנות העובדים והן את מערכות ההגנה שאמורות לתת מענה במקרה שהעובד נפל בפח.
למי מיועד קמפיין Phishing?
- לחברות שכחלק מהרגולציה נדרשות לבצע בדיקות מודעות עובדים לאיומי סייבר.
- לחברות שחוששות שמא האקרים ינצלו את חוסר המודעות של העובדים בכדי לחדור ולפגוע בארגון. ומעוניינות לטפל בנושא. כידוע, מרבית תקיפות הסייבר בעולם נובעות מחוסר מודעות מספקת של עובדים.
מהם היתרונות של קמפיין Phishing?
- בחינה שוטפת של מודעות העובדים וקבלת מידע מפורט בנושא.
- בדיקה של מערכות אבטחת המידע למקרה שהעובד נפל בפח.
מה יהיו הדגשים?
מדסק תאפשר ללקוח לבחור בין מספר תרחישים שונים לביצוע המבדק.
המטרה תהיה לגרום לעובדים להגיע לאתר המתחזה ובהמשך להשתלט על העמדה ולקבל גישה לרשת הפנימית.
קיימים מספר מוצרים בתחום, אבל הם מסתפקים בבחינת ערנות העובדים.
לך כ CISO אין די בכך, אמנם עליך לוודא את ערנות העובדים, אך במקביל עליך לבחון את מערכות ההגנה, בכדי לדעת שתוקף שהערים על העובד לא יוכל לגרום לנזק ממשי.
לכן אנו מציעים חבילה של מבדקים רבעוניים שמבוצעים על ידי האקר אנושי ולזה מתווספות הדרכות מודעות ועלונים לעובדים.
