Защита от социальной инженерии

Основные рекомендации для усиления безопасности компьютерных систем организации.

– Привлекайте внимание людей к вопросам безопасности. Сотрудники должны осознавать серьезность проблемы и причины принятия политики безопасности организации.

– Требуйте от сотрудников проверять личность и делать встречные звонки любому, кто просит сообщить персональную или конфиденциальную информацию.

– Реализуйте программу обучения пользователей в области безопасности. Хорошая программа обучения пользователей может быть реализована с минимальными затратами и сохранить организации миллионы.

– Назначьте ответственных за техническую поддержку. Каждый сотрудник организации обязан лично познакомиться с ответственным за техническую поддержку и обращаться исключительно к нему.

– Создайте систему оповещения об угрозах. Атакующие знают, что, даже если их обнаружат, у служащего нет возможности предупредить других сотрудников об атаках. В результате атака может быть продолжена с минимальными изменениями и после компрометации. По существу, компрометация только улучшит атаку, так как атакующие узнают, что именно не срабатывает.

– Создайте политики безопасности применительно к различным опасным направлениям, например, определив правила корректного использования телефонов, компьютеров и т.д.

– Социальная инженерия является единственным подходящим методом проверки эффективности политики безопасности. Хотя многие тесты проверяют физические и электронные уязвимые места, но лишь некоторые анализы безопасности исследуют бреши, создаваемые людьми.

Тестирование системы защиты – это метод выявления недостатков безопасности с точки зрения постороннего человека (взломщика). Он позволяет протестировать схему действий, которая раскрывает и предотвращает внутренние и внешние попытки проникновения и сообщает о них. Используя этот метод, можно обнаружить даже те недостатки защиты, которые не были учтены в самом начале при разработке политики безопасности. Тест должен разрешить два основных вопроса:

– все ли пункты политики безопасности достигают своих целей и используются так, как это было задумано;

– существует ли что-либо, не отраженное в политике безопасности, что может быть использовано для осуществления целей злоумышленника.

Необходимо свести к минимуму количество людей, знающих о проведении эксперимента. При тестировании могут быть затронуты деликатные вопросы частной жизни сотрудников и безопасности организации, поэтому желательно получить предварительное разрешение на проведение такой акции. Непосредственное начальство обязательно должно быть в курсе происходящего.

Профессионалам в области безопасности при проведении теста необходимо иметь такое же положение, как и у потенциального злоумышленника: в их распоряжении должны быть время, терпение и максимальное количество технических средств, которые могут быть использованы взломщиком. Более того, проверяющим следует расценить это как вызов своему профессионализму, а значит, проявить столько же рвения, сколько и взломщик, иначе тесты могут не достичь необходимого результата.

Таким образом, были рассмотрены основные вопросы информационной безопасности, которыми должен владеть руководитель подразделения, отдела, учреждения и т. п. для постановки задачи защиты информации.

Поиск по сайту: