Scénario: Vous travaillez dans un environnement d'entreprise dans lequel vous êtes, au moins partiellement, responsable de la sécurité du réseau. Vous avez mis en place une protection par firewall, virus et logiciel espion, et vos ordinateurs sont tous à jour avec des correctifs et correctifs de sécurité. Vous êtes assis là et de réfléchir à la belle travail que vous avez fait pour vous assurer que vous ne serez pas piraté. Vous avez fait, ce que la plupart des gens pensent, sont les principales étapes vers un réseau sécurisé. Ceci est partiellement correcte.
Qu'en est-il d'autres facteurs? Avez-vous pensé à une attaque d'ingénierie sociale? Qu'en est-il des utilisateurs qui utilisent votre réseau sur une base quotidienne? Êtes-vous prêt à faire face à des attaques de ces personnes? Croyez-le ou non, le maillon le plus faible dans votre plan de sécurité est les personnes qui utilisent votre réseau. Pour la plupart, les utilisateurs ne sont pas éduqués sur les procédures pour identifier et neutraliser une attaque d'ingénierie sociale.
Qu'est-ce qui se passe à empêcher un utilisateur de trouver un CD ou un DVD dans la salle de déjeuner et de prendre à leur poste de travail et l'ouverture des fichiers? Ce disque pourrait contenir un document de traitement de texte ou tableur qui a une macro malveillante noyé dans la masse. La prochaine chose que vous savez, votre réseau est compromise. Ce problème existe en particulier dans un environnement où un personnel d'assistance réinitialiser les mots de passe par téléphone.
Il n'y a rien pour arrêter une personne l'intention de pénétrer dans votre réseau d'appeler le service d'assistance, faisant semblant d'être un employé, et en demandant d'avoir une réinitialisation de mot de passe. La plupart des organisations utilisent un système pour générer des noms d'utilisateurs, il est alors très difficile de les comprendre. Votre organisation doit avoir des politiques strictes en place pour vérifier l'identité d'un utilisateur avant une réinitialisation de mot de passe peut être fait.
Une chose simple à faire est d'avoir l'utilisateur vers le service d'assistance en personne. L'autre méthode, qui fonctionne bien si vos bureaux sont géographiquement loin, est de désigner un contact dans le bureau qui peut téléphoner pour une réinitialisation de mot de passe. De cette façon, tout le monde qui travaille sur le help desk peut reconnaître la voix de cette personne et savoir qu'il ou elle est bien qui ils disent qu'ils sont.