Kevin Mitnick Sztuka podstępu

[ Pobierz całość w formacie PDF ]
.Każde nieuprawnione udostępnienie prywatnej informacjimoże mieć duży wpływ na pracownika lub firmę, jeżeli zdobyte zostało przez osobę do niejnieupoważnioną (szczególnie socjotechnika).Do informacji prywatnych należą wyniki badańlekarskich pracowników, informacje o koncie bankowym, historia wypłat i każde inne osobisteinformacje identyfikacyjne, które nie są przeznaczone dla ogółu.Uwaga Kategoria informacji wewnętrznych często bywa też opisywana jako poufne.Wybrałem jednak termin wewnętrzne , ponieważ wyjaśnia on, dla kogo informacje te sąprzeznaczone.Termin poufne stosowany jest tu jako wygodny sposób odnoszenia się doinformacji tajnych, prywatnych i wewnętrznych.Innymi słowy, informacje poufne to wszelkieinformacje, które nie są udostępnione ogółowi.Wewnętrzne.Kategoria ta oznacza informację, którą wolno udostępniać każdej osobiebędącej pracownikiem firmy.Zwykle udostępnienie informacji wewnętrznej osobienieupoważnionej nie może wyrządzić dużej szkody firmie, udziałowcom, kooperantom, klientomi pracownikom.Jednak osoba biegła w socjotechnice może użyć tej informacji, aby wcielić się wupoważnionego pracownika, wykonawcę usług lub dostawcę i oszukać któregoś z pracowników,wyłudzając od niego informacje o większym stopniu poufności, które w rezultacie mogąumożliwić mu, na przykład, dostęp do firmowej sieci komputerowej.Przed udostępnieniem informacji wewnętrznej osobom trzecim, takim jak przedstawicieledostawców, wynajęci pracownicy, firmy partnerskie, należy podpisać z nimi stosowną umowę opoufności tych danych.Informacje wewnętrzne to wszystko to, co używane jest w bieżącejdziałalności firmy, a nie powinno być udostępniane na zewnątrz, np.struktura organizacyjna,numery dial-up do sieci firmowej, nazwy wewnętrznych systemów, procedury zdalnego dostępu,kody księgowe itp.Publiczne.Informacje, które są udostępniane ogółowi.Mogą one być dowolnierozpowszechniane.Są to np.informacje dla prasy, informacje kontaktowe w sprawie obsługiklienta i broszury produktów.Należy pamiętać, że każda informacja nie oznaczonajednoznacznie jako publiczna, powinna być traktowana jako poufna.Terminologia związana z klasyfikacja, danych Właściwie sklasyfikowane dane powinny być przekazywane odpowiednim kategoriompracowników.Część instrukcji w tym rozdziale opisuje udzielanie informacji osobie niezweryfikowanej.Na potrzeby tych instrukcji pojęcie osoby nie zweryfikowanej oznacza kogoś,kogo pracownik nie zna osobiście jako obecnego pracownika lub jako upoważnionego dootrzymania poufnej informacji, o którą prosi.Osoba zaufana oznacza tu osobę, z którą pracownik miał okazję zetknąć siębezpośrednio i co do której ma pewność, że jest ona pracownikiem firmy, klientem lubkonsultantem o randze, która pozwala mu na dostęp do danej informacji.Osoba zaufana możebyć również pracownikiem firmy posiadającej trwałe związki z naszą firmą (np.klient, dostawcalub partner strategiczny, który podpisał umowę o poufności).Poręczenie osoby trzeciej oznacza sytuację, kiedy osoba zaufana weryfikuje status lubfakt zatrudnienia osoby i jej prawo do prośby o informację lub wykonanie czynności.Należypamiętać, że w niektórych przypadkach instrukcje nakazują dodatkową weryfikację, czy osobazaufana wciąż pozostaje pracownikiem przedsiębiorstwa przed udzieleniem informacjipytającemu.Konto uprzywilejowane jest to konto w systemie komputerowym lub innym z prawamidostępu wykraczającymi poza podstawowe prawa użytkownika, np.z prawami doadministrowania systemem.Pracownicy posiadający konta uprzywilejowane zwykle mająmożliwość modyfikacji przywilejów innych użytkowników oraz wykonywania czynnościzwiązanych z administrowaniem systemem.Ogólnowydziałowe powitanie w poczcie głosowej to skrzynka poczty głosowej, na którejnagrano powitanie ogólne dla wydziału firmy.Tego typu nagranie chroni nazwiska i numerywewnętrzne osób, pracujących w danym wydziale.Procedury weryfikacyjne i autoryzacyjneZłodzieje informacji przeważnie używają podstępów, aby uzyskać dostęp dozastrzeżonych informacji firmy udają pracowników firmy, podwykonawców, dostawców lubpartnerów w interesach.Aby zapewnić efektywną ochronę informacji, pracownik proszony owykonanie czynności lub udzielenie poufnej informacji musi dokonać pozytywnej identyfikacjiosoby dzwoniącej i zweryfikować, czy jest ona osobą upoważnioną, zanim prośbę tę spełni. Zalecane procedury, opisane w tym rozdziale, są stworzone po to, by pomócpracownikowi, który otrzymuje prośbę poprzez którykolwiek z kanałów komunikacyjnych,takich jak telefon, e-mail lub faks, w sprawdzeniu, czy prośba ta jest uzasadniona.Prośba osoby zaufanejProśba ze strony osoby zaufanej może wymagać: " Weryfikacji, czy firma obecnie zatrudnia tęosobę lub czy utrzymuje z nią jakieś związki, które upoważniają do dostępu do danych, o któreprosi.Dzięki temu unikamy sytuacji, kiedy byli pracownicy, dostawcy, wykonawcy itp.podająsię za aktualnie upoważnionych." Weryfikacji, czy osoba naprawdę potrzebuje tej informacji i czy jest upoważniona do dostępudo niej [ Pobierz całość w formacie PDF ]

Linki