Przegląd mediów

luty 2017

Przezorny ubezpieczony

2017-02-16  |  12:04
Przegląd mediów

Bezpieczeństwo informacji jest kwestią zasadniczą dla każdej firmy. Dotyczy to nie tylko z firm sektora IT, ale dla każdej organizacji, która ma do czynienia choćby z gromadzeniem danych osobowych. A takie dane zgodnie z ustawą nałożoną przez prawo, muszą być odpowiednio przechowywane i chronione (Dz. U. nr 133 poz. 883). Poza tym firmy mają swoje tajemnice, takie jak dane statystyczne, patenty, informacje na temat nowych technologii.

 

 

Aby dane te były bezpieczne, często stosuje się najlepsze, najdroższe i najbardziej zaawansowane technologicznie rozwiązania informatyczne mające na celu zapewnienie odpowiedniego poziomu bezpieczeństwa. Wynajmowane są najlepsze firmy ochroniarskie, do kontroli osobowej i fizycznego zabezpieczenia obiektów. Ostatnie lata przyniosły znaczną poprawę poziomu zabezpieczeń firm i organizacji gospodarczych. Bardzo trudno jest dokonać włamania do zabezpieczonego obiektu lub systemu komputerowego. Aby taki atak mógł się odbyć, trzeba mieć dostęp do odpowiedniego sprzętu, dysponować zdeterminowanymi ludźmi zdecydowanymi na ewidentne łamanie prawa. W związku z powyższym potencjalni „złodzieje tajemnic gospodarczych” wykorzystują znacznie łatwiejszy w dostępie, nieuważny i podatny na odpowiednie manipulacje, czynnik ludzki.

 

Zmanipulowany i osaczony

 

Czynnik ludzki jest piętą achillesową wielu systemów bezpieczeństwa. W związku z niedoskonałym działaniem człowieka, bezpieczeństwo często staje się iluzją. Jeżeli uwzględnimy takie cechy ludzkie jak, łatwowierność, naiwność i ignorancję, sytuacja dodatkowo się pogarsza. Najbardziej poważany naukowiec XX wieku, Albert Einstein, podobno powiedział, że: „Tylko dwie rzeczy są nieskończone: wszechświat i ludzka głupota, chociaż co do pierwszego nie mam pewności”. Człowiek staje się jeszcze łatwiejszym celem ataku, kiedy zostaje zmanipulowany przez odpowiednio do tego przygotowanego człowieka – specjalistę z zakresu tzw. socjotechniki.

 

Socjotechnika lub inżynieria społeczna, lub inżynieria socjalna (ang. social engineering) jest to ogół metod, środków i działań praktycznych zmierzających do wywołania pożądanych przemian w postawach lub zachowaniach społecznych. Socjotechnika może być rozumiana, jako autonomiczna dziedzina kultury lub socjologii, kształtująca tę kulturę lub/i społeczeństwo, jako formę inwencji i aktywności cywilizacyjnej. Występuje we wszystkich typach cywilizacji w roli czynnika stymulującego i organizującego układy i procesy kulturowe. Jednak, jako umiejętność skutecznego oddziaływania na innych, współcześnie socjotechnika wykorzystywana jest do skutecznego uzyskiwania informacji, szczególnie informacji wrażliwych dla państw, ale również różnego rodzaju organizacji gospodarczych. W jej skład wchodzą m.in. popularne ostatnio NLP czyli programowanie neurolingwistyczne, sprytne odwracanie uwagi ofiary, rozpraszanie jej uwagi przez nadmierną gadatliwość, czy też po prostu kłamstwo. Socjotechnik swoimi działaniami potrafi manipulować zachowaniami i decyzjami człowieka, a nawet i jego uczuciami.

 

Sztuczki wykfalifikowanego socjotechnika

 

Ataki socjotechników niekiedy bardzo proste, często bywają bardzo skomplikowane. Składają się wówczas z wielu kroków poprzedzonych gruntownym planowaniem, łączącym elementy manipulacji z wiedzą technologiczną. Wiele nieszkodliwie wyglądających informacji będących w posiadaniu firmy jest niezwykle cennych dla socjotechnika, ponieważ mogą one odegrać podstawową rolę podczas wcielania się w kogoś innego. Ludzie z natury ufają innym, szczególnie, kiedy prośba jest zasadna. Socjotechnicy używają tej wiedzy, by wykorzystać ofiary i osiągnąć swoje cele. Na przykład z pozoru nic nieznacząca informacja, że pani Ania Kowalska jest szefową działu kadr w pewnej firmie, nabiera swojej wagi, kiedy socjotechnik powołując się na panią Anię prosi inną osobę z tej firmy o wypełnienie i przesłanie na konkretny adres mailowy, szczegółowe ankiety z danymi pracowników. Ludzie, posiadający dar manipulowania innymi, zwykle cechują się bardzo „magnetycznym typem osobowości”. Przeważnie są to osoby rzutkie i elokwentne. Socjotechników wyróżnia też umiejętność rozpraszania procesów myślowych swoich rozmówców, co w efekcie prowadzi do szybkiego nawiązania współpracy z ofiarą ataku. Wcielenie się w rozmowie telefonicznej w “zamotanego” kuriera zawsze skutkuje zdobyciem prywatnego adresu ofiary (na który ma zostać dostarczona nieistniejąca przesyłka). Podszycie się pod pracownika GUS-u świetnie (bo na mocy ustawy) pozwala wyciągać dane dot. konfiguracji sieci komputerowej od niczego nieświadomych kadrowych i księgowych. Za pomocą odpowiednio zmodyfikowanego pliku PDF o nazwie “raport płacowy” można przejąć kontrolę nad komputerem pracownika. Ofiary często da się zmanipulować do tego stopnia, że same z siebie, niepytane podają hasła dostępowe do “chronionych zasobów” w firmie. Przykładowo, nieporadny monter zazwyczaj wzbudza litość, a ludzie z natury lubią przychodzić z pomocą, zwłaszcza, jeśli ma to przyśpieszyć pozbycie się kogoś, ktoś będzie im wiercić nad głową przez cały dzień.

 

Wg Kevina Mytnika, znanego amerykańskiego hakera i socjotechnika, który po odsiedzeniu wyroku, stał się popularyzatorem idei ochrony firm przed atakami socjotechnicznymi: „Człowiek wymyślił wiele wspaniałych rzeczy, które zmieniły świat i nasze życie. Jednak wraz z pojawieniem się kolejnej nowej technologii, czy to telefonów, czy komputerów, czy Internetu, pojawiają się nowe sposoby jej wykorzystania w nieuczciwych zamiarach. Nie myśl, że zabezpieczenia sieci i firewalle ochronią twoje informacje. Szukaj najsłabszego ogniwa. Zwykle okazuje się nim być człowiek.”

 

Typowymi celami ataku socjotechnicznego w firmie są:

  • osoby nieświadome wartości informacji, takie jak recepcjonistka, telefonistka, pracownicy administracji, pracownicy ochrony.
  • osoby posiadające specjalne przywileje, takie jak pomoc techniczna, administratorzy systemów komputerowych, operatorzy komputerów, administratorzy systemów telefonicznych, pracownicy działów księgowości i kadr,

a także

  • producenci sprzętu, oprogramowania, systemów poczty głosowej.

 

Socjotechnik zawsze działa według planu!

 

Początkowo prowadzone jest rozpoznanie, które może zacząć się od ogólnej analizy powszechnie dostępnych informacji, jak wyniki finansowe, katalogi, zgłoszenia do urzędu patentowego, wzmianki prasowe, artykuły w prasie fachowej, zawartość strony internetowej, a także zawartości śmietników.

 

Następnie socjotechnik nawiązuje kontakt z wybranymi pracownikami firmy. Następuje wówczas budowanie więzi i zaufania poprzez użycie wewnętrznych informacji, podawanie się za kogoś innego, wspominanie nazwisk osób znanych ofierze, zgłoszenie potrzeby pomocy lub zasugerowanie posiadania władzy.

 

Dalej należy wykorzystać zdobyte zaufanie. Najczęściej odbywa się to poprzez prośbę o informację lub działanie, skierowane bezpośrednio do ofiary, lub przez zmanipulowanie ofiary tak, aby sama poprosiła o pomoc.

Jeżeli uzyskana informacja jest tylko kolejnym krokiem zbliżającym napastnika do celu, wraca on do poprzednich kroków cyklu, aż do osiągnięcia sukcesu, czyli do uzyskania informacji docelowej.

 

Aby uchronić firmę i jej pracowników przed manipulacjami socjotechników, a w konsekwencji przed utratą cennych informacji, Mytnik zaleca prowadzenie treningów bezpieczeństwa, które powinny dotyczyć wszystkich jej pracowników, a w szczególności tych, którzy mają elektroniczny lub fizyczny dostęp do zasobów informacyjnych firmy.

 

Podczas treningów i szkoleń warto zwrócić uwagę pracowników firmy na to, że socjotechnicy w swoich działaniach często wykorzystują typowe metody, do których należą m.in.: udawanie pracownika tej samej firmy; udawanie przedstawiciela dostawcy, firmy partnerskiej lub agencji rządowej; udawanie kogoś, kto ma władzę, udawanie nowego pracownika proszącego o pomoc; udawanie przedstawiciela producenta systemu operacyjnego zalecającego pilną aktualizację; oferowanie pomocy w razie wystąpienia jakiegoś problemu; wysłanie darmowego programu do aktualizacji lub zainstalowania na komputerze; wysłanie wirusa lub konia trojańskiego w załączniku do poczty; przechwytywanie naciśniętych klawiszy za pomocą specjalnego programu.

 

Warto wiedzieć…

 

Podczas wspomnianych wyżej szkoleń pracownicy powinni być uświadamiani również, w jaki sposób rozpoznawać ewentualne ataki socjotechniczne. Do znaków ostrzegawczych, które powinny obudzić czujność pracownika firmy należą m.in.:

- odmowa podania numeru zwrotnego;

- nietypowa prośba;

- okazywanie posiadania władzy;

- podkreślanie pilności sprawy;

- grożenie konsekwencjami niepodporządkowania się prośbie;

- okazywanie niechęci w przypadku zadawania pytań;

- komplementy lub pochlebstwa;

- flirtowanie;

- używanie wewnętrznej terminologii i żargonu w celu zbudowania zaufania;        

- prośba do recepcjonistki o odebranie i przesłanie faksu dalej;

- prośba o transfer pliku do lokalizacji, która wydaje się wewnętrzna.

 

Wyszkolony pracownik to dobry pracownik

 

Aby ustrzec siebie i firmę przed atakami socjotechników, pracownikom zaleca się przede wszystkim weryfikację tożsamości osoby, która o coś prosi (czy jest tą, za którą się podaje?) oraz weryfikację, czy ma do czynienia z osobą uprawnioną (czy rzeczywiście jest uprawniona do otrzymania tej informacji?). Należy pamiętać, że przeszkolony personel lepiej poradzi sobie z wykryciem ataku socjotechnicznego, dlatego należy inwestować w szkolenia dla pracowników. Materiały szkoleniowe powinny być dostosowane do poszczególnych grup pracowników, ze względu na zajmowane stanowisko w organizacji.

 

Nie bez znaczenia jest również wprowadzenie w firmie lub innej organizacji gospodarczej klasyfikacji informacji ze względu na ich dostępność. Przeszkoleni pracownicy, mający świadomość wagi informacji chronionej w firmie i są uświadomieni, co do tego, komu i na jakich warunkach, mogą przekazać określony rodzaj informacji, są trudnym celem nawet dla profesjonalnych socjotechników.

Informacje dotyczące firmy lub przechowywane w firmie zwykle dzieli się na:

 

Publiczne – ogólnie dostępne. Przy ich przekazywaniu nie ma potrzeby weryfikacji osoby pytającej.

 

Wewnętrzne – dane do użytku wewnętrznego firmy. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej, jako zatrudnionej w firmie;

  • a w przypadku osoby z zewnątrz sprawdź istnienie zobowiązania do nie ujawniania tajemnic i zgodę kierownictwa.

    Prywatne – informacje natury osobistej, przeznaczone do użytku tylko w ramach organizacji. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej, jako zatrudnionej lub uprawnionej osoby z zewnątrz;

  • Zanim udzielisz informacji prywatnej, skonsultuj się z działem kadr.

    Tajne – udzielane tylko osobom z bezwzględną potrzebą wiedzy, w ramach organizacji. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej i potrzebę wiedzy (u właściciela danej informacji);

  • udzielaj informacji tylko wtedy, gdy posiadasz pisemną zgodę szefa, właściciela informacji lub jego przedstawiciela;

  • sprawdź istnienie pisemnego zobowiązania do zachowania tajemnicy;

  • tylko kadra kierownicza może udzielać takich informacje osobom niebędącym pracownikami firmy.

     

    Firma, której zależy na bezpieczeństwie informacyjnym oprócz regularnych szkoleń pracowników z zakresu przeciwdziałania atakom socjotechnicznym powinna wprowadzić bardzo rygorystyczne procedury dotyczące m.in. wspomnianej wyżej klasyfikacji informacji, a także procedury weryfikacji tożsamości osób kontaktujących się z firmą, procedury weryfikacji statusu osoby podającej się za pracownika firmy oraz procedury weryfikacji potrzeby wiedzy. W sprawdzeniach bezpieczeństwa systemów informatycznych firmy warto również wykorzystać tzw. testy penetracyjne lub kontrolowane włamania hakerskie, w których celowo wykorzystuje się elementy socjotechniki.

     

    Autor:

    Profesjonalny Wywiad Gospodarczy „Skarbiec” Sp. z o.o.

     

Newseria nie ponosi odpowiedzialności za treści oraz inne materiały (np. infografiki, zdjęcia) przekazywane w „Przeglądzie mediów”, których autorami są zarejestrowani użytkownicy (media)

Informacje z dnia: 16 lutego

Medium

Kalendarium

Partner serwisu

Advertisement

Dziś w serwisie Innowacje

Samochody z autopilotem wkrótce pojawią się na drogach. Badania w zakresie ich kontrolowania przez człowieka prowadzą Polacy

W ciągu kilku najbliższych lat na drogach mogą się pojawić pierwsze samochody z autopilotem. Samochody półautonomiczne będą wymagały nadzoru przez człowieka. Badaniem nad momentem, w którym kierowca oddaje lub przejmuje kontrolę nad takim pojazdem, zajmują się Polacy. W Instytucie Transportu Samochodowego prowadzony jest projekt badawczy aDrive, w ramach którego badane jest oddziaływanie systemów automatyzujących jazdę na kierowcę.

Przemysł

Boeing: Polski przemysł lotniczy ważnym partnerem dla koncernów zbrojeniowych. Wśród największych zalet wykwalifikowani pracownicy i terminowość dostaw

Boeing Defense, Space & Security, jedna z trzech największych firm zbrojeniowych na świecie chce zacieśniać współpracę z polskimi firmami z przemysłu obronnego i lotniczego. Ma ona dotyczyć nie tylko lotnictwa, lecz także systemów kosmicznych i satelitarnych. Wśród największych zalet krajowego przemysłu są zaangażowani i wykwalifikowani pracownicy oraz terminowość dostaw. Polskie firmy powinny się skoncentrować na długoterminowym wsparciu serwisowym dostarczanego przez siebie sprzętu – przekonuje Gene Cunningham z Boeing Defense, Space & Security.

Edukacja

Polska walczy o zniesienie barier swobodnego przepływu danych w UE. Może to przynieść gospodarce unijnej dodatkowe 8 mld euro rocznie

Od półtora roku na forum europejskim Polska postuluje wprowadzenie zasady swobodnego przepływu danych w Unii Europejskiej. Mogłoby to przynieść gospodarce Wspólnoty dodatkowe 8 mld euro rocznie i stanowić silny impuls do rozwoju przedsiębiorstw, innowacji i inwestycji. Jedną z kluczowych kwestii będzie zadbanie o bezpieczeństwo cyfrowych danych. Jak podkreśla minister cyfryzacji Anna Streżyńska, cyberbezpieczeństwo wymaga pracy od podstaw – stałego budowania społecznej świadomości i edukacji wśród użytkowników sieci. 

Patronat Newserii

Problemy społeczne

Co trzecia innowacyjna firma w Polsce zakładana jest przez kobietę. Potencjał kobiet w branży technologicznej jest zagospodarowany tylko w niewielkim stopniu

Co trzeci start-up założony w Polsce to dzieło kobiet. Tylko niewielka część z nich tworzy go w obszarze technologicznym czy naukowym. Dodatkowo co piąta studentka uczelni technicznej nie wie, czym jest start-up technologiczny. Te dane wskazują na to, że potencjał technologicznej przedsiębiorczości kobiet jest tylko w niewielkim stopniu zagospodarowany. Wsparcie pań związanych z tym obszarem to priorytet programu Girls go start-up! Academy, do którego aplikować można do 24 listopada. Inicjatorzy chcą tworzyć w Polsce Kobiecą Dolinę Krzemową.

Finanse

Przybywa nieruchomości wynajmowanych na krótki czas. Taki najem może dać zarobić więcej niż długoterminowy

Krótkoterminowy wynajem lokali turystom może być znacznie bardziej opłacalny niż wynajem na dłuższy czas. Zwłaszcza że taka forma noclegu zyskuje na popularności. Najem krótkoterminowy sprawdzi się w największych miastach i kurortach turystycznych. Jest jednak zdecydowanie bardziej absorbujący niż wynajęcie mieszkania na kilka miesięcy czy nawet lat. Szybko rośnie też liczba apartamentów inwestycyjnych w systemie condohotelowym. To połączenie bloku mieszkalnego z funkcją hotelu, którym zwykle zarządza pośrednia firma.