Przegląd mediów

luty 2017

Przezorny ubezpieczony

2017-02-16  |  12:04
Przegląd mediów

Bezpieczeństwo informacji jest kwestią zasadniczą dla każdej firmy. Dotyczy to nie tylko z firm sektora IT, ale dla każdej organizacji, która ma do czynienia choćby z gromadzeniem danych osobowych. A takie dane zgodnie z ustawą nałożoną przez prawo, muszą być odpowiednio przechowywane i chronione (Dz. U. nr 133 poz. 883). Poza tym firmy mają swoje tajemnice, takie jak dane statystyczne, patenty, informacje na temat nowych technologii.

 

 

Aby dane te były bezpieczne, często stosuje się najlepsze, najdroższe i najbardziej zaawansowane technologicznie rozwiązania informatyczne mające na celu zapewnienie odpowiedniego poziomu bezpieczeństwa. Wynajmowane są najlepsze firmy ochroniarskie, do kontroli osobowej i fizycznego zabezpieczenia obiektów. Ostatnie lata przyniosły znaczną poprawę poziomu zabezpieczeń firm i organizacji gospodarczych. Bardzo trudno jest dokonać włamania do zabezpieczonego obiektu lub systemu komputerowego. Aby taki atak mógł się odbyć, trzeba mieć dostęp do odpowiedniego sprzętu, dysponować zdeterminowanymi ludźmi zdecydowanymi na ewidentne łamanie prawa. W związku z powyższym potencjalni „złodzieje tajemnic gospodarczych” wykorzystują znacznie łatwiejszy w dostępie, nieuważny i podatny na odpowiednie manipulacje, czynnik ludzki.

 

Zmanipulowany i osaczony

 

Czynnik ludzki jest piętą achillesową wielu systemów bezpieczeństwa. W związku z niedoskonałym działaniem człowieka, bezpieczeństwo często staje się iluzją. Jeżeli uwzględnimy takie cechy ludzkie jak, łatwowierność, naiwność i ignorancję, sytuacja dodatkowo się pogarsza. Najbardziej poważany naukowiec XX wieku, Albert Einstein, podobno powiedział, że: „Tylko dwie rzeczy są nieskończone: wszechświat i ludzka głupota, chociaż co do pierwszego nie mam pewności”. Człowiek staje się jeszcze łatwiejszym celem ataku, kiedy zostaje zmanipulowany przez odpowiednio do tego przygotowanego człowieka – specjalistę z zakresu tzw. socjotechniki.

 

Socjotechnika lub inżynieria społeczna, lub inżynieria socjalna (ang. social engineering) jest to ogół metod, środków i działań praktycznych zmierzających do wywołania pożądanych przemian w postawach lub zachowaniach społecznych. Socjotechnika może być rozumiana, jako autonomiczna dziedzina kultury lub socjologii, kształtująca tę kulturę lub/i społeczeństwo, jako formę inwencji i aktywności cywilizacyjnej. Występuje we wszystkich typach cywilizacji w roli czynnika stymulującego i organizującego układy i procesy kulturowe. Jednak, jako umiejętność skutecznego oddziaływania na innych, współcześnie socjotechnika wykorzystywana jest do skutecznego uzyskiwania informacji, szczególnie informacji wrażliwych dla państw, ale również różnego rodzaju organizacji gospodarczych. W jej skład wchodzą m.in. popularne ostatnio NLP czyli programowanie neurolingwistyczne, sprytne odwracanie uwagi ofiary, rozpraszanie jej uwagi przez nadmierną gadatliwość, czy też po prostu kłamstwo. Socjotechnik swoimi działaniami potrafi manipulować zachowaniami i decyzjami człowieka, a nawet i jego uczuciami.

 

Sztuczki wykfalifikowanego socjotechnika

 

Ataki socjotechników niekiedy bardzo proste, często bywają bardzo skomplikowane. Składają się wówczas z wielu kroków poprzedzonych gruntownym planowaniem, łączącym elementy manipulacji z wiedzą technologiczną. Wiele nieszkodliwie wyglądających informacji będących w posiadaniu firmy jest niezwykle cennych dla socjotechnika, ponieważ mogą one odegrać podstawową rolę podczas wcielania się w kogoś innego. Ludzie z natury ufają innym, szczególnie, kiedy prośba jest zasadna. Socjotechnicy używają tej wiedzy, by wykorzystać ofiary i osiągnąć swoje cele. Na przykład z pozoru nic nieznacząca informacja, że pani Ania Kowalska jest szefową działu kadr w pewnej firmie, nabiera swojej wagi, kiedy socjotechnik powołując się na panią Anię prosi inną osobę z tej firmy o wypełnienie i przesłanie na konkretny adres mailowy, szczegółowe ankiety z danymi pracowników. Ludzie, posiadający dar manipulowania innymi, zwykle cechują się bardzo „magnetycznym typem osobowości”. Przeważnie są to osoby rzutkie i elokwentne. Socjotechników wyróżnia też umiejętność rozpraszania procesów myślowych swoich rozmówców, co w efekcie prowadzi do szybkiego nawiązania współpracy z ofiarą ataku. Wcielenie się w rozmowie telefonicznej w “zamotanego” kuriera zawsze skutkuje zdobyciem prywatnego adresu ofiary (na który ma zostać dostarczona nieistniejąca przesyłka). Podszycie się pod pracownika GUS-u świetnie (bo na mocy ustawy) pozwala wyciągać dane dot. konfiguracji sieci komputerowej od niczego nieświadomych kadrowych i księgowych. Za pomocą odpowiednio zmodyfikowanego pliku PDF o nazwie “raport płacowy” można przejąć kontrolę nad komputerem pracownika. Ofiary często da się zmanipulować do tego stopnia, że same z siebie, niepytane podają hasła dostępowe do “chronionych zasobów” w firmie. Przykładowo, nieporadny monter zazwyczaj wzbudza litość, a ludzie z natury lubią przychodzić z pomocą, zwłaszcza, jeśli ma to przyśpieszyć pozbycie się kogoś, ktoś będzie im wiercić nad głową przez cały dzień.

 

Wg Kevina Mytnika, znanego amerykańskiego hakera i socjotechnika, który po odsiedzeniu wyroku, stał się popularyzatorem idei ochrony firm przed atakami socjotechnicznymi: „Człowiek wymyślił wiele wspaniałych rzeczy, które zmieniły świat i nasze życie. Jednak wraz z pojawieniem się kolejnej nowej technologii, czy to telefonów, czy komputerów, czy Internetu, pojawiają się nowe sposoby jej wykorzystania w nieuczciwych zamiarach. Nie myśl, że zabezpieczenia sieci i firewalle ochronią twoje informacje. Szukaj najsłabszego ogniwa. Zwykle okazuje się nim być człowiek.”

 

Typowymi celami ataku socjotechnicznego w firmie są:

  • osoby nieświadome wartości informacji, takie jak recepcjonistka, telefonistka, pracownicy administracji, pracownicy ochrony.
  • osoby posiadające specjalne przywileje, takie jak pomoc techniczna, administratorzy systemów komputerowych, operatorzy komputerów, administratorzy systemów telefonicznych, pracownicy działów księgowości i kadr,

a także

  • producenci sprzętu, oprogramowania, systemów poczty głosowej.

 

Socjotechnik zawsze działa według planu!

 

Początkowo prowadzone jest rozpoznanie, które może zacząć się od ogólnej analizy powszechnie dostępnych informacji, jak wyniki finansowe, katalogi, zgłoszenia do urzędu patentowego, wzmianki prasowe, artykuły w prasie fachowej, zawartość strony internetowej, a także zawartości śmietników.

 

Następnie socjotechnik nawiązuje kontakt z wybranymi pracownikami firmy. Następuje wówczas budowanie więzi i zaufania poprzez użycie wewnętrznych informacji, podawanie się za kogoś innego, wspominanie nazwisk osób znanych ofierze, zgłoszenie potrzeby pomocy lub zasugerowanie posiadania władzy.

 

Dalej należy wykorzystać zdobyte zaufanie. Najczęściej odbywa się to poprzez prośbę o informację lub działanie, skierowane bezpośrednio do ofiary, lub przez zmanipulowanie ofiary tak, aby sama poprosiła o pomoc.

Jeżeli uzyskana informacja jest tylko kolejnym krokiem zbliżającym napastnika do celu, wraca on do poprzednich kroków cyklu, aż do osiągnięcia sukcesu, czyli do uzyskania informacji docelowej.

 

Aby uchronić firmę i jej pracowników przed manipulacjami socjotechników, a w konsekwencji przed utratą cennych informacji, Mytnik zaleca prowadzenie treningów bezpieczeństwa, które powinny dotyczyć wszystkich jej pracowników, a w szczególności tych, którzy mają elektroniczny lub fizyczny dostęp do zasobów informacyjnych firmy.

 

Podczas treningów i szkoleń warto zwrócić uwagę pracowników firmy na to, że socjotechnicy w swoich działaniach często wykorzystują typowe metody, do których należą m.in.: udawanie pracownika tej samej firmy; udawanie przedstawiciela dostawcy, firmy partnerskiej lub agencji rządowej; udawanie kogoś, kto ma władzę, udawanie nowego pracownika proszącego o pomoc; udawanie przedstawiciela producenta systemu operacyjnego zalecającego pilną aktualizację; oferowanie pomocy w razie wystąpienia jakiegoś problemu; wysłanie darmowego programu do aktualizacji lub zainstalowania na komputerze; wysłanie wirusa lub konia trojańskiego w załączniku do poczty; przechwytywanie naciśniętych klawiszy za pomocą specjalnego programu.

 

Warto wiedzieć…

 

Podczas wspomnianych wyżej szkoleń pracownicy powinni być uświadamiani również, w jaki sposób rozpoznawać ewentualne ataki socjotechniczne. Do znaków ostrzegawczych, które powinny obudzić czujność pracownika firmy należą m.in.:

- odmowa podania numeru zwrotnego;

- nietypowa prośba;

- okazywanie posiadania władzy;

- podkreślanie pilności sprawy;

- grożenie konsekwencjami niepodporządkowania się prośbie;

- okazywanie niechęci w przypadku zadawania pytań;

- komplementy lub pochlebstwa;

- flirtowanie;

- używanie wewnętrznej terminologii i żargonu w celu zbudowania zaufania;        

- prośba do recepcjonistki o odebranie i przesłanie faksu dalej;

- prośba o transfer pliku do lokalizacji, która wydaje się wewnętrzna.

 

Wyszkolony pracownik to dobry pracownik

 

Aby ustrzec siebie i firmę przed atakami socjotechników, pracownikom zaleca się przede wszystkim weryfikację tożsamości osoby, która o coś prosi (czy jest tą, za którą się podaje?) oraz weryfikację, czy ma do czynienia z osobą uprawnioną (czy rzeczywiście jest uprawniona do otrzymania tej informacji?). Należy pamiętać, że przeszkolony personel lepiej poradzi sobie z wykryciem ataku socjotechnicznego, dlatego należy inwestować w szkolenia dla pracowników. Materiały szkoleniowe powinny być dostosowane do poszczególnych grup pracowników, ze względu na zajmowane stanowisko w organizacji.

 

Nie bez znaczenia jest również wprowadzenie w firmie lub innej organizacji gospodarczej klasyfikacji informacji ze względu na ich dostępność. Przeszkoleni pracownicy, mający świadomość wagi informacji chronionej w firmie i są uświadomieni, co do tego, komu i na jakich warunkach, mogą przekazać określony rodzaj informacji, są trudnym celem nawet dla profesjonalnych socjotechników.

Informacje dotyczące firmy lub przechowywane w firmie zwykle dzieli się na:

 

Publiczne – ogólnie dostępne. Przy ich przekazywaniu nie ma potrzeby weryfikacji osoby pytającej.

 

Wewnętrzne – dane do użytku wewnętrznego firmy. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej, jako zatrudnionej w firmie;

  • a w przypadku osoby z zewnątrz sprawdź istnienie zobowiązania do nie ujawniania tajemnic i zgodę kierownictwa.

    Prywatne – informacje natury osobistej, przeznaczone do użytku tylko w ramach organizacji. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej, jako zatrudnionej lub uprawnionej osoby z zewnątrz;

  • Zanim udzielisz informacji prywatnej, skonsultuj się z działem kadr.

    Tajne – udzielane tylko osobom z bezwzględną potrzebą wiedzy, w ramach organizacji. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej i potrzebę wiedzy (u właściciela danej informacji);

  • udzielaj informacji tylko wtedy, gdy posiadasz pisemną zgodę szefa, właściciela informacji lub jego przedstawiciela;

  • sprawdź istnienie pisemnego zobowiązania do zachowania tajemnicy;

  • tylko kadra kierownicza może udzielać takich informacje osobom niebędącym pracownikami firmy.

     

    Firma, której zależy na bezpieczeństwie informacyjnym oprócz regularnych szkoleń pracowników z zakresu przeciwdziałania atakom socjotechnicznym powinna wprowadzić bardzo rygorystyczne procedury dotyczące m.in. wspomnianej wyżej klasyfikacji informacji, a także procedury weryfikacji tożsamości osób kontaktujących się z firmą, procedury weryfikacji statusu osoby podającej się za pracownika firmy oraz procedury weryfikacji potrzeby wiedzy. W sprawdzeniach bezpieczeństwa systemów informatycznych firmy warto również wykorzystać tzw. testy penetracyjne lub kontrolowane włamania hakerskie, w których celowo wykorzystuje się elementy socjotechniki.

     

    Autor:

    Profesjonalny Wywiad Gospodarczy „Skarbiec” Sp. z o.o.

     

Newseria nie ponosi odpowiedzialności za treści oraz inne materiały (np. infografiki, zdjęcia) przekazywane w „Przeglądzie mediów”, których autorami są zarejestrowani użytkownicy (media)

Informacje z dnia: 16 lutego

Medium

Patronaty medialne

Obsługa konferencji prasowych i innych wydarzeń

Agencja informacyjna Newseria realizując zleconą obsługę wydarzenia przygotowuje pełny zapis konferencji, a także realizuje wywiady z gośćmi i uczestnikami wydarzenia.

> Zobacz pełne informacje o naszej ofercie.

Dziś w serwisie Innowacje

Programowanie w szkole podstawowej nie spełnia oczekiwań ekspertów. Mimo to polscy uczniowie należą do najlepszych na świecie w programowaniu i robotyce

W zeszłym roku programowanie weszło do podstawy programowej nauczania w klasach I–III w szkole podstawowej. Eksperci zwracają uwagę, że nie są to zajęcia praktyczne, a jedynie przygotowujące do nauki programowania w późniejszych klasach. Tymczasem według ekspertów dzieci w wieku 7 lat są już gotowe do przyswajania konkretnych języków programowania. Powstaje coraz więcej prywatnych inicjatyw w zakresie programowania i robotyki, a polscy uczniowie odnoszą już w tej dziedzinie pierwsze sukcesy. Lubelska drużyna Spice Gears zdobyła wicemistrzostwo świata na olimpiadzie robotycznej w Stanach Zjednoczonych.

Infrastruktura

Mieszkańcy małych miast z łatwiejszym dostępem do e-administracji. Poczta Polska umożliwi potwierdzenie Profilu Zaufanego we wszystkich swoich placówkach

W blisko 4,7 tys. placówek Poczty Polskiej na terenie całego kraju można zakładać Profil Zaufany, który pozwala załatwić większość spraw urzędowych przez internet. Usługa dotrze również do mieszkańców tych miejscowości, które są wykluczone cyfrowo i do tej pory nie miały takiej możliwości. Poczta Polska pracuje nad rozwiązaniem, które umożliwi założenie profilu na tablecie, w który będzie wyposażony listonosz. Spółka podkreśla też, że chce być pierwszym partnerem dla instytucji rządowych w rozwijaniu e-administracji i cyfrowych usług dla obywateli Polski. 

Patronat Newserii

Konsument

Eksperci apelują do rządu o ponowne przygotowanie przepisów o cyfrowych umowach telekomunikacyjnych. To ułatwiłoby życie milionom klientów

Zamiast uproszczenia wzorców umów telekomunikacyjnych klienci otrzymają obszerne i skomplikowane kontrakty, których nie będą w stanie zrozumieć – uważa Związek Przedsiębiorców i Pracodawców i apeluje do rządu o zaniechanie prac nad nowelizacją prawa telekomunikacyjnego. Jego zdaniem zmniejszeniu biurokracji mogą służyć cyfrowe rozwiązania, wzorowane na najlepszych, znanych na świecie zastosowaniach

Media i PR

L. Sobolewski: Zwiększy się rola autoprezentacji spółek giełdowych. Będą tego oczekiwać inwestorzy

Polska awansuje w zestawieniach gospodarek z grupy rynków wschodzących do rozwiniętych. Dla spółek giełdowych oznacza to wyzwania związane z komunikacją, raportowaniem i autoprezentacją. Profesjonalizacja działań związanych z relacjami inwestorskimi ułatwi spółkom korzystanie z możliwości rynków globalnych. Cornerstone Communications, agencja relacji inwestorskich założona przez Ludwika Sobolewskiego, byłego prezesa GPW, chce wspierać firmy w pozyskiwaniu nowych partnerów i profesjonalizacji funkcjonowania na rynkach.

Handel

Przez podróbki producenci tracą miliardy dolarów rocznie. Możliwość dochodzenia swoich praw dają im patenty

Na świecie sprzedaż podróbek przynosi miliardy dolarów strat rocznie. Posiadanie patentów daje przedsiębiorcom możliwość dochodzenia swoich praw. W lutym funkcjonariusze Krajowej Administracji Skarbowej z Augustowa ujawnili blisko 40 tysięcy sztuk podrobionych perfum, odzieży, obuwia i galanterii. Rzeczy były bezprawnie oznaczone znakami towarowymi znanych marek. Takie sytuacje nie należą do rzadkości.