За прошедшие годы атаки социальной инженерии стали реальностью для всех предприятий, независимо от отрасли или размера.
Действительно, помимо технических уязвимостей, которые часто используются для получения несанкционированного доступа к данным и системам, излюбленной точкой входа для злоумышленников остаются сотрудники компании, в большинстве случаев обман происходит с помощью фишинговых атак.
Согласно исследованию о влиянии фишинговых атак, в 2021 году 22% зарегистрированных утечек данных начались с фишинговой электронной почты. Кроме того, в отчете Ponemon Institute за 2021 год «Стоимость утечки данных» указано, что средняя стоимость утечки данных составляет примерно 150 долларов США за скомпрометированную запись, а общая стоимость составляет 3,86 миллиона долларов США. С другой стороны, одна целевая фишинговая атака обойдется примерно в 1,6 миллиона долларов.
Ввиду катастрофических финансовых последствий для компаний, пострадавших от этих атак, нельзя пренебрегать этим важнейшим компонентом системной безопасности, а именно человеческим фактором. Поэтому ИТ-директора, директора по информационной безопасности и технические директора должны заняться этим вопросом и повысить осведомленность всех сотрудников путем проведения аудитов социальной инженерии, потому что кибербезопасность — это дело каждого.
Что такое социально-инженерный аудит
Для команды, отвечающей за кибербезопасность, зачастую сложнее изменить поведение людей, чем внедрить технические средства защиты, которые в противном случае необходимы. Однако новичку или опытному злоумышленнику гораздо проще использовать человеческие недостатки, чем проводить изощренные «технические» атаки на информационные системы.
Информируйте сотрудников о рисках мошеннических электронных писем, которые могут содержать ссылки или вложения с вредоносными программами и т. д. Обучение, групповые встречи, информационные кампании и хартии кибербезопасности, которые также необходимы, служат этой цели. Тем не менее, наиболее подходящим решением остается аудит социальной инженерии.
Социально-инженерный аудит состоит из оценки поведения сотрудников компании перед лицом кибератак. На практике это включает проверку их реакции на различные типы атак (фишинг, клонирование интерфейсов, физические вторжения и т. д.), чтобы измерить уровень их бдительности и проверить соблюдение правил безопасности.
Кроме того, этот тип аудита способствует максимальному обмену знаниями и передаче навыков в отношении мер, которые необходимо реализовать, и позиций, которые необходимо принять для защиты от обычных атак и более сложных угроз. Действительно, знание и понимание потенциальных последствий успешной атаки имеет большое значение, особенно для людей, которые попались на удочку.
Наконец, аудит социальной инженерии может быть адаптирован к различным целям и организациям в зависимости от ранее выявленных конкретных рисков и помочь в защите информации от утечки.