Главная » Справочник » Основы информационной безопасности в органах внутренних дел » Защита от социальной инженерии

Защита от социальной инженерии

Социальная инженерия является единственным подходящим методом проверки эффективности политики безопасности. Хотя многие тесты проверяют физические и электронные уязвимые места, но лишь некоторые анализы безопасности исследуют бреши, создаваемые людьми.

Основные рекомендации для усиления безопасности компьютерных систем организации:

привлечение внимания к вопросам безопасности, необходимость осознания серьезности проблемы и причин принятия политики безопасности организации;
проверка личности и встречные звонки любому, кто просит сообщить персональную или конфиденциальную информацию;
реализация программы обучения пользователей в области безопасности;
назначение ответственных за техническую поддержку, обязательность личного знакомства с ответственным за техническую поддержку и обращения за помощью исключительно к нему;
создание системы оповещения об угрозах (атакующие знают, что, даже если их обнаружат, у служащего нет возможности предупредить других сотрудников об атаках, в результате этого атака может быть продолжена с минимальными изменениями и после компрометации; по существу, компрометация только улучшит атаку, так как атакующие узнают, что именно не срабатывает);
создание политики безопасности применительно к различным опасным направлениям (например, определив правила корректного использования телефонов, компьютеров и т. д.).

Тестирование системы защиты – это метод выявления недостатков безопасности с точки зрения постороннего человека (взломщика). Он позволяет протестировать схему действий, которая раскрывает и предотвращает внутренние и внешние попытки проникновения и сообщает о них.

Используя этот метод, можно обнаружить даже те недостатки защиты, которые не были учтены в самом начале при разработке политики безопасности. Тест должен разрешить два основных вопроса:

все ли пункты политики безопасности достигают своих целей и используются так, как это было задумано;
существует ли что-либо, не отраженное в политике безопасности, что может быть использовано для осуществления целей злоумышленника.

Необходимо свести к минимуму количество людей, знающих о проведении эксперимента. При тестировании могут быть затронуты деликатные вопросы частной жизни сотрудников и безопасности организации, поэтому желательно получить предварительное разрешение на проведение такой акции. (Непосредственное начальство обязательно должно быть в курсе происходящего.)

Профессионалам в области безопасности при проведении теста необходимо иметь такое же положение, как и у потенциального злоумышленника: в их распоряжении должны быть время, терпение и максимальное количество технических средств, которые могут быть использованы взломщиком. Более того, проверяющим следует расценить это как вызов своему профессионализму, а значит, проявить столько же рвения, сколько и взломщик, иначе тесты могут не достичь необходимого результата.

Таким образом, были рассмотрены основные вопросы информационной безопасности, которыми должен владеть руководитель подразделения, отдела, учреждения и т. п. для постановки задачи защиты информации.

Предыдущая статья Визуально-оптические каналы утечки информации Следующая статья Классификация компьютерных преступлений

Статьи по теме