Защита от социальной инженерии
Социальная инженерия является единственным подходящим методом проверки эффективности политики безопасности. Хотя многие тесты проверяют физические и электронные уязвимые места, но лишь некоторые анализы безопасности исследуют бреши, создаваемые людьми.
Основные рекомендации для усиления безопасности компьютерных систем организации:
- привлечение внимания к вопросам безопасности, необходимость осознания серьезности проблемы и причин принятия политики безопасности организации;
- проверка личности и встречные звонки любому, кто просит сообщить персональную или конфиденциальную информацию;
- реализация программы обучения пользователей в области безопасности;
- назначение ответственных за техническую поддержку, обязательность личного знакомства с ответственным за техническую поддержку и обращения за помощью исключительно к нему;
- создание системы оповещения об угрозах (атакующие знают, что, даже если их обнаружат, у служащего нет возможности предупредить других сотрудников об атаках, в результате этого атака может быть продолжена с минимальными изменениями и после компрометации; по существу, компрометация только улучшит атаку, так как атакующие узнают, что именно не срабатывает);
- создание политики безопасности применительно к различным опасным направлениям (например, определив правила корректного использования телефонов, компьютеров и т. д.).
Тестирование системы защиты – это метод выявления недостатков безопасности с точки зрения постороннего человека (взломщика). Он позволяет протестировать схему действий, которая раскрывает и предотвращает внутренние и внешние попытки проникновения и сообщает о них.
Используя этот метод, можно обнаружить даже те недостатки защиты, которые не были учтены в самом начале при разработке политики безопасности. Тест должен разрешить два основных вопроса:
- все ли пункты политики безопасности достигают своих целей и используются так, как это было задумано;
- существует ли что-либо, не отраженное в политике безопасности, что может быть использовано для осуществления целей злоумышленника.
Необходимо свести к минимуму количество людей, знающих о проведении эксперимента. При тестировании могут быть затронуты деликатные вопросы частной жизни сотрудников и безопасности организации, поэтому желательно получить предварительное разрешение на проведение такой акции. (Непосредственное начальство обязательно должно быть в курсе происходящего.)
Таким образом, были рассмотрены основные вопросы информационной безопасности, которыми должен владеть руководитель подразделения, отдела, учреждения и т. п. для постановки задачи защиты информации.
