Основи аудиторського мислення

Що таке Основи аудиторського мислення?

Аудиторське мислення — це звичка зупинятися перед проханням, яке здається звичайним, і найважче застосувати її тоді, коли пише людина, якій ви довіряєте. Терміновий лист, нібито від вашого керівника, просить того ж дня переказати гроші незнайомому постачальнику. Ви назвете тривожні ознаки, вирішите, що здатися неуслужливим — дешевше, ніж заплатити шахраєві, і подзвоните керівникові на номер, який уже є у ваших контактах. Він цього листа не надсилав. Потім ви повідомите про спробу й побачите, що далі робить служба ІТ-безпеки.

Що ви дізнаєтесь у Основи аудиторського мислення

• Застосовуйте аудиторське мислення до прохань, що здаються звичайними: зупиняйтеся, перш ніж діяти, а не після.
• Розпізнавайте тривожні ознаки, які відрізняють справжнє внутрішнє прохання від спроби соціальної інженерії від імені довіреної особи.
• Перевіряйте несподіване прохання іншим каналом, за контактними даними, які у вас уже є, а не за тими, що вказані в повідомленні.
• Бачте в терміновості й посиланні на авторитет навмисний тиск, а не привід пропустити перевірку.
• Повідомляйте про спробу шахрайства через канал для інцидентів, навіть коли нічого не втрачено, щоб можна було простежити закономірність.

Основи аудиторського мислення — Кроки навчання

1. Дев'ять доларів

   Він не збирається нічого зламувати. Натомість купує домен, який з першого погляду не відрізнити від справжнього.

2. Один символ

   Ось і вся технічна складова цієї атаки.

3. Термінове прохання

   Четвер, по обіді. Від фінансового директора Девіда Чена надходить прохання про платіж. Ваш перший порив — допомогти: він ваш керівник, прохання виглядає правдоподібно, і ви не хочете, щоб через вас постачальник відмовився співпрацювати. Саме на цей порив усе й розраховано.

4. На що розраховане прохання

   Майже на кожне таке прохання відповідають три запитання: чи воно незвичне, чи обходить засіб контролю і чи відбиває охоту перевіряти. Відповіді на всі три є в самому листі.

5. Перевірте каналом, який він не контролює

   Відповідь на лист потрапила б до того, хто володіє цим доменом. Якщо ж подзвонити на внутрішній номер із корпоративного довідника, відповість Девід. Користуйтеся номером, який у вас уже є, а не тим, що вказано в листі.

6. Повідомте про це

   Девід підтвердив, що лист не від нього. Він припускає, що обліковий запис могли зламати, а служба ІТ-безпеки з'ясує, чи це так. Тепер ваше завдання — офіційно зафіксувати інцидент.

7. Подайте звіт

   Вкажіть адресу відправника точно так, як вона була в листі. Саме за нею служба ІТ-безпеки знайде домен і подасть скаргу на зловживання.

8. Що насправді виявила служба ІТ-безпеки

   У відповіді виправлено одне хибне припущення.

9. Нічого не було зламано

   Девід вирішив, що його зламали. Та в подібних випадках майже нікого не ламають.

10. Дев'ять доларів на вітер

    Скарга на зловживання надходить до реєстратора доменів.