Політика користування соцмережами
Дізнайтеся, чого не варто публікувати в корпоративних соцмережах.
Що таке Політика користування соцмережами?
Один захоплений допис може виконати за зловмисника всю розвідку. Колега оголошує в професійній мережі новий партнерський проєкт і називає вас, партнера, набір технологій та строк. Через кілька днів приходить фішинговий лист, у якому є всі ці подробиці. Ви переходите за посиланням, вводите облікові дані й отримуєте сповіщення системи безпеки. Потім ви розбираєте тривожні ознаки, які пропустили, зіставляєте подробиці листа з дописом і повідомляєте про атаку.
Що ви дізнаєтесь у Політика користування соцмережами
- Розпізнавайте види корпоративної інформації, яких не повинно бути в особистих і професійних профілях у соцмережах
- Оцінюйте, чи не створюють дописи в соцмережах ризиків для безпеки операцій, зокрема через дані про місцезнаходження, організаційну структуру й технології
- Простежуйте подробиці цільового фішингового листа до відкритого допису, з якого їх узято
- Розпізнавайте, як зловмисники збирають дані з відкритих профілів у соцмережах, щоб вигадати легенди для цільових атак
- Застосовуйте політику організації щодо соцмереж у неоднозначних ситуаціях, де особисте самовираження перетинається з ризиками для компанії
Політика користування соцмережами — Кроки навчання
-
Ласкаво просимо до Catalyst Innovations
Звичайний ранок середи. Ви влаштувалися в домашньому кабінеті й збираєтеся переглянути повідомлення.
-
Повідомлення від Марка
Телефон Аліси вібрує: надійшло сповіщення в Telegram від колеги Марка Чена, старшого розробника команди.
-
Допис Марка у LinkedIn
Алісі цікаво, чим поділився Марк, тож вона відкриває на комп'ютері LinkedIn, щоб знайти його допис.
-
Чим поділився Марк
Допис Марка сповнений ентузіазму, але придивіться, яку інформацію він оприлюднив.
-
Лист від TechForge
Минуло п'ять днів. Аліса отримує лист нібито від TechForge Solutions про співпрацю над Project Helios.
-
Перехід за посиланням
Лист здається справжнім: у ньому згадано Project Helios і Марка на ім'я, а ще автор знає про строк у II кварталі. Аліса переходить за посиланням, щоб потрапити на партнерський портал.
-
Вхід на портал
Партнерський портал просить Алісу увійти з робочими обліковими даними.
-
Помилка автентифікації
Сторінка показує помилку автентифікації. Дивно: Аліса певна, що ввела пароль правильно. В Аліси все стискається всередині. Чому не виходить? Вона вирішує зачекати й спробувати пізніше, але тривожне відчуття не минає.
-
Щось не так
Через дві години Аліса отримує терміновий лист від центру моніторингу безпеки (SOC) компанії Catalyst Innovations.
-
Домен відправника
Аліса розуміє, що сталося. Повернімося до першого листа й розгляньмо тривожні ознаки, які вона пропустила. Спочатку — електронна адреса відправника.
Охоплення стандартів безпеки
CIS Controls
- CIS 14.1 Establish and Maintain a Security Awareness Program
- CIS 14.5 Train Workforce Members on Causes of Unintentional Data Exposure
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind