-
Похожий контент
-
От KL FC Bot
Первые дни в новой компании всегда забиты всевозможными встречами с командой, тренингами, знакомством с используемыми системами и так далее. Много суеты — и одновременно мало понимания, что происходит. При этом есть и своеобразные ритуалы, которые многие также любят выполнять в первые дни: например, написать в соцсети (чаще в LinkedIn, но нередко и во все доступные) о начале работы на новом месте и в новой должности. Часто компании и сами пишут в своих официальных аккаунтах в соцсетях о том, как они рады приветствовать нового члена команды. На этом-то моменте новоявленный сотрудник и привлекает внимание мошенников.
Как правило, в посте в соцсети написано имя, название компании и должность. Чаще всего этого вполне достаточно, чтобы идентифицировать непосредственного начальника нового сотрудника (пользуясь той же самой соцсетью или просто зайдя на корпоративный сайт). Зная имена, можно вычислить адреса электронной почты. Во-первых, для такого «пробива» существуют специальные сервисы, а во-вторых, зачастую в качестве адреса электронной почты используется просто имя сотрудника или имя плюс фамилия — достаточно просто посмотреть, какую систему используют в компании. Ну а дальше мошенники занимаются социальной инженерией.
Первое поручение — перевести деньги мошенникам
В первые дни новый сотрудник еще плохо ориентируется в происходящем, но при этом, вероятнее всего, хочет показать свое рвение и выглядеть в глазах коллег и начальства молодцом. Такой настрой негативно влияет на внимательность — сотрудник бросается выполнять любые задачи, не обращая достаточного внимания на то, где он их получает, звучат ли они сколько-нибудь разумно и вообще его ли это дело. Сказали делать — он делает. Особенно если распоряжение отдал непосредственный начальник или, например, один из основателей компании.
View the full article
-
От KL FC Bot
Наверное, в жизни каждого из нас хотя бы раз случалась поломка, так сказать, очень личного цифрового устройства — смартфона, планшета или ноутбука. В поломке может быть виноват сам пользователь — бесчисленные миллиарды долларов заработаны на замене разбитых экранов смартфонов. Но чаще всего это просто случайная неисправность: вышел из строя аккумулятор, умер жесткий диск, отвалилась клавиша на клавиатуре и так далее. Как говорится, с кем не бывает.
Увы, сейчас электроника устроена таким образом, что чинить ее самостоятельно часто не под силу даже самым рукастым ты-ж-программистам. Ремонтопригодность тех же смартфонов неуклонно снижается из года в год, и для починки современных моделей нужны уже не только прямые руки и общее понимание того, как устроены всякие цифровые штуковины, но еще и экзотические инструменты, специфические навыки, а также доступ к документации и запчастям.
Поэтому в момент, когда сломался смартфон или ноутбук, чаще всего у пользователя нет никакого выбора — придется обратиться в сервисный центр. Обычно даже выбросить, забыть и купить новый девайс — не вариант, потому что как минимум хочется спасти всю ту информацию, которая осталась на устройстве. Проблема в том, что вместе с самим пострадавшим устройством в руки совершенно постороннего человека придется отдать, собственно, и все личные данные, на нем хранящиеся. Фотографии и видео, переписка и история звонков, документы и финансовая информация — все вот это может оказаться в прямом доступе у незнакомого вам человека. И тут возникает вопрос: а можно ли этому человеку доверять?
Рабочий кинозал с домашним порно
Лично я очень серьезно задумалась над этим вопросом после рассказа моего знакомого, которому как-то довелось в частном порядке пообщаться с сотрудниками одного небольшого сервисного центра, занимавшегося ремонтом ноутбуков. Ремонтники совершенно не смущаясь рассказывали, что в этом сервисном центре для сотрудников и их друзей периодически проводятся «закрытые показы» домашнего порно, обнаруженного на попавших им в руки устройствах.
Подобные инциденты время от времени мелькают и в новостях: то в одном сервис-центре обнаружится сотрудник, ворующий приватные фотографии клиентов, то в другом. Иногда всплывают более масштабные истории — например, о сотрудниках сервисных центров, которые годами не просто воровали фотографии клиентов-женщин. Из них они собирали целые коллекции и даже обменивались ими.
Но ведь эти случаи — исключения из общей практики? Cовсем не в каждом сервисном центре сотрудники жаждут наложить руки на личные данные клиентов, правда? Исследование, которое недавно попалось мне на глаза, к сожалению, говорит об обратном. Из его результатов следует, что нарушение приватности клиентов работниками сервисов по ремонту электроники — гораздо более распространенная проблема, чем всем нам хотелось бы думать. Собственно, очень похоже на то, что излишнее любопытство ремонтников — скорее принятая в индустрии практика, чем какие-то отдельные вопиющие инциденты. Но не буду забегать вперед и расскажу обо всем по порядку.
View the full article
-
От Elly
Друзья!
В этом году компания "Лаборатория Касперского" отмечает 26 лет своей работы. Прямо сейчас безопасное будущее создают более 4000 человек.
Их задача – обеспечить безопасность технологий, чтобы люди могли доверять инновациям и использовать безграничный потенциал технологического прогресса. На форуме Клуба есть специальный раздел, где проводят интервью сотрудников, также информация о некоторых из них есть на официальных источниках компании. Мы подготовили вопросы и интересные факты об этих героях, предлагаем вам ответить на них в рамках викторины о сотрудниках "Лаборатории Касперского".
НАГРАЖДЕНИЕ
Без ошибок — 2000 баллов Одна ошибка — 1500 баллов Две ошибки — 1000 баллов
ПРАВИЛА ПРОВЕДЕНИЯ
Викторина проводится до 20:00 04 июля 2023 года (время московское).
Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.
Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @kmscom (пользователей @Friend и @Ellyвключать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
Вопросы по начислению баллов направлять пользователю@Ellyчерез систему личных сообщений.
Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.
Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.
Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.
Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
-
От KL FC Bot
Процессы найма и увольнения во всех крупных компаниях формализованы. В числе прочего, в них входит предоставление доступа к корпоративным IT-системам после найма и отзыв этих доступов перед увольнением. На практике второй процесс работает существенно хуже, и у сотрудника часто остаются доступы к рабочей информации. Какие риски это несет и как их избежать?
Как возникают забытые доступы
При поступлении на работу сотрудник получает доступ к системам, нужным ему по работе. Со временем доступов становится больше, но они далеко не всегда выдаются централизованно, да и сам процесс далеко не всегда стандартизован. К каким-то системам доступ дает непосредственное начальство, забыв уведомить об этом IT; какие-то чаты в мессенджерах или системы обмена документами заводятся стихийно внутри департамента. Эти дополнительные и плохо структурированные доступы практически гарантированно никто не будет отзывать у сотрудника при увольнении.
Перечислим типовые сценарии, в которых IT-службы забывают отозвать доступ.
В компании используется SaaS-система (Ariba, Concur, Salesforce, Slack, тысячи их), но доступ в нее идет по имени и паролю, которые нужно заводить в системе. Интеграции с корпоративным каталогом сотрудников нет. Сотрудники совместно используют один пароль для доступа к определенной системе. Например, для экономии денег коллеги используют общую подписку или работают с системой, не имеющей полноценной многопользовательской архитектуры. После увольнения одного из сотрудников пароль никто не меняет. Какая-то из корпоративных систем позволяет входить при помощи номера мобильного телефона и присланного по SMS кода. Проблемы возникают, если сотрудник при увольнении оставил за собой номер телефона. В некоторых системах обязательна привязка к личным учетным записям. Например, администраторы корпоративных страниц в соцсетях получают эту роль через личную учетную запись, и отзывать этот доступ нужно тоже внутри соцсети. Последней в списке, но не последней по значимости является проблема «теневого IT». Любая система, которую сотрудники стали использовать по своей инициативе и запустили сами, почти наверняка выпадает из стандартных процедур инвентаризации, контроля паролей и т. п. Чаще всего у ушедших сотрудников остаются возможности совместного редактирования документов в Google Docs, управления задачами в Trello или Basecamp, обмена файлами через Dropbox и другие хранилища, а также доступ к рабочим и полурабочим чатам в мессенджерах. Впрочем, в списке может оказаться вообще любая система.
Посмотреть статью полностью
-
От KL FC Bot
Если спросить любого специалиста по информационной безопасности, что является причиной большинства инцидентов, то вероятно он не задумываясь ответит «человеческий фактор». В основе большей части атак на организации лежат невнимательность, неосведомленность и ошибки сотрудников. При этом угрозу человеческого фактора сложнее всего устранить — ведь для этого приходится работать не с привычными послушными информационными системами, а непосредственно с людьми.
Часто в наших советах мы, помимо всего прочего, рекомендуем донести до сотрудников ту или иную информацию. Но, конечно, это легче сказать, чем сделать. Поэтому сегодня мы поговорим о том, как же все-таки добиться того, чтобы сотрудники компании стали относиться к кибербезопасности серьезнее, а к словам безопасников — внимательнее.
Почему сотрудники не уделяют должного внимания кибербезопасности
Основная проблема состоит, конечно же, в том, что для большинства сотрудников компании кибербезопасность совсем не является приоритетным вопросом. У них есть свои дела и задачи, а на всякие второстепенные вопросы у них может банально не хватать времени. В связи с этим стоит осознать и принять следующие два факта.
Первый из них: по умолчанию одним из второстепенных вопросов для нормального сотрудника является и информационная безопасность. Так что не стоит ожидать, что после каждой почтовой рассылки о вреде использования одних и тех же паролей ваши пользователи побегут массово их менять. Или дисциплинированно перестанут скачивать сомнительные вложения, как только вы им расскажете, что так не стоит делать.
Второй факт, который важно иметь в виду: не погруженные в тему ИБ сотрудники вас не обязательно понимают (и даже скорее всего нет). Для специалиста по кибербезопасности в словах вроде «таргетированная атака с использованием целевого фишинга» не содержится никакой сложной информации. А обычному продажнику, бухгалтеру или специалисту по логистике вы с тем же успехом могли бы сказать что-нибудь на баскском языке.
В результате ИБ-специалистам часто кажется, что в сочетании эти два факта делают задачу неразрешимой, поэтому они опускают руки и ограничиваются лишь теми мерами безопасности, которые касаются железа и софта. Но, конечно же, это неправильно, и такой подход часто приводит к серьезным проблемам. Возникает вопрос: как же все-таки достучаться до сотрудников?
Посмотреть полную статью...
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти