In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.

Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.

Deze week de tip van Paul Judge

Social engineering: de gebruiker is de zwakste schakel in je beveiliging
Tegen social engineering is geen firewall of andere geavanceerde beveiligingsoplossing bestand. Het gaat er bij deze manier van hacken namelijk om dat de indringer binnenkomt bij een bedrijf via een gebruiker en daarmee alle IT-beveiliging omzeilt. Voorbeelden van deze persoonlijke manier van hacken zijn recente inbraken bij de New York Times en Washington Post. Vrij Nederland testte naar aanleiding van die hacks de eigen redactie om te laten zien hoe gemakkelijk het is om journalisten aan te vallen door middel van een simpele e-mail.

Dankzij internet ligt steeds meer persoonlijke informatie op straat, waardoor social engineers hun slag kunnen slaan door zich voor te doen als iemand anders en te doen alsof ze hun ‘slachtoffer’ kennen. Social engineers richten hun pijlen graag op bedrijven en doen dat via telefoon, het web, maar ook face-to-face. Hieronder volgen een aantal tips om de kans dat je bedrijf de dupe wordt van zo’n aanval te verkleinen.

Telefonisch contact:

1. Vertel aan niemand je wachtwoorden (geldt ook voor internet en fysiek contact);
   
2. Deel geen gevoelige bedrijfsinformatie met anderen, tenzij je de persoon aan de andere kant van de lijn persoonlijk kent. Ook als de beller zegt dat hij/zij een hogere positie heeft binnen het bedrijf, check dat dan eerst met je eigen leidinggevende;
   
3. Geef de bovenstaande adviezen aan je collega’s als je vermoedt dat zij ook benaderd worden door dubieuze figuren.

4. Wees voorzichtig met URL’s op het web of in je e-mail. Beweeg voordat je klikt met je muis over de link om te zien of de link ook echt naar het betreffende adres leidt, of typ het adres zelf in plaats van er op te klikken;
   
5. Pas op met afwijkende e-mails in je inbox, bijvoorbeeld van een onbekende afzender. Wanneer je antwoordt, check dan altijd de inhoud van je mail en de ontvangers in de cc. Als je een van de ontvangers niet kent, stuur dan niet zomaar gevoelige informatie toe.

6. Zorg voor toegangspasjes voor alle werknemers;
   
7. Vraag alle bezoekers van je bedrijf zich te identificeren bij binnenkomst en geef hen een tijdelijke toegangspas;
   
8. Licht je frontdeskmedewerkers of salesmedewerker in over social engineering, want zij zijn directe doelwitten;
   
9. Laat afval, zoals oud papier en hardware, veilig verwerken zodat je social engineers geen reden geeft om in je afvalcontainers rond te snuffelen en alsnog gevoelige informatie op te duiken.

Uiteindelijk is bewustwording over social engineering de beste manier om het tegen te gaan. Ga dus vooral - gewapend met bovenstaande tips - met je werknemers of leidinggevende in gesprek over hoe je dit binnen je bedrijf voor elkaar krijgt.

Paul Judge is hoofdonderzoeker van Barracuda Labs.

Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.