Hoe is het gesteld met de weerbaarheid en kwetsbaarheid in niet-digitaal opzicht? Zijn medewerkers bestand tegen social engineering? Handelen ze adequaat, conform de procedures? Zijn getroffen maatregelen toereikend om onbevoegden te weren? Deze en gelijksoortige vragen zijn te beantwoorden met onze dienst MysteryGuest.
Een MysteryGuest-onderzoek is meer dan een social engineering test. Het een onderzoek naar ‘niet-digitale’ weerbaarheid en kwetsbaarheid van een fysiek doelobject met zijn ‘bewoners’, zoals een bedrijfspand, kantoor of een bijzondere bedrijfslocatie. Kunnen personen met kwade bedoelingen via social engineering dan wel via fysieke weg een slag slaan, zoals het bemachtigen van gevoelige informatie? Ook bijvoorbeeld het ongemerkt plaatsen van malafide hardware kan hiertoe leiden.
Doel van een MysteryGuest-onderzoek is inzicht krijgen in de mate waarin een specifieke locatie – met alle informatie en IT-middelen op die locatie – weerstand kan bieden aan pogingen om onbevoegd toegang te krijgen. De onderzoeken zijn veelal gericht op het beantwoorden van twee onderzoeksvragen:
- Is het mogelijk ongeautoriseerd binnen te komen en te vertrekken, zonder te zijn ontmaskerd?
Voor het beantwoorden van deze vraag onderzoekt LBVD met gebruik van social engineering en zonder braak de fysieke toegangsbeveiliging van het geteste object, d.w.z. de buitenste schil. - Wat is het handelingsperspectief van een onbevoegde – eenmaal binnen?
In hoeverre is gevoelige informatie in systemen en op de werkvloer toegankelijk voor ongeautoriseerde personen? Hoe is het gesteld met het beveiligingsbewustzijn van de medewerkers? Hoe vatbaar is men voor social engineering? Neigen medewerkers te zwichten voor bijvoorbeeld misleiding, tijdsdruk, pressie of voorgewende autoriteit? Zijn de interne (beveiligings)procedures voldoende duidelijk en handelen medewerkers overeenkomstig? Zijn er eigenlijk wel standaardprocedures voor de aangeboden situatie?
LBVD stelt eerst de te beantwoorden onderzoeksvragen samen met u vast en spitst vervolgens de uitvoering er op toe, waarbij LBVD zwakke plekken, uiteraard binnen de afgesproken kaders, daadwerkelijk benut. Denk daarbij aan het toepassen van social engineering (zowel fysiek als telefonisch), maar ook het benutten van ‘onhandigheden’ als bijvoorbeeld het niet correct afgesloten zijn van kasten, laden en kamers, onbeheerd achtergelaten (gevoelige) documenten, apparatuur en toegangspassen, en het niet vergrendeld zijn van systemen. De uitvoering is ook te beperken tot alleen telefonisch onderzoek. We spreken dan van MysteryCaller ofwel Telefonische MysteryGuest.