Hoe is het gesteld met de weerbaarheid en kwetsbaarheid in niet-digitaal opzicht? Zijn getroffen maatregelen toereikend om onbevoegden te weren? Handelen medewerkers adequaat, conform de procedures? Deze vragen zijn te beantwoorden met onze dienst MysteryGuest.
Een MysteryGuest-actie is een onderzoek naar ‘niet-digitale’ kwetsbaarheid en weerbaarheid van een fysiek doelobject zoals een kantoor of een bijzondere bedrijfslocatie. Kunnen personen met kwade bedoelingen via social engineering dan wel via fysieke weg een slag kunnen slaan, zoals het ontvreemden van gevoelige informatie? Ook het ongemerkt plaatsen van malafide hardware kan hiertoe leiden.
Doel van een MysteryGuest-onderzoek is inzicht krijgen in de mate waarin een specifieke locatie – met alle informatie en IT-middelen op die locatie, etc. – weerstand kan bieden aan pogingen om onbevoegd toegang te krijgen. De onderzoeken zijn veelal gericht op het beantwoorden van twee onderzoeksvragen:
- Is het mogelijk ongeautoriseerd binnen te komen en te vertrekken, zonder te zijn ontmaskerd?
Voor het beantwoorden van deze vraag onderzoekt LBVD de fysieke toegangsbeveiliging van het geteste object, de buitenste schil. - Wat is het handelingsperspectief als een onbevoegde eenmaal binnen?
In hoeverre is gevoelige informatie toegankelijk voor ongeautoriseerde personen? Hoe is het gesteld met het beveiligingsbewustzijn van de medewerkers? Hoe gevoelig is men voor social engineering? Neigen medewerkers te zwichten voor bijvoorbeeld misleiding, pressie of voorgewende autoriteit? Zijn de interne procedures voldoende duidelijk en handelen medewerkers overeenkomstig? Zijn er eigenlijk wel standaardprocedures voor de aangeboden situatie?
LBVD stelt eerst de te beantwoorden onderzoeksvragen samen met u vast en spitst vertolgens de uitvoering er op toe, waarbij LBVD zwakke plekken, uiteraard binnen de afgesproken kaders, daadwerkelijk benut. Denk daarbij aan social engineering (zowel fysiek als telefonisch), maar ook ‘onhandigheden’ als bijvoorbeeld het niet correct afgesloten zijn van kasten, laden en kamers, onbeheerd achtergelaten, gevoelige documenten, apparatuur en toegangspassen, en het niet vergrendeld zijn van systemen.