Audit Fittizio: Valutazione della Consapevolezza e della Preparazione contro l’Ingegneria Sociale
- Tipologia: IBRIDO
- Giornate previste: 8 (4 delle quali onsite)
Obiettivo
Misurare l’efficacia con cui i collaboratori riconoscono e gestiscono tentativi di impersonation, in particolare attraverso la simulazione di un audit fittizio da parte di enti regolatori come la Banca d’Italia o l’IVASS.
Contesto e Conformità
L’attività viene svolta in conformità con i requisiti di compliance determinati dalla guida nazionale TIBER-IT, assicurando che tutte le simulazioni siano in linea con le aspettative normative e di sicurezza.
Descrizione dello Scenario
Il Red Team, impersonando auditor ufficiali della Banca d’Italia o dell’IVASS, organizzerà incontri con il personale dell’organizzazione. Lo scopo di questi incontri sarà di condurre una falsa attività di audit, durante la quale si tenterà di raccogliere informazioni confidenziali relative a accessi, configurazioni di sistema, politiche, regolamenti aziendali, dati del personale e dei clienti.
Attività del Red Team
Attraverso l’utilizzo di tecniche di ingegneria sociale, il team cercherà di valutare quanto profondamente possa penetrare nei sistemi informativi aziendali senza essere rilevato, misurando la credulità e la reattività dei dipendenti di fronte a richieste di informazioni apparentemente legittime.
Obiettivi Specifici
- Valutazione della Consapevolezza del Personale: Testare la capacità dei collaboratori di identificare segnali di allarme e comportamenti sospetti durante interazioni con presunti auditor.
- Efficacia dei Controlli di Accesso: Analizzare la robustezza dei controlli di accesso logici e fisici di fronte a tentativi di accesso non autorizzati mascherati da procedure di controllo ufficiali.
- Preparazione e Risposta: Valutare le procedure di verifica e di risposta dell’organizzazione quando si trovano di fronte a richieste di informazioni da parte di individui che si presentano come autorità regolatorie.
Questo scenario di Audit Fittizio mira a potenziare la consapevolezza e le difese dell’organizzazione contro sofisticate tattiche di ingegneria sociale, assicurando che il personale sia adeguatamente preparato a identificare e respingere tentativi di impersonation da parte di attori malintenzionati.
