perpanjangan PEBKAC. Tidak pernah mendengar kata ini, asal culun tetapi yang merupakan salah satu yang terbesar dan paling sulit untuk memecahkan masalah keamanan komputer?
Itu akronim, artinya Ada Masalah Antara Keyboard Dan Kursi - yaitu, masalahnya terletak di antara keyboard dan kursi.
Yang lain menyebutnya HF untuk menunjukkannya Faktor Manusia - faktor manusia; yang lain lagi dengan sayang menggunakan nama Dave, berdasarkan kartun terkenal tahun 2006 tentang keamanan data, yang digambar oleh kartunis John Klossner.
Semua untuk menunjukkan sesuatu yang berbahaya, tampaknya tidak berbahaya, tetapi yang tidak dapat - atau setidaknya tidak nyaman - untuk dihilangkan: pengguna yang tidak sadar.
Oleh karena itu, artikel ini memiliki tujuan ambisius untuk menggambarkan risiko dari ketidaksadaran ini, dengan harapan dapat merangsang setiap pembaca sebuah refleksi yang meningkatkan kesadaran akan risiko tersebut.
Jadi bayangkan Dave kita - seorang karyawan sumber daya manusia di Acme Farmaceutici SpA - ketika dia memeriksa emailnya di pagi hari dan menerima permintaan kontak LinkedIN dari Fiammetta Canestrelli tertentu, yang mengatakan: “Dave, sudah berapa tahun kamu di sekolah menengah? Saya tentu mengingat Anda dengan baik dan saya ingin memiliki Anda di jaringan profesional saya."
Dave tidak mengingat Fiammetta dengan baik - aneh karena dengan nama khusus seperti itu - tetapi jika dia mengingatnya mengapa tidak mendekat?
Oleh karena itu Dave menganggap undangan itu tak tertahankan - mungkin berkat gambar si rambut coklat bermata biru yang menonjol di halaman profil yang - mengklik tautan email - dia mengakses untuk mengonfirmasi kontak ... tentu saja tidak memperhatikan perantara situs tempat koneksi lewat setelah mengklik tautan.
Situs yang URL-nya ditampilkan kurang dari satu detik di bilah status browser, tetapi yang melayani sistem untuk mencegat banyak informasi pada koneksi, sebelum mengarahkannya ke situs resmi LinkedIN.
Jika Dave mencoba mencari sepasang mata biru yang bagus itu di mesin pencari gambar, dia akan menemukan lusinan hasil selain profil profesional Fiammetta: iklan eyeliner, agensi model casting, tutorial pengeditan foto online ... tidak ada yang Fiammetta tersebut.
Sebagai gantinya, mengunjungi profilnya, ia menemukan bahwa mantan teman sekolahnya yang diduga memiliki pengalaman yang sangat terhormat di bidang keamanan siber, dengan bertahun-tahun dihabiskan di perusahaan paling penting dan dua master universitas di Amerika Serikat; dia hampir senang telah menjadi teman sekolahnya.
Kebahagiaan yang dia temukan beberapa hari kemudian ketika dia melihat permintaan melalui Facebook dan Instagram, berkat foto-foto Fiammetta yang berlipat ganda dalam konteks lain: malam hari di klub, potret dalam kostum di tepi laut, ada juga foto dalam setelan seluruh tubuh dari yang pasti dia ambil dari profil profesional ... gadis yang sangat baik, pikir Dave.
Jadi ketika melalui Messenger Anda menerima tautan untuk mengunjungi blog Fiammetta dengan banyak artikel tentang cara membuat roti dan produk beragi yang bagus, klik tanpa berpikir dua kali.
Apa yang tidak diketahui Dave adalah bahwa kombinasi tindakannya telah menyebabkan sepasang mata lain, bukan biru atau bahkan milik gadis itu, memiliki visibilitas yang sangat baik di PC perusahaannya yang terhubung dari jarak jauh - karena pandemi - ke sistem sumber daya manusia. perusahaan Acme Farmaceutici SpA.
Berkat perangkat lunak yang diunduh dengan cara yang sama sekali tidak disadari dan transparan dari blog, dua tangan terampil berjalan di atas keyboard - dipandu oleh otak yang terlatih dalam kompromi komputer. Koneksi yang dimulai dari Eropa Timur masuk ke jaringan yang tidak dapat dilacak hingga ke laptop Dave, dari sini melalui VPN, koneksi tersebut mendarat di aplikasi yang digunakan ACME untuk mengelola data karyawan. Pengoperasian tidak langsung berkat penggunaan kata sandi kompleks yang dikenakan ACME pada karyawan sumber daya manusianya ... selain yang mereka gunakan untuk penggunaan pribadi seperti jaringan sosial.
Tetapi dibuat sangat mudah oleh Dave, yang membenci praktik ini dan telah mengingat kata sandi untuk masuk ke sistem secara langsung di browser, jadi dia tidak perlu mengingat dan mengetik urutan 15 karakter yang rumit itu sepanjang waktu.
Dan alhamdulillah dengan mengakses VPN, IT ACME tidak memerlukan one-time password, karena channelnya aman!
Bulan berikutnya, CISO ACME menerima salah satu email terburuk dalam karirnya. “Kami memiliki database karyawan yang lengkap: data pribadi, status kesehatan, riwayat pekerjaan dan rincian gaji, bonus, dan anggota keluarga yang dapat dihubungi jika terjadi keadaan darurat.
Dalam 48 jam informasi ini akan dipublikasikan, jika kami tidak menerima jumlah 20BTC (saat ini lebih dari 666 ribu euro, NdA)"
Setelah pulih dari keterkejutan, CISO memanggil unit krisis perusahaan dan bersiap untuk menjelaskan bagaimana kecelakaan dengan tingkat keparahan ini bisa terjadi. terlepas dari investasi selangit dalam teknologi keamanan yang telah dilakukan perusahaan selama bertahun-tahun.
Investasi yang diberikan untuk penguatan perlindungan pada email perusahaan, anti-malware sistem perlindungan otentikasi canggih, VPN untuk menghubungkan karyawan jarak jauh (sangat diuji oleh pandemi), bahkan pengujian penetrasi dan pengujian tanpa kompromi yang berkelanjutan dilakukan dua kali setahun - terakhir bulan lalu.
Sebuah perlindungan yang mencakup semua tujuh tingkat model referensi ISO / OSI untuk interkoneksi dan komunikasi antara sistem heterogen: fisik, data-link, jaringan, transportasi, sesi, presentasi dan aplikasi.
Semua!
Kecuali satu kelemahan kecil tapi penting di level 8: Dave.
