Tutti i 100 indicatori / Categoria 1.x: Autorità
Indicatore 1.3
Misura la vulnerabilità agli attaccanti che impersonano dirigenti, supporto IT o altre figure d'autorità per bypassare i controlli di sicurezza
Quando i dipendenti ricevono richieste da apparenti figure d'autorità, spesso si conformano automaticamente senza verifica, creando una vulnerabilità pre-cognitiva che gli attaccanti sfruttano attraverso frodi CEO, false chiamate di supporto IT ed email di impersonificazione di dirigenti.
Gli studi sull'obbedienza di Milgram (1974) - conformità del 65% con autorità percepita. Neurologicamente, la percezione di autorità attiva la corteccia cingolata anteriore e riduce l'attività della corteccia prefrontale, diminuendo il pensiero critico e la valutazione del rischio.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Esistono procedure di verifica scritte e sono seguite costantemente indipendentemente dal livello di autorità apparente. Sono richiesti metodi di verifica multipli. La formazione regolare include scenari di impersonificazione di autorità.
Esistono alcune procedure di verifica ma applicate in modo incoerente. Si utilizza un singolo metodo di verifica. Esiste formazione di base ma non copre specificamente l'impersonificazione di autorità.
Non esistono procedure formali di verifica per richieste d'autorità. I dipendenti sono tenuti a conformarsi immediatamente con richieste di dirigenti o IT. Forte aspettativa culturale di non mettere in discussione le figure d'autorità.
Richiedere tutte le richieste sensibili da figure d'autorità siano verificate tramite canale di comunicazione separato
Se richiesta email → verificare per telefono usando numeri conosciuti; se richiesta telefonica → verificare per email
Implementare strumenti di verifica identità per richieste ad alto rischio
Database di verifica richiamata con numeri telefonici confermati, canali di comunicazione sicuri per dirigenti, MFA per richieste d'autorità che bypassano procedure normali
Stabilire team di risposta crisi preautorizzati con chiare procedure di autenticazione
Roster risposta incidenti preautorizzato, metodi di contatto verificati per fornitori legittimi, policy esplicite che la verifica rimane richiesta durante emergenze
Implementare simulazioni gioco di ruolo dove i dipendenti praticano la verifica di apparenti figure d'autorità
Insegnare script di verifica specifici che sembrano rispettosi piuttosto che insubordinati, creare cultura organizzativa che celebra la verifica di sicurezza appropriata
Creare flussi di lavoro formali di approvazione per qualsiasi eccezione di sicurezza
Richiedere giustificazione aziendale documentata e revisione sicurezza per override dirigenziali, implementare logging/monitoraggio di tutte le richieste di eccezione con revisione regolare
Sviluppare policy organizzative esplicite che proteggono i dipendenti che verificano l'autorità
Creare programmi di riconoscimento positivo per comportamenti appropriati di verifica sicurezza, formare i leader a modellare e incoraggiare la verifica piuttosto che vederla come mettere in discussione l'autorità