Tutti i 100 indicatori / Categoria 3.x: Influenza sociale
Indicatore 3.1
Misura la vulnerabilità agli attaccanti che sfruttano l'obbligo reciproco attraverso regali, favori o benefici per manipolare la conformità alla sicurezza
Principio di reciprocità di Cialdini (2007) - Tendenza umana universale a ricambiare i favori. Neurologicamente, ricevere regali attiva lo striatum ventrale e crea una pressione di obbligo misurabile. Gli studi fMRI mostrano un'attivazione pre-cognitiva prima della consapevolezza cosciente, rendendo questa vulnerabilità particolarmente insidiosa.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Policy formali su regali e favori con periodi di riflessione obbligatori di 48 ore. Dipendenti formati per riconoscere lo sfruttamento della reciprocità. Esistono canali alternativi per relazioni commerciali reciproche legittime. Tracciamento sistematico di favori e regali.
Esistono policy di base sui regali ma nessuna gestione sistematica della reciprocità. Formazione di sensibilizzazione ma nessun riconoscimento specifico della reciprocità. Applicazione incoerente dei protocolli di ritardo. Tracciamento limitato delle relazioni con i fornitori.
Nessuna policy formale che regola regali e favori. Forte aspettativa culturale di ricambiare immediatamente. Scambio di regali normalizzato nelle relazioni con i fornitori. Nessuna formazione sullo sfruttamento della reciprocità. Eccezioni di sicurezza routinariamente concesse dopo favori.
Programma di formazione completo sulla psicologia della reciprocità, attivazione dell'obbligo pre-cognitivo e riconoscimento delle tattiche di social engineering quid pro quo
Moduli di formazione trimestrali che coprono il principio di reciprocità di Cialdini, base neurologica (attivazione dello striatum ventrale), vettori di attacco quid pro quo, consapevolezza degli attacchi USB drop, scenari di regali dei fornitori. Include esercizi pratici e simulazioni.
Applicazione tecnica del periodo di attesa obbligatorio di 48 ore tra la ricezione di regali/favori e le decisioni di sicurezza che riguardano quella parte
Sistema di correlazione automatizzato che collega il registro regali ai sistemi di approvazione delle richieste di accesso/eccezioni. Il blocco tecnico impedisce l'approvazione entro 48 ore a meno che l'autorità di override indipendente non approvi. Avvisi generati per pattern favore-decisione.
Sistema centralizzato per tracciare, divulgare e gestire tutti i regali, favori, intrattenimento e benefici dei fornitori
Implementare piattaforma di registro regali con app mobile per divulgazione immediata, tracciamento del valore monetario, flussi di lavoro di approvazione per articoli sopra la soglia, calcoli dello squilibrio della reciprocità (formula R_i), avvisi automatizzati per pattern inusuali.
Implementare salvaguardie tecniche contro i vettori di attacco quid pro quo comuni inclusi attacchi USB drop e assistenza tecnica non richiesta
Controlli delle porte USB con policy di sola whitelist, rilevamento endpoint per dispositivi USB non autorizzati, filtraggio email per pattern di linguaggio quid pro quo, database di verifica dei contatti dei fornitori, sistema di validazione delle richieste di supporto tecnico.
Stabilire canali legittimi per costruire relazioni con i fornitori senza creare obblighi che compromettono la sicurezza
Programmi formali di riconoscimento dei fornitori, premi annuali, sistemi di riconoscimento pubblico, gestione delle relazioni contrattuali, alternative di reciprocità professionale che non coinvolgono obblighi individuali o decisioni di sicurezza.
Procedure chiare per i dipendenti per segnalare ed escalare tentativi di social engineering basati sulla reciprocità o scenari di obbligo scomodi
Portale di segnalazione anonimo per tentativi quid pro quo, procedure chiare di escalation per la pressione della reciprocità, policy di protezione per i dipendenti che rifiutano favori o segnalano incidenti, tracciamento degli incidenti con flag di correlazione della reciprocità.