மனித ஃபயர்வாள்: சமூகப் பொறியியல் பாதுகாப்பு சோதனை பற்றிய ஒரு ஆழமான பார்வை

இணையப் பாதுகாப்பின் உலகில், நாங்கள் டிஜிட்டல் கோட்டைகளைக் கட்டியுள்ளோம். எங்களிடம் ஃபயர்வாள்கள், ஊடுருவல் கண்டறிதல் அமைப்புகள் மற்றும் மேம்பட்ட இறுதிப் புள்ளி பாதுகாப்பு ஆகியவை உள்ளன, இவை அனைத்தும் தொழில்நுட்ப தாக்குதல்களை விரட்ட வடிவமைக்கப்பட்டுள்ளன. இருப்பினும், அதிர்ச்சியூட்டும் எண்ணிக்கையிலான பாதுகாப்பு மீறல்கள் ஒரு கொடூரமான தாக்குதல் அல்லது ஜீரோ-டே சுரண்டலுடன் தொடங்குவதில்லை. அவை ஒரு எளிய, ஏமாற்றும் மின்னஞ்சல், ஒரு உறுதியான தொலைபேசி அழைப்பு அல்லது ஒரு நட்பு தோற்றமுடைய செய்தியுடன் தொடங்குகின்றன. அவை சமூகப் பொறியியலுடன் தொடங்குகின்றன.

சைபர் குற்றவாளிகள் ஒரு அடிப்படை உண்மையை நீண்ட காலமாக புரிந்து கொண்டுள்ளனர்: பாதுகாப்பான அமைப்பிற்குள் நுழைவதற்கான எளிதான வழி ஒரு சிக்கலான தொழில்நுட்ப குறைபாடு அல்ல, ஆனால் அதைப் பயன்படுத்தும் நபர்கள் மூலம். மனித உறுப்பு, அதன் உள்ளார்ந்த நம்பிக்கை, ஆர்வம் மற்றும் உதவியாக இருக்க வேண்டும் என்ற விருப்பம், எந்த பாதுகாப்பு சங்கிலியிலும் பலவீனமான இணைப்பு இருக்கும். இந்த மனிதக் காரணியைப் புரிந்துகொள்வதும், சோதனை செய்வதும் இனி விருப்பமானதல்ல - இது எந்தவொரு வலுவான, நவீன பாதுகாப்பு மூலோபாயத்தின் முக்கியமான அங்கமாகும்.

இந்த விரிவான வழிகாட்டி மனித காரணி பாதுகாப்பு சோதனை உலகத்தை ஆராயும். நாங்கள் கோட்பாட்டிற்கு அப்பால் சென்று, உங்கள் நிறுவனத்தின் மிகவும் மதிப்புமிக்க சொத்து மற்றும் பாதுகாப்பின் கடைசி வரிசையை மதிப்பிடுவதற்கும் வலுப்படுத்துவதற்கும் ஒரு நடைமுறை கட்டமைப்பை வழங்குவோம்: உங்கள் மக்கள்.

சமூகப் பொறியியல் என்றால் என்ன? ஹாலிவுட் விளம்பரத்திற்கு அப்பாற்பட்டது

ஒரு அமைப்பிற்குள் நுழைய குறியீட்டை வெறித்தனமாக டைப் செய்யும் ஹேக்கர்களின் சினிமா சித்தரிப்பை மறந்து விடுங்கள். உண்மையான சமூகப் பொறியியல் என்பது தொழில்நுட்ப மாயஜாலத்தை விட உளவியல் கையாளுதல் ஆகும். அதன் மையத்தில், சமூகப் பொறியியல் என்பது தனிநபர்களை ரகசிய தகவல்களை வெளிப்படுத்த அல்லது பாதுகாப்பை சமரசம் செய்யும் செயல்களைச் செய்ய ஏமாற்றுவதற்கான கலை. தாக்குதல்தாரர்கள் அடிப்படை மனித உளவியலை சுரண்டுகிறார்கள்-நம்பிக்கை, அதிகாரத்திற்கு பதிலளித்தல் மற்றும் அவசரத்திற்கு எதிர்வினையாற்றும் எங்கள் போக்குகள்-தொழில்நுட்ப பாதுகாப்புகளைத் தவிர்க்க.

இந்த தாக்குதல்கள் பயனுள்ளதாக இருக்கும், ஏனெனில் அவை இயந்திரங்களை குறிவைப்பதில்லை; அவை உணர்ச்சிகள் மற்றும் அறிவாற்றல் சார்புகளை குறிவைக்கின்றன. ஒரு தாக்குதல்தாரர் அவசர உணர்வை உருவாக்க ஒரு மூத்த நிர்வாகியாக ஆள்மாறாட்டம் செய்யலாம் அல்லது உதவியாக இருக்க ஒரு ஐ.டி ஆதரவு தொழில்நுட்ப வல்லுநராக காட்டிக்கொள்ளலாம். அவர்கள் நல்லுறவை உருவாக்கி, நம்பகமான சூழலை (ஒரு சாக்குப்போக்கு) உருவாக்கி, பின்னர் அவர்களின் கோரிக்கையை வைக்கிறார்கள். கோரிக்கை நியாயமானதாகத் தெரிவதால், இலக்கு பெரும்பாலும் இரண்டாவது சிந்தனையின்றி இணங்குகிறது.

தாக்குதலின் முக்கிய திசையன்கள்

சமூகப் பொறியியல் தாக்குதல்கள் பல வடிவங்களில் வருகின்றன, பெரும்பாலும் ஒன்றிணைந்து வருகின்றன. மிகவும் பொதுவான திசையன்களைப் புரிந்துகொள்வது பாதுகாப்பைக் கட்டியெழுப்புவதில் முதல் படியாகும்.

• ஃபிஷிங்: சமூகப் பொறியியலின் மிகவும் பரவலான வடிவம். இவை ஒரு வங்கி, நன்கு அறியப்பட்ட மென்பொருள் விற்பனையாளர் அல்லது ஒரு சக ஊழியர் போன்ற ஒரு சட்டபூர்வமான மூலத்திலிருந்து வந்தவை போல் தோற்றமளிக்கும் வகையில் வடிவமைக்கப்பட்ட மோசடியான மின்னஞ்சல்கள். ஒரு தீங்கிழைக்கும் இணைப்பைக் கிளிக் செய்வதன் மூலமோ, பாதிக்கப்பட்ட இணைப்பை பதிவிறக்குவதன் மூலமோ அல்லது போலி உள்நுழைவு பக்கத்தில் தங்கள் சான்றுகளை உள்ளிடுவதன் மூலமோ பெறுநரை ஏமாற்றுவதே இதன் குறிக்கோள். ஸ்பியர் ஃபிஷிங் என்பது பெறுநரைப் பற்றிய தனிப்பட்ட தகவல்களைப் (சமூக ஊடகங்கள் அல்லது பிற ஆதாரங்களிலிருந்து சேகரிக்கப்பட்டது) மின்னஞ்சலை நம்பமுடியாத அளவிற்கு நம்பவைக்கும் ஒரு மிகவும் இலக்கு வைக்கப்பட்ட பதிப்பாகும்.
• விஷிங் (வாய் ஃபிஷிங்): இது தொலைபேசியில் நடத்தப்படும் ஃபிஷிங் ஆகும். தாக்குதல்தாரர்கள் தங்கள் அழைப்பாளர் ஐடியை ஸ்பூஃப் செய்ய IP (VoIP) தொழில்நுட்பத்தின் மூலம் குரலைப் பயன்படுத்தலாம், இது நம்பகமான எண்ணிலிருந்து அழைப்பது போல் தோன்றும். அவர்கள் கணக்கு விவரங்களை "சரிபார்க்க" கேட்கும் ஒரு நிதி நிறுவன பிரதிநிதியாகவோ அல்லது இல்லாத கணினி சிக்கலை சரிசெய்யும் தொழில்நுட்ப ஆதரவு முகவராகவோ காட்டிக்கொள்ளலாம். மனிதக் குரல் அதிகாரம் மற்றும் அவசரத்தை மிகவும் திறம்பட தெரிவிக்க முடியும், இது விஷிங்கை ஒரு சக்திவாய்ந்த அச்சுறுத்தலாக ஆக்குகிறது.
• ஸ்மிஷிங் (எஸ்எம்எஸ் ஃபிஷிங்): தகவல்தொடர்பு மொபைல் சாதனங்களுக்கு மாறுவதால், தாக்குதல்களும் அவ்வாறே. ஸ்மிஷிங் ஒரு இணைப்பைக் கிளிக் செய்ய அல்லது எண்ணை அழைக்க பயனரைத் தூண்டும் மோசடியான குறுஞ்செய்திகளை அனுப்புவதை உள்ளடக்குகிறது. பொதுவான ஸ்மிஷிங் சாக்குப்போக்குகளில் போலி பேக்கேஜ் டெலிவரி அறிவிப்புகள், வங்கி மோசடி விழிப்பூட்டல்கள் அல்லது இலவச பரிசுகளுக்கான சலுகைகள் ஆகியவை அடங்கும்.
• சாக்குப்போக்கு சொல்லுதல்: இது பல தாக்குதல்களின் அடிப்படை உறுப்பு. சாக்குப்போக்கு என்பது ஒரு இலக்கை ஈடுபடுத்துவதற்கு ஒரு கண்டுபிடிக்கப்பட்ட சூழ்நிலையை (சாக்குப்போக்கு) உருவாக்குதல் மற்றும் பயன்படுத்துவதை உள்ளடக்கியது. ஒரு தாக்குதல்தாரர் ஒரு நிறுவனத்தின் நிறுவன விளக்கப்படத்தை ஆராய்ச்சி செய்யலாம், பின்னர் ஒரு ஊழியரை ஐ.டி துறையில் இருந்து யாரோ ஒருவராக அழைத்து, கடவுச்சொல் மீட்டமைப்பு அல்லது தொலைநிலை அணுகலுக்காக கேட்பதற்கு முன்பு சரியான பெயர்கள் மற்றும் சொற்களஞ்சியத்தைப் பயன்படுத்தி நம்பகத்தன்மையை உருவாக்கலாம்.
• தூண்டில்: இந்த தாக்குதல் மனித ஆர்வத்தில் விளையாடுகிறது. அலுவலகத்தின் பொது பகுதியில் மால்வேர் பாதிக்கப்பட்ட யூ.எஸ்.பி டிரைவை விட்டுவிடுவது கிளாசிக் எடுத்துக்காட்டு, "நிர்வாக சம்பளங்கள்" அல்லது "ரகசிய Q4 திட்டங்கள்" போன்ற கவர்ச்சிகரமான ஒன்றை லேபிளிடுகிறது. அதைக் கண்டுபிடித்து ஆர்வத்துடன் தங்கள் கணினியில் செருகும் ஒரு ஊழியர் தற்செயலாக மால்வேரை நிறுவுகிறார்.
• டெய்ல்கேட்டிங் (அல்லது பிக்கிபேக்கிங்): உடல் சமூகப் பொறியியல் தாக்குதல். முறையான அங்கீகாரம் இல்லாமல் ஒரு தாக்குதல்தாரர் அங்கீகரிக்கப்பட்ட ஊழியரை ஒரு கட்டுப்படுத்தப்பட்ட பகுதிக்குள் பின்தொடர்கிறார். அவர்கள் கனமான பெட்டிகளை எடுத்துச் சென்று ஊழியரை கதவை திறக்கச் சொல்வதன் மூலமோ அல்லது அவர்கள் பின்னால் நம்பிக்கையுடன் நடந்து செல்வதன் மூலமோ இதை அடையலாம்.

பாரம்பரிய பாதுகாப்பு ஏன் போதுமானதாக இல்லை: மனித காரணி

நிறுவனங்கள் தொழில்நுட்ப பாதுகாப்பு கட்டுப்பாடுகளில் மிகப்பெரிய வளங்களை முதலீடு செய்கின்றன. இன்றியமையாததாக இருந்தாலும், இந்தக் கட்டுப்பாடுகள் ஒரு அடிப்படை அனுமானத்தின் மீது செயல்படுகின்றன: "நம்பகமான" மற்றும் "நம்பத்தகாத" இடையிலான சுற்றளவு தெளிவாக உள்ளது. சமூகப் பொறியியல் இந்த அனுமானத்தை உடைக்கிறது. ஒரு ஊழியர் தாங்களாகவே ஃபிஷிங் தளத்தில் தங்கள் சான்றுகளை உள்ளிடும்போது, அவர்கள் அடிப்படையில் தாக்குபவருக்கு பிரதான வாயிலை திறக்கிறார்கள். உலகின் சிறந்த ஃபயர்வாள் பயனற்றதாகிவிடும், அச்சுறுத்தல் ஏற்கனவே உள்ளே இருந்தால், சட்டபூர்வமான சான்றுகளுடன் அங்கீகரிக்கப்பட்டால்.

உங்கள் பாதுகாப்பு நிரலை ஒரு கோட்டையைச் சுற்றியுள்ள தொடர்ச்சியான சுவர்களாகக் கருதுங்கள். ஃபயர்வாள்கள் வெளிப்புற சுவர், வைரஸ் தடுப்பு உள் சுவர், ஒவ்வொரு கதவிலும் அணுகல் கட்டுப்பாடுகள் காவலர்கள். ஆனால் ஒரு நம்பகமான அரசவை அதிகாரி ராஜ்யத்தின் சாவியை வெறுமனே ஒப்படைக்க தாக்குதல்தாரர் நம்பினால் என்ன நடக்கும்? தாக்குதல்தாரர் எந்த சுவர்களையும் உடைக்கவில்லை; அவர்கள் உள்ளே அழைக்கப்பட்டுள்ளனர். இதனால்தான் "மனித ஃபயர்வாள்" என்ற கருத்து மிகவும் முக்கியமானது. உங்கள் ஊழியர்கள் பயிற்சி பெற்றவர்களாகவும், பொருத்தப்பட்டவர்களாகவும், தொழில்நுட்பம் தவறவிடக்கூடிய தாக்குதல்களைக் கண்டுபிடித்து புகாரளிக்கக்கூடிய உணர்வுள்ள, அறிவார்ந்த பாதுகாப்பு அடுக்காக செயல்பட அதிகாரம் பெற்றவர்களாகவும் இருக்க வேண்டும்.

மனித காரணி பாதுகாப்பு அறிமுகம்: பலவீனமான இணைப்பை ஆராய்தல்

உங்கள் ஊழியர்கள் உங்கள் மனித ஃபயர்வாளாக இருந்தால், அது செயல்படுகிறது என்று நீங்கள் கருத முடியாது. நீங்கள் அதைச் சோதிக்க வேண்டும். மனித காரணி பாதுகாப்பு சோதனை (அல்லது சமூகப் பொறியியல் ஊடுருவல் சோதனை) என்பது ஒரு அமைப்பின் பின்னடைவை அளவிடுவதற்காக ஒரு அமைப்புக்கு எதிராக சமூகப் பொறியியல் தாக்குதல்களை உருவகப்படுத்தும் ஒரு கட்டுப்படுத்தப்பட்ட, நெறிமுறை மற்றும் அங்கீகரிக்கப்பட்ட செயல்முறையாகும்.

முதன்மை குறிக்கோள் ஊழியர்களை ஏமாற்றி அவமானப்படுத்துவது அல்ல. அதற்கு பதிலாக, இது ஒரு நோயறிதல் கருவியாகும். இந்த தாக்குதல்களுக்கு அமைப்பின் பாதிக்கப்படக்கூடிய தன்மையின் ஒரு நிஜ உலக அடிப்படை இது வழங்குகிறது. உண்மையான பலவீனங்கள் எங்கு உள்ளன, அவற்றை எவ்வாறு சரிசெய்வது என்பதைப் புரிந்துகொள்வதற்கு சேகரிக்கப்பட்ட தரவு விலைமதிப்பற்றது. இது முக்கியமான கேள்விகளுக்கு பதிலளிக்கிறது: எங்கள் பாதுகாப்பு விழிப்புணர்வு பயிற்சி திட்டங்கள் பயனுள்ளதா? ஒரு சந்தேகத்திற்கிடமான மின்னஞ்சலைப் புகாரளிக்க ஊழியர்களுக்குத் தெரியுமா? எந்தத் துறைகள் அதிக ஆபத்தில் உள்ளன? எங்கள் சம்பவ பதில் குழு எவ்வளவு விரைவாக பதிலளிக்கிறது?

சமூக பொறியியல் சோதனையின் முக்கிய குறிக்கோள்கள்

• விழிப்புணர்வை மதிப்பிடுங்கள்: தீங்கிழைக்கும் இணைப்புகளைக் கிளிக் செய்யும், சான்றுகளைச் சமர்ப்பிக்கும் அல்லது உருவகப்படுத்தப்பட்ட தாக்குதல்களுக்கு ஆளாகும் ஊழியர்களின் சதவீதத்தை அளவிடவும்.
• பயிற்சி செயல்திறனை சரிபார்க்கவும்: பாதுகாப்பு விழிப்புணர்வு பயிற்சி உண்மையான உலக நடத்தை மாற்றமாக மொழிபெயர்க்கப்பட்டுள்ளதா என்பதைத் தீர்மானிக்கவும். ஒரு பயிற்சி பிரச்சாரத்திற்கு முன்னும் பின்னும் நடத்தப்பட்ட சோதனை அதன் தாக்கத்தின் தெளிவான அளவீடுகளை வழங்குகிறது.
• பாதிப்புகளை அடையாளம் காணவும்: இலக்கு சார்ந்த தீர்வு முயற்சிகளை அனுமதிக்கும் குறிப்பிட்ட துறைகள், பாத்திரங்கள் அல்லது புவியியல் இருப்பிடங்களைக் கண்டறியவும்.
• சம்பவ பதிலைத் சோதிக்கவும்: மிக முக்கியமாக, உருவகப்படுத்தப்பட்ட தாக்குதலை எத்தனை ஊழியர்கள் புகாரளிக்கிறார்கள் மற்றும் பாதுகாப்பு/ஐ.டி குழு எவ்வாறு பதிலளிக்கிறது என்பதை அளவிடவும். அதிக அறிக்கை விகிதம் ஒரு ஆரோக்கியமான பாதுகாப்பு கலாச்சாரத்தின் அறிகுறியாகும்.
• கலாச்சார மாற்றத்தை இயக்கவும்: பாதுகாப்புப் பயிற்சியில் மேலும் முதலீட்டை நியாயப்படுத்த (பெயரில்லா) முடிவுகளைப் பயன்படுத்தவும், மேலும் பாதுகாப்பு உணர்வின் அமைப்பு முழுவதும் கலாச்சாரத்தை வளர்க்கவும்.

சமூகப் பொறியியல் சோதனை வாழ்க்கைச் சுழற்சி: படிப்படியான வழிகாட்டி

ஒரு வெற்றிகரமான சமூகப் பொறியியல் ஈடுபாடு என்பது ஒரு கட்டமைக்கப்பட்ட திட்டமாகும், இது தற்காலிக செயல்பாடு அல்ல. பயனுள்ளதாகவும் நெறிமுறை ரீதியாகவும் இருக்க கவனமாக திட்டமிடல், செயல்படுத்தல் மற்றும் பின்தொடர்தல் தேவை. வாழ்க்கைச் சுழற்சியை ஐந்து தனித்துவமான கட்டங்களாகப் பிரிக்கலாம்.

கட்டம் 1: திட்டமிடல் மற்றும் நோக்கம் (திட்டம்)

இது மிக முக்கியமான கட்டமாகும். தெளிவான இலக்குகள் மற்றும் விதிகள் இல்லாமல், ஒரு சோதனை நல்லதை விட அதிக தீங்கு விளைவிக்கும். முக்கிய நடவடிக்கைகள் பின்வருமாறு:

• குறிக்கோள்களை வரையறுத்தல்: நீங்கள் என்ன கற்றுக்கொள்ள விரும்புகிறீர்கள்? சான்றுகளை சமரசம் செய்தல், தீம்பொருள் செயலாக்கம் அல்லது உடல் அணுகலை நீங்கள் சோதிக்கிறீர்களா? வெற்றி அளவீடுகள் முன்பே வரையறுக்கப்பட வேண்டும். எடுத்துக்காட்டுகளில் கிளிக் விகிதம், சான்றுகளை சமர்ப்பிக்கும் விகிதம் மற்றும் மிக முக்கியமான அறிக்கை விகிதம் ஆகியவை அடங்கும்.
• இலக்கை அடையாளம் காணுதல்: சோதனை முழு அமைப்பையும், ஒரு குறிப்பிட்ட அதிக ஆபத்துள்ள துறையை (நிதி அல்லது மனிதவளம் போன்றவை) அல்லது மூத்த நிர்வாகிகளை குறிவைக்குமா ("வேட்டையாடுதல்" தாக்குதல்)?
• ஈடுபாட்டின் விதிகளை நிறுவுதல்: இது எவை உள்ளேயும் எவை வெளியேயும் உள்ளன என்பதை கோடிட்டுக் காட்டும் ஒரு முறையான ஒப்பந்தமாகும். இது பயன்படுத்தப்பட வேண்டிய தாக்குதல் திசையன்களைக் குறிப்பிடுகிறது, சோதனையின் காலம் மற்றும் முக்கியமான "தீங்கு விளைவிக்காத" விதிமுறைகள் (எ.கா., உண்மையான தீம்பொருள் எதுவும் பயன்படுத்தப்படாது, எந்த அமைப்புகளும் சீர்குலைக்கப்படாது). முக்கியமான தரவு கைப்பற்றப்பட்டால் அது விரிவாக்க பாதையையும் வரையறுக்கிறது.
• அங்கீகாரம் பெறுதல்: மூத்த தலைமை அல்லது பொருத்தமான நிர்வாக ஸ்பான்சரிலிருந்து எழுதப்பட்ட அங்கீகாரம் பேச்சுவார்த்தைக்குட்பட்டது அல்ல. வெளிப்படையான அனுமதி இல்லாமல் ஒரு சமூகப் பொறியியல் சோதனையை நடத்துவது சட்டவிரோதமானது மற்றும் நெறிமுறையற்றது.

கட்டம் 2: உளவு பார்த்தல் (தகவல் சேகரிப்பு)

தாக்குதலைத் தொடங்குவதற்கு முன், உண்மையான தாக்குதல்தாரர் புலனாய்வு தகவல்களைச் சேகரிக்கிறார். ஒரு நெறிமுறை சோதனையாளர் அதையே செய்கிறார். இந்த கட்டத்தில் நிறுவனம் மற்றும் அதன் ஊழியர்களைப் பற்றிய பொதுவில் கிடைக்கும் தகவல்களைக் கண்டறிய திறந்த மூல புலனாய்வு (OSINT) பயன்படுத்துவதை உள்ளடக்கியது. இந்த தகவல் நம்பகமான மற்றும் இலக்கு தாக்குதல் காட்சிகளை உருவாக்க பயன்படுத்தப்படுகிறது.

• ஆதாரங்கள்: நிறுவனத்தின் சொந்த வலைத்தளம் (ஊழியர் அடைவுகள், செய்தி வெளியீடுகள்), LinkedIn போன்ற தொழில்முறை நெட்வொர்க்கிங் தளங்கள் (வேலை தலைப்புகள், பொறுப்புகள் மற்றும் தொழில்முறை இணைப்புகளை வெளிப்படுத்துதல்), சமூக ஊடகங்கள் மற்றும் தொழில் செய்திகள்.
• குறிக்கோள்: அமைப்பின் கட்டமைப்பைப் பற்றிய ஒரு படத்தை உருவாக்க, முக்கிய பணியாளர்களை அடையாளம் காண, அதன் வணிக செயல்முறைகளைப் புரிந்துகொள்ள மற்றும் ஒரு கட்டாய சாக்குப்போக்கை உருவாக்க பயன்படுத்தக்கூடிய விவரங்களைக் கண்டறியவும். உதாரணமாக, ஒரு புதிய கூட்டாண்மை பற்றிய சமீபத்திய செய்தி வெளியீடு, அந்த புதிய கூட்டாளரிடமிருந்து வந்த ஃபிஷிங் மின்னஞ்சலுக்கான அடிப்படையாகப் பயன்படுத்தப்படலாம்.

கட்டம் 3: தாக்குதல் உருவகப்படுத்துதல் (செயல்படுத்துதல்)

திட்டம் நடைமுறையில் மற்றும் புலனாய்வு தகவல்கள் சேகரிக்கப்பட்ட நிலையில், உருவகப்படுத்தப்பட்ட தாக்குதல்கள் தொடங்கப்படுகின்றன. இது கவனமாகவும் தொழில் ரீதியாகவும் செய்யப்பட வேண்டும், எப்போதும் பாதுகாப்பிற்கு முன்னுரிமை அளித்து இடையூறுகளைக் குறைக்கிறது.

• தூண்டில் உருவாக்குதல்: உளவு பார்த்தலின் அடிப்படையில், சோதனையாளர் தாக்குதல் பொருட்களை உருவாக்குகிறார். இது சான்றுகளை அறுவடை செய்யும் வலைப்பக்கத்திற்கான இணைப்புடன் கூடிய ஃபிஷிங் மின்னஞ்சலாக இருக்கலாம், ஒரு விஷிங் அழைப்புக்கான கவனமாக வார்த்தைகளைக் கொண்ட தொலைபேசி ஸ்கிரிப்ட் அல்லது தூண்டில் முயற்சிக்கு பிராண்டட் யூ.எஸ்.பி டிரைவ்.
• பிரச்சாரத்தை தொடங்குதல்: ஒப்புக்கொண்ட அட்டவணையின்படி தாக்குதல்கள் செயல்படுத்தப்படுகின்றன. மின்னஞ்சல் திறப்புகள், கிளிக்குகள் மற்றும் தரவு சமர்ப்பிப்புகள் போன்ற நிகழ்நேர அளவீடுகளைக் கண்காணிக்க சோதனையாளர்கள் கருவிகளைப் பயன்படுத்துவார்கள்.
• கண்காணிப்பு மற்றும் மேலாண்மை: சோதனை முழுவதும், நிச்சயதார்த்த குழு எந்தவொரு எதிர்பாராத விளைவுகளையும் அல்லது ஊழியர் விசாரணைகளையும் கையாள தயாராக இருக்க வேண்டும்.

கட்டம் 4: பகுப்பாய்வு மற்றும் அறிக்கை (சுருக்கம்)

செயலில் உள்ள சோதனை காலம் முடிந்ததும், அர்த்தமுள்ள நுண்ணறிவுகளைப் பிரித்தெடுக்க மூல தரவு தொகுக்கப்பட்டு பகுப்பாய்வு செய்யப்படுகிறது. அறிக்கை என்பது நிச்சயதார்த்தத்தின் முதன்மை டெலிவரி ஆகும், மேலும் இது தெளிவாகவும், சுருக்கமாகவும், ஆக்கபூர்வமாகவும் இருக்க வேண்டும்.

• முக்கிய அளவீடுகள்: அறிக்கை அளவு முடிவுகளை விவரிக்கும் (எ.கா., "பயனர்களில் 25% இணைப்பைக் கிளிக் செய்தனர், 12% சான்றுகளைச் சமர்ப்பித்தனர்"). இருப்பினும், மிக முக்கியமான அளவீடு பெரும்பாலும் அறிக்கை விகிதம். குறைந்த கிளிக் விகிதம் நல்லது, ஆனால் அதிக அறிக்கை விகிதம் இன்னும் சிறந்தது, ஏனெனில் இது பாதுகாப்பு நடவடிக்கையில் ஊழியர்கள் தீவிரமாக பங்கேற்கிறார்கள் என்பதை நிரூபிக்கிறது.
• தரமான பகுப்பாய்வு: அறிக்கை எண்களுக்குப் பின்னால் உள்ள "ஏன்" என்பதையும் விளக்க வேண்டும். எந்த சாக்குப்போக்குகள் மிகவும் பயனுள்ளதாக இருந்தன? பாதிக்கப்பட்ட ஊழியர்களிடையே பொதுவான வடிவங்கள் இருந்தனவா?
• ஆக்கபூர்வமான பரிந்துரைகள்: கவனம் முன்னேற்றத்தில் இருக்க வேண்டும், குற்றத்தில் அல்ல. அறிக்கை தெளிவான, செயல்படக்கூடிய பரிந்துரைகளை வழங்க வேண்டும். இதில் இலக்கு பயிற்சி, கொள்கை புதுப்பிப்புகள் அல்லது தொழில்நுட்ப கட்டுப்பாட்டு மேம்பாடுகளுக்கான பரிந்துரைகள் அடங்கும். ஊழியர் தனியுரிமையைப் பாதுகாக்க கண்டுபிடிப்புகள் எப்போதும் அநாமதேய, ஒருங்கிணைந்த வடிவத்தில் வழங்கப்பட வேண்டும்.

கட்டம் 5: தீர்வு மற்றும் பயிற்சி (வளையத்தை மூடுதல்)

தீர்வு இல்லாத சோதனை ஒரு சுவாரஸ்யமான பயிற்சி மட்டுமே. இந்த இறுதி கட்டத்தில்தான் உண்மையான பாதுகாப்பு மேம்பாடுகள் செய்யப்படுகின்றன.

• உடனடி பின்தொடர்தல்: "சரியான நேரத்தில்" பயிற்சிக்கு ஒரு செயல்முறையை செயல்படுத்தவும். சான்றுகளைச் சமர்ப்பித்த ஊழியர்கள் தானாகவே ஒரு குறுகிய கல்விப் பக்கத்திற்கு திருப்பி விடப்படலாம், இது சோதனையை விளக்குகிறது மற்றும் எதிர்காலத்தில் இதுபோன்ற தாக்குதல்களைக் கண்டுபிடிப்பதற்கான உதவிக்குறிப்புகளை வழங்குகிறது.
• இலக்கு பயிற்சி பிரச்சாரங்கள்: உங்கள் பாதுகாப்பு விழிப்புணர்வு திட்டத்தின் எதிர்காலத்தை வடிவமைக்க சோதனை முடிவுகளைப் பயன்படுத்தவும். விலைப்பட்டியல் மோசடி மின்னஞ்சல்களுக்கு நிதித் துறை குறிப்பாக பாதிக்கப்படக்கூடியதாக இருந்தால், அந்த அச்சுறுத்தலை நிவர்த்தி செய்யும் ஒரு குறிப்பிட்ட பயிற்சி தொகுதியை உருவாக்கவும்.
• கொள்கை மற்றும் செயல்முறை மேம்பாடு: சோதனை உங்கள் செயல்முறைகளில் இடைவெளிகளை வெளிப்படுத்தலாம். உதாரணமாக, ஒரு விஷிங் அழைப்பு வெற்றிகரமாக முக்கியமான வாடிக்கையாளர் தகவல்களைப் பெற்றால், உங்கள் அடையாள சரிபார்ப்பு நடைமுறைகளை நீங்கள் வலுப்படுத்த வேண்டும்.
• அளவிடவும் மற்றும் செய்யவும்: சமூகப் பொறியியல் சோதனை ஒரு முறை நிகழ்வாக இருக்கக்கூடாது. காலப்போக்கில் முன்னேற்றத்தைக் கண்காணிக்கவும், பாதுகாப்பு விழிப்புணர்வு ஒரு முன்னுரிமையாக இருப்பதை உறுதிப்படுத்தவும் வழக்கமான சோதனைகளை (எ.கா., காலாண்டு அல்லது இருவருட) திட்டமிடுங்கள்.

ஒரு மீள்தன்மை கொண்ட பாதுகாப்பு கலாச்சாரத்தை உருவாக்குதல்: ஒரு முறை சோதனைகளுக்கு அப்பாற்பட்டது

சமூகப் பொறியியல் சோதனையின் இறுதி குறிக்கோள், ஒரு நீடித்த, அமைப்பு முழுவதும் பாதுகாப்பு கலாச்சாரத்திற்கு பங்களிப்பதாகும். ஒரு ஒற்றை சோதனை ஒரு ஸ்னாப்ஷாட்டை வழங்க முடியும், ஆனால் ஒரு நிலையான திட்டம் நீடித்த மாற்றத்தை உருவாக்குகிறது. ஒரு வலுவான கலாச்சாரம் பாதுகாப்பை ஊழியர்கள் பின்பற்ற வேண்டிய விதிகளின் பட்டியலிலிருந்து அவர்கள் தீவிரமாக ஏற்றுக்கொள்ளும் ஒரு பகிரப்பட்ட பொறுப்பாக மாற்றுகிறது.

வலுவான மனித ஃபயர்வாளின் தூண்கள்

• தலைமை வாங்குதல்: ஒரு பாதுகாப்பு கலாச்சாரம் மேலிருந்து தொடங்குகிறது. தலைவர்கள் பாதுகாப்பின் முக்கியத்துவத்தை தொடர்ந்து தெரிவிக்கும்போது மற்றும் பாதுகாப்பான நடத்தைகளை மாதிரியாகக் காட்டும்போது, ஊழியர்கள் பின்பற்றுவார்கள். பாதுகாப்பு ஒரு வணிகத்தை இயக்குபவராக வடிவமைக்கப்பட வேண்டும், "இல்லை" என்ற கட்டுப்பாட்டுத் துறை அல்ல.
• தொடர்ச்சியான கல்வி: ஆண்டுதோறும் ஒரு மணிநேர பாதுகாப்பு பயிற்சி விளக்கக்காட்சி இனி பயனுள்ளதாக இல்லை. ஒரு நவீன நிரல் தொடர்ச்சியான, ஈடுபாடு மற்றும் மாறுபட்ட உள்ளடக்கத்தைப் பயன்படுத்துகிறது. இதில் குறுகிய வீடியோ தொகுதிகள், ஊடாடும் வினாடி வினாக்கள், வழக்கமான ஃபிஷிங் உருவகப்படுத்துதல்கள் மற்றும் நிஜ உலக எடுத்துக்காட்டுகளுடன் கூடிய செய்திமடல்கள் ஆகியவை அடங்கும்.
• நேர்மறையான வலுவூட்டல்: தோல்விகளைத் தண்டிப்பதை விட வெற்றிகளைக் கொண்டாடுவதில் கவனம் செலுத்துங்கள். தொடர்ந்து சந்தேகத்திற்கிடமான செயல்பாட்டைப் புகாரளிக்கும் ஊழியர்களை அங்கீகரிக்க ஒரு "பாதுகாப்பு சாம்பியன்ஸ்" நிரலை உருவாக்கவும். குற்றமற்ற அறிக்கை கலாச்சாரத்தை வளர்ப்பது, அவர்கள் தவறு செய்ததாக நினைத்தால் உடனடியாக முன்வர மக்களை ஊக்குவிக்கிறது, இது விரைவான சம்பவ பதிலுக்கு முக்கியமானது.
• தெளிவான மற்றும் எளிய செயல்முறைகள்: ஊழியர்கள் சரியானதைச் செய்ய எளிதாக்குங்கள். உங்கள் மின்னஞ்சல் கிளையண்டில் ஒரு கிளிக் "ஃபிஷிங் அறிக்கை" பொத்தானை செயல்படுத்தவும். எந்தவொரு சந்தேகத்திற்கிடமான செயல்பாட்டையும் புகாரளிக்க அழைக்க அல்லது மின்னஞ்சல் செய்ய தெளிவான, நன்கு விளம்பரப்படுத்தப்பட்ட எண்ணை வழங்கவும். அறிக்கை செயல்முறை சிக்கலானதாக இருந்தால், ஊழியர்கள் அதைப் பயன்படுத்த மாட்டார்கள்.

உலகளாவிய கருத்தாய்வு மற்றும் நெறிமுறை வழிகாட்டுதல்கள்

சர்வதேச நிறுவனங்களுக்கு, சமூகப் பொறியியல் சோதனைகளை நடத்துவதற்கு கூடுதல் உணர்திறன் மற்றும் விழிப்புணர்வு தேவை.

• கலாச்சார நுணுக்கங்கள்: ஒரு கலாச்சாரத்தில் பயனுள்ள தாக்குதல் சாக்குப்போக்கு மற்றொரு கலாச்சாரத்தில் முற்றிலும் பயனற்றதாக அல்லது புண்படுத்தக்கூடியதாக இருக்கலாம். உதாரணமாக, அதிகாரம் மற்றும் படிநிலை தொடர்பான தகவல்தொடர்பு பாணிகள் உலகம் முழுவதும் கணிசமாக வேறுபடுகின்றன. சாக்குப்போக்குகள் யதார்த்தமாகவும் பயனுள்ளதாகவும் இருக்க உள்ளூர்மயமாக்கப்பட்டு கலாச்சார ரீதியாக மாற்றியமைக்கப்பட வேண்டும்.
• சட்ட மற்றும் ஒழுங்குமுறை நிலப்பரப்பு: தரவு தனியுரிமை மற்றும் தொழிலாளர் சட்டங்கள் நாட்டிற்கு நாடு வேறுபடுகின்றன. ஐரோப்பிய ஒன்றியத்தின் பொதுவான தரவு பாதுகாப்பு ஒழுங்குமுறை (GDPR) போன்ற விதிமுறைகள் தனிப்பட்ட தரவை சேகரிப்பதற்கும் செயலாக்குவதற்கும் கடுமையான விதிகளை விதிக்கின்றன. நீங்கள் இயங்கும் ஒவ்வொரு அதிகார வரம்பிலும் உள்ள அனைத்து தொடர்புடைய சட்டங்களுக்கும் எந்த சோதனை நிரலும் இணங்குவதை உறுதிப்படுத்த சட்ட ஆலோசகருடன் கலந்தாலோசிப்பது அவசியம்.
• நெறிமுறை சிவப்பு கோடுகள்: சோதனையின் குறிக்கோள் கற்பிப்பதாகும், மன உளைச்சலை ஏற்படுத்தாது. சோதனையாளர்கள் ஒரு கடுமையான நெறிமுறை குறியீட்டை கடைபிடிக்க வேண்டும். இதன் பொருள் மிகவும் உணர்ச்சிகரமான, கையாளுதல் அல்லது உண்மையான தீங்கு விளைவிக்கக்கூடிய சாக்குப்போக்குகளைத் தவிர்ப்பது. நெறிமுறையற்ற சாக்குப்போக்குகளின் எடுத்துக்காட்டுகளில் குடும்ப உறுப்பினர்களை உள்ளடக்கிய போலி அவசரநிலைகள், வேலை இழப்பு அச்சுறுத்தல்கள் அல்லது இல்லாத நிதி போனஸ் அறிவிப்புகள் ஆகியவை அடங்கும். "பொன்னான விதி" என்பது உங்களை நீங்களே சோதிக்க வசதியாக இல்லாத ஒரு சாக்குப்போக்கை ஒருபோதும் உருவாக்கக்கூடாது.

முடிவு: உங்கள் மக்கள் உங்கள் மிகப்பெரிய சொத்து மற்றும் பாதுகாப்பின் கடைசி வரி

தொழில்நுட்பம் எப்போதும் இணைய பாதுகாப்பின் ஒரு மூலக்கல்லாக இருக்கும், ஆனால் அது ஒருபோதும் முழுமையான தீர்வாக இருக்காது. செயல்முறைகளில் மனிதர்கள் சம்பந்தப்பட்டிருக்கும் வரை, தாக்குதல்தாரர்கள் அவர்களை சுரண்ட முயற்சிப்பார்கள். சமூகப் பொறியியல் என்பது ஒரு தொழில்நுட்ப பிரச்சனை அல்ல; இது ஒரு மனிதப் பிரச்சனை, இதற்கு மனிதனை மையமாகக் கொண்ட தீர்வு தேவை.

முறையான மனித காரணி பாதுகாப்பு சோதனையை ஏற்றுக்கொள்வதன் மூலம், நீங்கள் கதையை மாற்றுகிறீர்கள். உங்கள் ஊழியர்களை கணிக்க முடியாத பொறுப்பாகப் பார்ப்பதை நிறுத்திவிட்டு, அவர்களை ஒரு அறிவார்ந்த, தழுவல் பாதுகாப்பு சென்சார் நெட்வொர்க்காகப் பார்க்கத் தொடங்குகிறீர்கள். சோதனை தரவை வழங்குகிறது, பயிற்சி அறிவை வழங்குகிறது மற்றும் ஒரு நேர்மறையான கலாச்சாரம் உந்துதலை வழங்குகிறது. ஒன்றாக, இந்த கூறுகள் உங்கள் மனித ஃபயர்வாளை உருவாக்குகின்றன - ஒரு மாறும் மற்றும் மீள்தன்மை கொண்ட பாதுகாப்பு, இது உங்கள் நிறுவனத்தை உள்ளிருந்து பாதுகாக்கிறது.

உங்கள் பாதிப்புகளை வெளிப்படுத்த உண்மையான மீறலுக்காக காத்திருக்க வேண்டாம். உங்கள் குழுவை சுறுசுறுப்பாக சோதனை செய்து, பயிற்சி அளித்து அதிகாரம் அளிக்கவும். உங்கள் மனித காரணியை உங்கள் மிகப்பெரிய ஆபத்திலிருந்து உங்கள் மிகப்பெரிய பாதுகாப்பு சொத்தாக மாற்றவும்.