42、企业社交工程意识与培训计划全解析

企业社交工程意识与培训计划全解析

1. 培训基础内容拓展

在企业安全培训中，仅用老套故事解释罪犯可能的作案方式，只涵盖基础知识，难以让员工形成足够的安全意识来开展有效培训。因此，有必要拓展这些通用主题，至少纳入基本的常见社交工程技术。以下是一些可考虑纳入的主题：
- 社交工程方法
- 尾随进入与身份查验
- 窥视他人屏幕与隐私问题
- 针对性钓鱼技术与垃圾邮件
- 电话信息诱导技术
- 利用公开信息
- 现实世界中的社交工程案例

这个阶段是在为意识和培训计划奠定基础，要为员工提供他们可能需要的所有通用安全信息和最佳实践建议。接下来，就是在最需要的关键领域提供实际培训。

2. 基础培训

对于社交工程培训而言，实践工作坊在培养员工防御技能方面具有不可估量的价值。员工可以通过工作坊探索、测试并深入了解各种安全问题。当他们了解攻击是如何实施的，就能在不同情境下察觉此类攻击的企图。

例如，识别普通钓鱼邮件相对容易，因为这些邮件往往英语使用不佳，且围绕常见主题，如银行账户锁定或一次性赚钱计划。然而，识别针对性钓鱼邮件则不那么容易，特别是当这些邮件经过精心设计且目标明确时。因此，培训员工了解这些攻击的工作原理，比仅仅提供识别常见示例的一般提示更为有效。

以下是一些典型工作坊活动示例：
- 密码重置程序分析 ：公司正在考虑以下四种密码重置程序，分析这些程序的弱点以及社交工程师如何利用它们，并以小组形式进行头脑风暴和探索可能性。
1. 要重置密码，需致电帮助台并提供用户名。
2. 帮助台要求部门经理