Kevin Mitnick - A Arte de Enganar

226 A Arte de Enganar
Explicação/Observações: Apenas o pessoal autorizado terá permissão de acesso aos gabinetes,
salas ou armários de telefones. Todo o pessoal da manutenção externa ou o pessoal do fabricante
deve ser identificado de forma positiva usando os procedimentos publicados pelo departamento
responsável pela segurança das informações. O acesso às linhas telefônicas, aos hubs de rede, chaves,
PBX, bridges ou outro equipamento relacionado pode ser usado por um atacante para comprometer a
segurança dos computadores e da rede.
4-9 Caixas de correio entre empresas
Política:
ao público.
As caixas de correio entre empresas não devem estar localizadas nas áreas acessíveis
Explicação/Observações: Os espiões industriais ou os intrusos de computador que têm acesso
aos pontos de coleta de correspondência entre as empresas podem facilmente enviar cartas de autorização
ou formulários internos falsos que autorizam o pessoal a liberar as informações Confidenciais ou
a executar uma ação que auxilie o atacante. Além disso, o atacante pode enviar um disquete ou mídia
eletrônica com instruções para a instalação de uma atualização de software ou pode abrir um arquivo
que tenha comandos de macro incorporados, que servem aos objetivos do intruso. Naturalmente, quem
recebe supõe que toda solicitação enviada pelo correio entre empresas seja autêntica.
4-10 O quadro de avisos da empresa
Política: Para beneficio dos funcionários da empresa, os quadros de aviso não devem estar
localizados nas dependências às quais o público tenha acesso.
Explicação/Observações: Muitas empresas têm quadros de aviso nos quais as informações
particulares da empresa ou do pessoal são publicadas para que todos possam ler. Os avisos do
empregados, as listas de empregados, os memorandos internos, os números de contato residencial
dos empregados relacionados nos anúncios e outras informações semelhantes freqüentemente são
colocadas no quadro.
Os quadros de avisos podem estar localizados próximo aos refeitórios da empresa ou perto das
áreas de fumantes ou de descanso às quais os visitantes têm livre acesso. Esse tipo de informação não
deve ser disponibilizado para os visitantes ou o público.
4-11 Entrada no centro de computadores
Política: A sala de computadores ou o centro de dados devem estar sempre trancados e o pessoal
deve autenticar a sua identidade antes de entrar.
Explicação/Observações: A segurança corporativa deve levar em conta o emprego de um
crachá eletrônico ou um leitor de cartão de acesso para que todas as entradas possam ser registradas
e auditadas eletronicamente.
4-12 Contas de clientes com provedores de serviços
Política: O pessoal da empresa que fez pedidos de serviços para fornecedores de serviços críticos
para a empresa deve configurar uma senha de conta para evitar que as pessoas não autorizadas
façam pedidos em nome da empresa.