Tietoturvan ihmiselementti : sosiaalinen manipulointi

Abstract

Tämän tutkielman aiheena on sosiaalinen manipulointi, tietoturvan ihmiselementti ja sen huomioon ottaminen ja hyökkäysten ehkäiseminen yrityksen tai organisaation tietoturvassa. Sosiaalisella manipuloinnilla tarkoitetaan tutkielman kontekstissa tietojärjestelmän käyttäjiin kohdistuvaa manipulointia, jonka tavoitteena on informaation keruu tai tietojärjestelmään murtautuminen. Aihetta on tärkeää tutkia, sillä useat tietoturva-asiantuntijat ovat yhtä mieltä siitä, että merkittävin tietojärjestelmän tietoturvauhka on sen käyttäjät ja heidän tietoturvallisuuden näkökulmasta tekemät inhimilliset erehdykset. Sosiaalinen manipulointi kohdistuu juuri tähän tietoturvan heikkouteen. Tutkielman tuloksena on, että sosiaalinen manipulointi on tehokas strategia hyökkääjälle käyttäjien tietoisuuden puutteen ja käyttäytymisen ennalta-arvattavuuden johdosta. Sosiaalista manipulointia voidaan käyttää muun muassa kalastelusähköposteissa, puhelimitse tai kasvokkain tapahtuvassa keskustelussa. Sen torjumiseen auttaa käyttäjien tietoisuuden lisääminen esimerkiksi koulutuksen avulla, tietoturvallisuuden rakentaminen monelle eri kerrokselle ja huolellisesti tehdyt, selkeät tietoturvalinjaukset. Tutkielma on tyypiltään kirjallisuuskatsaus.

Human element of IT-security : social engineering.

The subject of this thesis is Social Engineering, the human element of information security and how it can be taken into account in IT-security strategy and how to prevent against these kinds of attacks. In the context of this study Social Engineering is the act of manipulation of users in order to get information or unauthorized access to information systems. It’s important to study social engineering, because many cyber security professionals agree that users are the weakest link of information systems security. Social engineering targets this weakness. The result of this thesis is that Social Engineering is an effective strategy for the attacker because the lack of user awareness and easily predictable behavior. Social Engineering can be used in the form of phishing emails, via phone or in face to face conversation. User education to make them more aware of the phenomenon, layer based information security and carefully crafted, clear information security policies are all elements to help to prevent Social Engineering. The thesis will be done as a literature review.