ارزیابی مهندسی اجتماعی

مهاجمان با سوءاستفاده از فوریت، اقتدار، کنجکاوی و تعاملات روزمره می‌کوشند اعتبارنامه به دست آورند، پرداخت را منحرف کنند، اطلاعات بگیرند یا دسترسی ایجاد کنند. کنترل‌های فنی بخشی از ریسک را کاهش می‌دهند؛ اما رویه نامشخص احراز هویت، مسیر گزارش‌دهی ضعیف و رفتار ناهماهنگ کارکنان می‌تواند موفقیت یک سناریوی متقاعدکننده را ممکن سازد.

راو اهداف، کانال‌های مجاز، گروه‌های هدف، موارد استثنا، قواعد نگهداری داده و شرایط توقف را پیش از اجرا مستند می‌کند. سناریوها با مجوز صریح می‌توانند شامل Phishing، Spear Phishing، Smishing، Vishing، فریب مبتنی بر QR Code یا جعل هویت باشند. تدابیر حفاظتی، جمع‌آوری داده حساس را محدود می‌کنند و برای نقش‌های ممتاز یا گروه‌های حساس ملاحظات ویژه در نظر می‌گیرند. تمرکز ارزیابی بر الگوهای رفتاری و عملکرد فرآیندهاست، نه سرزنش افراد.

تحلیل می‌تواند تعامل با پیام، تلاش برای ثبت اطلاعات، نرخ و سرعت گزارش‌دهی و رعایت رویه‌های تأیید یا ارجاع را پوشش دهد. تفکیک نتایج تنها در صورتی انجام می‌شود که اندازه نمونه و الزامات حریم خصوصی تفسیر مسئولانه را ممکن سازند. راو ضعف‌های تکرارشونده رفتاری و فرآیندی را مشخص و اصلاحات آموزشی، فنی و اجرایی هدفمند پیشنهاد می‌کند. نتایج محدود به سناریو، جامعه هدف و زمان اجرا هستند و نباید معیار کامل شایستگی امنیتی یک فرد تلقی شوند.