نقشها و اختیارات
- چه کسی می‌تواند اطلاعات را افشا کند
- چه کسی استثناها را تایید می‌کند
- مواردی که اختیارات مبهم توصیف شده‌اند
- کدام نقشها بار اعتماد بیشتری دارند
بهروزرسانی شده
01 / ارزیابی مجاز مهندسی اجتماعیامنیت شرکت در برخورد درخواست قانع‌کننده با فرایند واقعی سنجیده میشود
Blackfile آزمونهای کنترل‌شده با مجوز کتبی انجام میدهد تا واکنش کارکنان، پیمانکاران و روالهای داخلی به تلاش برای دریافت اطلاعات، تغییر اقدام یا دور زدن روال مقرر را بسنجد.
ترکیب زمینه، اختیارات، کانال ارتباط، کیفیت روال و دسترسی به مسیر امن ارجاع ارزیابی میشود، نه «افراد ضعیف».
آزمون پیش از توافق درباره مجوز کتبی، مشارکتکنندگان، اقدامات ممنوع و شروط توقف فوری آغاز نمی‌شود.
- زمینه نقش
- نوع درخواست
- نشانه اعتماد
- کنترل فرایند
- مسیر ارجاع به سطح بالاتر
- توقف ایمن
02 / شخص و فرایند
بیشتر درخواست‌های خطرناک، باورپذیر به نظر می‌رسند
پیام ممکن است به فوریت، اقتدار مدیر، فرایند آشنا، زمینه تجاری یا کمک به مشتری تکیه کند. حتی متخصص باتجربه ممکن است اشتباه کند اگر روال مبهم، تایید دشوار و مسیر امن ارجاع نامشخص باشد.
بنابراین نتیجه نباید به درصد «اشتباهکنندگان» محدود شود. باید علت ممکن شدن وضعیت و اصلاحی که ریسک تکرار را کاهش میدهد مشخص شود.
هدف آزمون تقویت نظام تصمیم‌گیری است، نه گرفتار کردن یا تنبیه عمومی کارمند.
- زمینه→
درخواست چقدر با وضعیت معمول کاری سازگار است.
- اختیارات→
آیا کارمند اختیار انجام اقدام بدون هماهنگی دارد.
- بررسی→
آیا راه مستقل تایید درخواست وجود دارد.
- ارجاع به سطح بالاتر
آیا مسیر امن توقف و پرس‌وجو شناخته‌شده است.
03 / سناریوها
زمانی که دسترسی اطلاعات علاوه بر فناوری به تصمیم انسانی وابسته است
- 01
شرکت برای معامله آماده میشود
تعداد درخواست‌های بیرونی بیشتر میشود و کارکنان با مشاوران، طرف‌ها و پلتفرم‌های جدید تعامل دارند.
- 02
دستیاران با ماموریت‌های حساس کار می‌کنند
تقویم، مسیرها، اسناد، پرداخت‌ها و ارتباطات شخصی از حلقه کوچکی از کارکنان مورد اعتماد عبور می‌کنند.
- 03
عملیات مالی از طریق ارتباطات تایید میشود
پیامی قانع‌کننده می‌تواند تغییر مشخصات پرداخت، پرداخت فوری یا دستور غیرمعمول را آغاز کند.
- 04
پیمانکاران به فرایندهای داخلی دسترسی دارند
تیم‌های بیرونی در فناوری اطلاعات، امور مالی، استخدام، ارتباطات یا اداره مشارکت می‌کنند و بخشی از حلقه اعتماد می‌شوند.
- 05
ایمیل‌ها یا تماس‌های مشکوک وجود داشته‌اند
باید پایداری واکنش کارکنان و کارکرد مسیر گزارش رخداد بررسی شود.
- 06
شرکت در حال توسعه یا تغییر ساختار است
کارکنان، نقشها و کشورهای جدید میان سیاست رسمی و عمل واقعی شکاف موقت ایجاد می‌کنند.
عامل انسانی / فرایند
درخواست‌های خطرناک باورپذیر به نظر می‌رسند. روال و مسیر ارجاع بیش از هوشیاری فرد اثر دارند.
04 / موضوعات ارزیابی02 03 04 05 06
واکنش کارمند و کل نظام پیرامون تصمیم
کانال‌های ارتباطی
- ایمیل سازمانی
- درخواست‌های صوتی
- پیام‌رسان‌ها
- سرویس‌های داخلی
- ارتباطات با پیمانکاران و مشاوران
نشانه‌های اعتماد
- نام یا سمت آشنا
- فوریت
- ارجاع به مدیر
- آگاهی از زمینه کاری
- لحن و قالب آشنای تماس
رویه‌های کنترلی
- تایید مستقل
- اصل حضور نفر دوم
- تماس مجدد با شماره تماس شناخته‌شده
- تفکیک سطوح دسترسی
- ثبت درخواست غیرمعمول
مسیر ارجاع به سطح بالاتر
- آیا کارمند می‌داند به کجا مراجعه کند
- آیا توقف اقدام بدون پیامد تنبیهی ممکن است
- کمک با چه سرعتی در دسترس است
- آیا کارمند بازخورد روشن میگیرد
زمینه سازمانی
- حجم کار و فوریت
- تغییر کارکنان
- کار از راه دور
- چند زبان و کشور
- شکاف میان سیاست و فرایند واقعی
05 / نقشه آسیب‌پذیری‌های عامل انسانینقش / 01
ریسک در تلاقی نقش، درخواست، اعتماد و فرایند ایجاد میشود
درخواست یکسان ممکن است در یک واحد ایمن رد و در دیگری موجب خطا شود. نقشه شرایط تکرارشونده ازکارافتادن کنترل را نشان میدهد، نه رتبه افراد.
اطلاعاتدسترسیپرداختسندتغییر فرایندماموریت فوری
کنترل موثر بودروشنسازی لازم استرویه مبهم استخلا اطلاعاتی بااهمیت
امور مالی
پرداخت و دستور فوری پرریسکترین حوزهاند: تغییر مشخصات بدون تایید مستقل از کانال شناخته‌شده انجام میشود.
- اطلاعاتکنترل موثر بود
- دسترسیروشنسازی لازم است
- پرداختخلا اطلاعاتی بااهمیت
- سندکنترل موثر بود
- تغییر فرایندرویه مبهم است
- ماموریت فوریخلا اطلاعاتی بااهمیت
فقط شکاف مهم فرایندی با قرمز مشخص میشود. نام کارکنان در رابط نمایش داده نمی‌شود. در موبایل، ماتریس به فهرست عمودی نقشها با سناریوهای بازشونده تبدیل میشود.
06 / سناریوی کنترل‌شده
هر آزمون با مجوز، محدودیت‌ها و شروط توقف فوری شروع میشود
- 01
مجوز کتبی
سفارش‌دهنده مجاز، مبانی قانونی، واحدها، کشورها و مدت اجرا ثبت می‌شوند.
→ - 02
قواعد تعامل
کانال‌های مجاز، اقدامات قابل انجام، دسته‌های مستثنا و افرادی که نباید وارد آزمون شوند تعیین می‌شوند.
→ - 03
شرایط توقف
رویدادهای توقف فوری سناریوی مشخص یا کل آزمون تعیین می‌شوند.
→ - 04
طراحی سناریو
سناریوها ریسک را شبیه‌سازی می‌کنند، بدون نیاز به رمز واقعی، مشخصات مالی یا داده حساس.
→ - 05
اجرای کنترل‌شده
روند آزمون ثبت و دسترسی نتایج به تیم مجاز محدود میشود.
→ - 06
تحلیل و بهبود
نتایج به اصلاح روال، آموزش و مسیر ارجاع تبدیل می‌شوند، بدون تحقیر عمومی کارکنان.
جمعبندی / اصلاح فرایند
هدف آزمون تقویت نظام تصمیم‌گیری است، نه تنبیه کارمند.
07 / نتیجهD-01 D-02 D-03 D-04 D-05 D-06
نقشه ریسک‌های فرایند و تغییرهای مشخص قابل اجرا
خلاصه مدیریتی
شرح کوتاه مهم‌ترین شرایط ریسک، بدون رتبه‌بندی بی‌مبنای تک‌تک کارکنان.
نقشه نقشها و سناریوها
کدام ترکیب اختیار، کانال و درخواست کنترل بیشتری می‌خواهد.
خط زمانی بررسی
چه بررسی شد، در چه شرایطی و واکنش چگونه پیش رفت.
ماتریس کنترل
کدام روال‌ها کار کردند، کجا ابهام ایجاد شد و کجا مسیر امن تایید وجود نداشت.
اولویت‌های اصلاح
تغییرها بر اساس فوریت: فوری، کوتاه‌مدت و ساختاری.
برنامه بررسی مجدد
معیارهای سنجش کاهش ریسک پس از تغییرات.
08 / مشتریان
برای سازمان‌هایی که یک درخواست قانع‌کننده می‌تواند بر پول، داده یا تصمیم اثر بگذارد
- CL-01شرکتها و گروههای بین‌المللی
- CL-02ساختارهای مالی و سرمایهگذاری
- CL-03Family Offices
- CL-04تیم‌های حقوقی
- CL-05شرکتهای فناوری
- CL-06پروژههای پیش از معامله یا ورود به کشور جدید
- CL-07سازمانهای دارای شبکه پیمانکاران
- CL-08ساختارهای خصوصی با دستیاران و کارکنان
09 / سناریوهای متداولSE-01نمونه ترکیبی زنجیره تاییدSE-02نمونه ترکیبی درخت تصمیمSE-03نمونه ترکیبی نقشه ارجاع به سطح بالاتر
چگونه آزمون علت فرایندی را پیدا می‌کند و صرفا خطا ثبت نمی‌کند
تغییر مشخصات رسمی
بررسی میشود آیا دستور مالی غیرمعمول به تایید مستقل از کانال از پیش شناخته‌شده نیاز دارد.
درخواست از جانب مدیر
ارزیابی میشود آیا ارجاع به مقام بالاتر و فوریت می‌تواند جای روال تایید را بگیرد.
پیمانکار بیرونی
بررسی میشود کارمند چه اطلاعاتی به طرف آشنا با زمینه کار اما بدون احراز هویت مقرر میدهد.
10 / قالب پروژه01 02پرطرفدارترین 03چند کشور
هزینه به تعداد نقشها، کانال‌ها، سناریوها و حوزه‌های قضایی وابسته است
ارزیابی پایه
از 3 000 €
زمان بر اساس دامنه بررسی تعیین میشود
بررسی اولیه تابآوری در محدوده‌ای از نقشها و کانال‌ها.
محتوا
- 1-2 سناریوی کنترل‌شده
- گروه محدودی از نقشها
- بررسی یک یا دو کانال
- نقشه ریسک‌های اولیه فرایند
- توصیه‌های مختصر
بررسی گسترده
7 000-14 000 €
زمان بر اساس دامنه بررسی تعیین میشود
بررسی کامل محدوده با نقشه نقاط ریسک و اولویت اصلاح.
محتوا
- چند نقش و واحد
- 5-7 سناریوی مورد توافق
- مقایسه کانال‌ها و رویه‌ها
- نقشه آسیب‌پذیری‌های عامل انسانی
- اولویت‌های اصلاح
- مرور نهایی با تیم مجاز
برنامه بین‌المللی
برآورد اختصاصی هزینه
اجرای مرحله‌ای طبق برنامه توافقشده
برنامه آزمون ساختار بین‌المللی با ارزیابی مجدد پس از تغییرات.
محتوا
- چند کشور یا شرکت
- زبان‌ها و فرایندهای متفاوت
- بررسی مرحله‌ای
- هماهنگی با تیم حقوقی و اطلاعات
- بررسی مجدد پس از تغییرات
دامنه دقیق، سناریوهای مجاز، بودجه و معیار پایان پیش از شروع کتبا توافق می‌شوند.
11 / اعطای مجوز
بدون مجوز کتبی و حدود ایمن، آزمون انجام نمی‌شود
Blackfile بررسی بدون مجوز اشخاص ثالث را انجام نمیدهد، به دریافت دادهها یا دسترسی متعلق به دیگران کمک نمی‌کند و نتایج فردی کارکنان را منتشر نمی‌کند. سناریوهای مشخص با توجه به کشور و سازمان مربوط، از نظر حقوقی بررسی می‌شوند.
- اختیار کتبی سفارش‌دهنده
- دامنه و زمان دقیق
- کشورها و واحدهای مورد توافق
- ممنوعیت درگیر کردن افراد زیر سن قانونی
- ممنوعیت دریافت رمز واقعی، کد، مشخصات بانکی و اسناد شخصی
- نبود پیوست مخرب و اختلال در سامانهها
- ممنوعیت فشار، تهدید، تحقیر و تبعیض
- شرایط توقف ازپیشتعیینشده
- دسترسی محدود به نتایج
- آموزش و اصلاح فرایند بهجای تنبیه عمومی
12 / خدمات مرتبط
چه چیزی بررسی بخش انسانی را تقویت می‌کند
SRV-01
تحلیل آسیب‌پذیری
ارزیابی نظاممند عوامل فشار و ضعفهای سازمانی.
مشاهده حوزه فعالیت →SRV-02رسیدگی به نشت اطلاعات
رسیدگی به افشای اطلاعاتی که قبلا رخ داده است.
مشاهده حوزه فعالیت →SRV-03بررسی محیط پیرامون
بررسی ارتباطات قابل تایید و اطرافیان در چارچوب کار قانونی.
مشاهده حوزه فعالیت →SRV-04بررسی سوابق
بررسی زندگینامه، سابقه تجاری و عوامل ریسک برای نقش توافقشده.
مشاهده حوزه فعالیت →13 / پرسشها
آنچه باید پیش از شروع بررسی بدانید
این موضوع به محیط حقوقی، سیاست داخلی و سناریوی توافقشده بستگی دارد. در هر حال مجوز کتبی طرف صلاحیتدار، محدودیت روشن و مرور درست پس از آزمون ضروری است.
خیر. سناریوها تصمیم و روال را بدون دریافت اطلاعات ورود واقعی، مشخصات بانکی یا اطلاعات حساس میآزمایند.
هدف خدمت سنجش تابآوری سیستم و بهبود فرایندهاست. تصمیم استخدامی با مشتری است و باید با قانون کار قابل اعمال سازگار باشد. نتیجه یک سناریو نباید جدا از زمینه تفسیر شود.
خیر. در دامنه توافقشده میتوان فرایندهای ارتباطی، نقشها، تایید دستورها و مسیر ارجاع را سنجید. سناریوی مشخص به ریسک مشتری وابسته است.
فقط با اختیارات مناسب، مبنای قراردادی و توافق کتبی درباره دامنه بررسی.
مشتری نقشه ریسک فرایند، اصلاحات اولویتدار و معیار آزمون مجدد میگیرد. نتیجه باید سیستم را بهتر کند، نه اینکه صرفا گزارش بماند.
14 / ارزیابی اولیه
فرایندهای مورد بررسی را شرح دهید
در مرحله نخست نام کارکنان، ایمیل، تلفن، رمز یا دیگر دادههای شخصی را وارد نکنید.
نظام تصمیم‌گیری را پیش از مواجهه با درخواست واقعی بیازمایید
فرایندهای نگرانکننده را شرح دهید. Blackfile پیش از هر آزمون، اختیارات، حدود و شروط توقف را توافق می‌کند.