Eight agencies plugged in and activ

Eight agencies plugged in and activated the USBs we left lying around
USBs we left lying around at eight agencies were plugged into agency networks and activated. The
USBs then ‘phoned home’. While our USBs did not pose a threat to the agency networks, the exercise
clearly demonstrated how this type of attack can provide unauthorised access to an agency network.
Significantly, it is also extremely difficult to detect once it has been established.
Eight of the 15 agencies had their network compromised by USBs that we left at agencies to test their
security practices. The USBs were found by agency staff and subsequently connected to their agency’s
networks. This exercise proved how easily existing security mechanisms can be undermined if staff are
not properly trained. It is also a highly dangerous form of attack because it allows a perpetrator to gain
direct access into the agency’s network, thereby providing control over information resources from the
Internet without detection.
Of the remaining USBs we deployed:
y three agencies found them and reported them internally as lost property
y several USBs found their way into home computers or the networks of private organisations and
were plugged in. As previously mentioned, they posed no threat and the software contained within
them could be easily deleted.
This aspect of our audit highlighted how important it is that agencies manage all the potential risks to
their systems. Agencies can address this particular risk through staff training. Software can also be used
to prevent or manage unauthorised USBs or other devices from being connected to their networks.
Agencies lack a risk based approach to computer security
The results of our audit highlight that agencies are not taking a risk-based holistic approach to managing
the security of their computer systems. They are failing to meet good practice guidelines and standards
for computer security.
We reviewed the policies and procedures of agencies to assess how well they have identified potential
risks to their networks and what controls are in place to manage those risks. We found that 12 of the 15
agencies had not considered cyber threats from the Internet or social engineering techniques in their
security policies.
Nine agencies had not carried out risk assessments to determine their potential exposure to external or
internal attacks. Without a risk assessment, agencies will not know their exposure levels and potential
impacts on their business.
Seven agencies did not have incident response plans or procedures for managing cyber threats from
the Internet and social engineering. Staff did not know how to respond to cyber threats and under what
circumstance they should escalate

ผลลัพธ์ (ไทย) 1:

หน่วยที่ 8 ต่อ และเรียกใช้งาน USBs ที่เราเหลืออยู่รอบ ๆ USBs เราเหลือโกหกรอบที่แปดหน่วยถูกเสียบเครือข่ายหน่วยงาน และเรียกใช้งาน ที่ USBs แล้ว 'phoned บ้าน' ในขณะที่ USBs ของเราไม่ได้ก่อให้เกิดภัยกับหน่วยงานเครือข่าย การออกกำลังกาย ชัดเจนแสดงวิธีการโจมตีชนิดนี้สามารถให้เข้าถึงไม่ได้รับอนุญาตไปยังเครือข่ายของหน่วยงาน อย่างมีนัยสำคัญ เป็นเรื่องยากมากที่จะตรวจสอบเมื่อมีการสร้าง8 หน่วยงาน 15 มีเครือข่ายละเมิด USBs ที่เราเหลือที่หน่วยงานในการทดสอบของพวกเขา ปฏิบัติความปลอดภัย USBs ที่พบโดยหน่วยงาน และเชื่อมต่อกับหน่วยงานของตนในเวลาต่อมา เครือข่าย แบบฝึกหัดนี้พิสูจน์แล้วว่าสามารถทำลายกลไกถ้าพนักงานรักษาความปลอดภัยวิธีง่าย ๆ ที่มีอยู่ ฝึกไม่ถูกต้อง มีแบบสูงอันตรายของการโจมตี เพราะจะช่วยให้ติงสเพื่อ เข้าถึงโดยตรงไปยังเครือข่ายของหน่วยงาน การให้การควบคุมแหล่งข้อมูลจากการ อินเทอร์เน็ตโดยไม่ต้องตรวจ ของ USBs เหลือเราปรับใช้:y 3 หน่วยงานพบพวกเขา และรายงานดังกล่าวภายในหายy USBs หลายพบพวกเขาในเครื่องคอมพิวเตอร์ที่บ้านหรือเครือข่ายขององค์กรเอกชน และ ถูกต่ออยู่ ตามที่กล่าวไว้ก่อนหน้านี้ พวกเขาอึ้งไม่คุกคามและซอฟต์แวร์ที่อยู่ภายใน พวกเขาไม่ได้อยู่ด้านนี้จากการตรวจสอบของเราเน้นความสำคัญเป็นที่หน่วยงานจัดการความเสี่ยงอาจเกิดขึ้นทั้งหมดไป ระบบของพวกเขา หน่วยงานสามารถจัดการความเสี่ยงนี้โดยเฉพาะผ่านการฝึกอบรมพนักงาน ยังสามารถใช้ซอฟต์แวร์ การป้องกัน หรือจัดการไม่ได้รับอนุญาต USBs หรืออุปกรณ์อื่น ๆ จากการเชื่อมต่อกับเครือข่ายหน่วยงานขาดความเสี่ยงตามแนวทางการรักษาความปลอดภัยคอมพิวเตอร์ผลการตรวจสอบของเราเน้นที่หน่วยงานจะมีความเสี่ยงตามวิธีแบบองค์รวมไม่การจัดการ ความปลอดภัยของระบบคอมพิวเตอร์ของตน พวกเขาไม่สามารถตอบสนองแนวทางปฏิบัติที่ดีและมาตรฐาน สำหรับความปลอดภัยของคอมพิวเตอร์เราทบทวนนโยบายและขั้นตอนของหน่วยงานเพื่อประเมินวิธีการที่ดีพวกเขาได้ระบุศักยภาพ ความเสี่ยงด้านเครือข่ายของพวกเขาและสิ่งที่ควบคุมอยู่ในสถานที่เพื่อจัดการความเสี่ยงดังกล่าว เราพบว่า 12 15 หน่วยงานได้ถือว่าเป็นภัยคุกคามทางไซเบอร์จากเทคนิควิศวกรรมสังคมหรืออินเทอร์เน็ตในการ นโยบายความปลอดภัย 9 หน่วยงานมีไม่ทำประเมินความเสี่ยงเพื่อกำหนดสัมผัสภายนอกของพวกเขามีศักยภาพ หรือ โจมตีภายใน โดยไม่มีการประเมินความเสี่ยง หน่วยงานจะไม่ทราบระดับความเสี่ยงและศักยภาพของพวกเขา ผลกระทบต่อธุรกิจของพวกเขาหน่วยที่ 7 ไม่ได้มีแผนการแก้ไขปัญหาหรือกระบวนการสำหรับการจัดการการคุกคามทางไซเบอร์ อินเทอร์เน็ตและสังคมวิศวกรรม พนักงานไม่ทราบวิธีการตอบสนองต่อ การคุกคามทางไซเบอร์ และสิ่ง สถานการณ์ที่พวกเขาควรเลื่อน

ผลลัพธ์ (ไทย) 2:

แปดหน่วยงานที่เสียบปลั๊กและเปิดใช้งาน USBs เราซ้ายโกหกรอบ
USBs เราซ้ายโกหกรอบที่แปดหน่วยงานที่ได้รับการเสียบเข้ากับเครือข่ายหน่วยงานและเปิดใช้งาน
USBs แล้ว 'โทรหาที่บ้าน' ในขณะที่ช่อง USB ของเราไม่ได้เป็นภัยคุกคามต่อเครือข่ายหน่วยงาน, การออกกำลังกายที่
แสดงให้เห็นอย่างชัดเจนว่าประเภทของการโจมตีนี้สามารถให้การเข้าถึงเครือข่ายหน่วยงาน.
อย่างมีนัยสำคัญก็ยังเป็นเรื่องยากมากที่จะตรวจสอบหลังจากที่ได้รับการจัดตั้งขึ้น.
แปดของ 15 หน่วยงานที่มีเครือข่ายของพวกเขาที่ถูกบุกรุกโดย USBs ที่เราทิ้งไว้ที่หน่วยงานของพวกเขาที่จะทดสอบ
การรักษาความปลอดภัย USBs ถูกพบโดยเจ้าหน้าที่หน่วยงานและเชื่อมต่อไปยังหน่วยงานของ
เครือข่าย การออกกำลังกายนี้ได้รับการพิสูจน์ว่าง่ายกลไกความปลอดภัยที่มีอยู่สามารถทำลายถ้าพนักงานจะ
ไม่ได้รับการฝึกฝนอย่างถูกต้อง นอกจากนี้ยังเป็นรูปแบบที่อันตรายอย่างยิ่งของการโจมตีเพราะจะช่วยให้ผู้กระทำผิดจะได้รับ
การเข้าถึงโดยตรงเข้าสู่เครือข่ายของหน่วยงานซึ่งจะช่วยให้การควบคุมทรัพยากรข้อมูลจาก
อินเทอร์เน็ตได้โดยไม่ต้องตรวจสอบ.
ช่อง USB ที่เหลือที่เรานำไปใช้:
และสามหน่วยงานพบว่าพวกเขาและรายงานให้พวกเขา ภายในเป็นทรัพย์สินที่หายไป
และหลาย USBs หาทางเข้าไปในเครื่องคอมพิวเตอร์ที่บ้านหรือเครือข่ายขององค์กรเอกชนและ
ถูกเสียบ. ตามที่ระบุไว้ก่อนหน้านี้พวกเขาเป็นภัยคุกคามและไม่มีซอฟแวร์ที่มีอยู่ภายใน
พวกเขาอาจจะถูกลบออกได้อย่างง่ายดาย.
ทุกแง่มุมของการตรวจสอบของเรานี้เน้นว่า ที่สำคัญก็คือว่าหน่วยงานในการจัดการความเสี่ยงที่อาจเกิดขึ้นกับ
ระบบของพวกเขา หน่วยงานสามารถอยู่ความเสี่ยงนี้โดยเฉพาะอย่างยิ่งผ่านการฝึกอบรมพนักงาน ซอฟแวร์นอกจากนี้ยังสามารถนำมาใช้
เพื่อป้องกันหรือจัดการ USBs ไม่ได้รับอนุญาตหรืออุปกรณ์อื่น ๆ จากการเชื่อมต่อกับเครือข่ายของพวกเขา.
หน่วยงานขาดความเสี่ยงตามวิธีการที่จะรักษาความปลอดภัยคอมพิวเตอร์
ของไฮไลท์ผลการตรวจสอบของเราที่หน่วยงานที่ไม่ได้ใช้วิธีการแบบองค์รวมตามระดับความเสี่ยงในการจัดการ
การรักษาความปลอดภัยของระบบคอมพิวเตอร์ของพวกเขา พวกเขาจะไม่สามารถที่จะตอบสนองแนวทางการปฏิบัติที่ดีและมาตรฐาน
การรักษาความปลอดภัยคอมพิวเตอร์.
เราได้ตรวจสอบนโยบายและขั้นตอนการปฏิบัติงานของหน่วยงานในการประเมินวิธีการที่ดีที่พวกเขามีการระบุที่อาจเกิด
ความเสี่ยงไปยังเครือข่ายของพวกเขาและสิ่งที่ควบคุมอยู่ในสถานที่ในการจัดการความเสี่ยงเหล่านั้น เราพบว่า 12 จาก 15
หน่วยงานที่ไม่ได้พิจารณาภัยคุกคามในโลกไซเบอร์จากอินเทอร์เน็ตหรือเทคนิควิศวกรรมทางสังคมของพวกเขาใน
นโยบายด้านความปลอดภัย.
เก้าหน่วยงานที่ไม่ได้ดำเนินการประเมินความเสี่ยงในการกำหนดความเสี่ยงที่อาจเกิดขึ้นของพวกเขาที่จะภายนอกหรือ
การโจมตีภายใน โดยไม่ต้องมีการประเมินความเสี่ยงที่หน่วยงานจะไม่ทราบระดับแสงของภาพของพวกเขาที่มีศักยภาพและ
ผลกระทบต่อธุรกิจของพวกเขา.
เจ็ดหน่วยงานที่ไม่ได้มีแผนรับมือเหตุการณ์ที่เกิดขึ้นหรือวิธีการในการจัดการภัยคุกคามในโลกไซเบอร์จาก
อินเทอร์เน็ตและวิศวกรรมสังคม เจ้าหน้าที่ไม่ทราบว่าจะตอบสนองต่อภัยคุกคามทางไซเบอร์และภายใต้
สถานการณ์ที่พวกเขาควรจะบานปลาย

ผลลัพธ์ (ไทย) 3:

แปดหน่วยงานเสียบปลั๊กและเปิดใช้งาน usbs เราไปหมด
usbs เราเหลือโกหกรอบที่แปดหน่วยงานถูกเสียบเข้ากับเครือข่ายหน่วยงาน และงาน
usbs โทรมาที่บ้านแล้ว ' ' ในขณะที่ usbs ของเราไม่ก่อให้เกิดภัยคุกคามเครือข่ายหน่วยงาน แสดงให้เห็นอย่างชัดเจนว่าออกกำลังกาย
ของการโจมตีประเภทนี้สามารถให้เข้าถึงไม่ได้รับอนุญาตไปยังหน่วยงานเครือข่าย
อย่างมากมันเป็นยังยากที่จะตรวจสอบเมื่อมีการก่อตั้ง .
8 15 หน่วยงานมีเครือข่ายละเมิด โดย usbs ที่เราทิ้งไว้ในหน่วยงานเพื่อทดสอบการปฏิบัติ
รักษาความปลอดภัย การ usbs ถูกพบโดยเจ้าหน้าที่หน่วยงาน และสามารถเชื่อมต่อกับเครือข่ายของบริษัท

การออกกำลังกายนี้พิสูจน์ว่ากลไกการรักษาความปลอดภัยที่มีอยู่ได้อย่างง่ายดายสามารถทำลายถ้าพนักงาน
ไม่ได้ถูกฝึกมา มันเป็นรูปแบบหนึ่งของการโจมตีที่เป็นอันตรายอย่างมาก เพราะมันช่วยให้ผู้กระทำผิดได้รับ
เข้าตรงเข้าสู่เครือข่ายของหน่วยงาน เพื่อให้สามารถควบคุมทรัพยากรสารสนเทศจาก
อินเทอร์เน็ตโดยไม่ต้องตรวจสอบ
ของที่เหลืออยู่ usbs เราใช้ :
Y 3 หน่วยงานพบพวกเขาและรายงานภายในเป็นทรัพย์สินหาย
Y หลาย usbs พบวิธีการของพวกเขาในคอมพิวเตอร์ที่บ้าน หรือเครือข่ายขององค์กรและส่วนตัว
ถูกเสียบใน ตามที่กล่าวถึงก่อนหน้านี้ พวกเขาจึงไม่คุกคามและซอฟต์แวร์ที่มีอยู่ภายใน
พวกเขาสามารถลบได้อย่างง่ายดาย .
นี้กว้างยาวของการตรวจสอบของเราเน้นวิธีการที่สำคัญก็คือว่า หน่วยงานบริหารความเสี่ยงที่อาจเกิดขึ้น

ระบบของพวกเขาหน่วยงานสามารถจัดการความเสี่ยงนี้โดยเฉพาะผ่านการฝึกอบรมพนักงาน ซอฟต์แวร์ที่ยังสามารถใช้เพื่อป้องกันหรือจัดการ
usbs หรืออุปกรณ์อื่น ๆที่ไม่ได้รับอนุญาตจากการเชื่อมต่อกับเครือข่ายของพวกเขา .
หน่วยงานขาดพื้นฐานความเสี่ยงวิธีการรักษาความปลอดภัยคอมพิวเตอร์
ผลการตรวจสอบของเราเน้นที่หน่วยงานจะไม่สละความเสี่ยงแบบองค์รวมเพื่อการจัดการ
ความปลอดภัยของระบบคอมพิวเตอร์ของพวกเขาพวกเขาจะล้มเหลวที่จะตอบสนองแนวทางการปฏิบัติที่ดีและมาตรฐาน

สำหรับการรักษาความปลอดภัยคอมพิวเตอร์ เราได้ทบทวนนโยบายและขั้นตอนของหน่วยงาน เพื่อประเมินว่ามีความเสี่ยงที่ระบุศักยภาพ
ไปยังเครือข่ายของพวกเขาและสิ่งที่ควบคุมอยู่ในสถานที่ที่จะจัดการกับความเสี่ยงเหล่านั้น เราพบที่ 12 ของ 15
หน่วยงานไม่ถือเป็นภัยคุกคามไซเบอร์ จากอินเทอร์เน็ต หรือ เทคนิควิศวกรรมทางสังคมและนโยบายความปลอดภัยของตนเอง


9 หน่วยงาน ได้ดำเนินการประเมินความเสี่ยงเพื่อหาศักยภาพของแสงภายนอกหรือ
การโจมตีภายใน ไม่มีการประเมินความเสี่ยง หน่วยงาน จะได้ทราบระดับของแสงและผลกระทบที่อาจเกิดขึ้น

ในธุรกิจของพวกเขา7 หน่วยงานไม่ได้มีเหตุการณ์การตอบสนองแผนหรือขั้นตอนการจัดการภัยคุกคามไซเบอร์จาก
อินเทอร์เน็ตและวิศวกรรมทางสังคม เจ้าหน้าที่ไม่รู้วิธีที่จะตอบสนองต่อภัยคุกคามไซเบอร์ และภายใต้สถานการณ์อะไร
พวกเขาควรจะเพิ่ม