Куда я попал?
Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.
Подробнее
 

Описание угрозы

Любая информация о компании, ее инфраструктуре, информационных системах и персонале может быть использована злоумышленником для проведения атак и компрометации информационных систем. 
Сбор информации об инфраструктуре осуществляется злоумышленниками на этапе разведки.

Описание уязвимости

Фишинг это одна из разновидностей социальной инженерии, основанная на незнании пользователями основ компьютерной безопасности. Это вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей — логинам и паролям, выполнения вредоносного кода в системах жертв или получение информации.
Наиболее частым примером фишинга является проведение массовых рассылок электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от имени банков или внутри социальных сетей. В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо ссылка на сайт с редиректом, зараженное вложение или вложение содержащее ссылку на фишинговый сайт. После того как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приёмами побудить пользователя ввести на поддельной странице свои логин и пароль, которые он использует для доступа к определённому сайту, что позволяет мошенникам получить доступ к аккаунтам и банковским счетам.
Фишинг можно разделить на внешний и внутренний:
При внешнем фишинге злоумышленник может отправлять жертвам электронные письма, содержащие вредоносные вложения или ссылки, как правило, для . Фишинг также может осуществляться с помощью сторонних сервисов, таких как платформы социальных сетей. Фишинг может включать методы социальной инженерии, такие как выдача себя за надежный источник.
Внутренний фишинг - это многоэтапная атака, при которой используется легитимная учетная запись электронной почты скомпрометированная злоумышленником. Злоумышленник пытается воспользоваться преимуществами доверенной внутренней учетной записи, чтобы увеличить вероятность того, что цель попадется на попытку фишинга.

Описание типа актива

Физические лица, трудоустроенные в компанию по трудовому договору или договору о дистанционной работе. Примечание: лиц, осуществляющих взаимодействие с компанией по договору подряда, следует относить к категории подрядчиков.
Классификация
КЦД: Конфиденциальность ? Конфиденциальность / confidentialityCвойство информации быть недоступной или закрытой для неавторизованных лиц, сущностей или процессов.
STRIDE: Раскрытие информации ? Раскрытие информации / Information disclosureРаскрытие сведений лицам которые к этой информации не должны иметь доступа. Защищаемое свойство - конфиденциальност...
Источники угрозы
Внешний нарушитель - Низкий потенциал ? Внешний нарушительНаходящийся вне информационной системы на момент начала реализации угрозы. Для реализации угроз в информационной системе внешний нарушитель д...