Engenharia social: métodos de prevenção, mitigação e execução ética

Abstract

Esse trabalho de Conclusão de Curso aborda o tema da Engenharia Social, um tipo de invasão que não envolve erros computacionais ou falhas, mas sim explora vulnerabilidades e instintos humanos para coletar dados sigilosos e confidenciais. É um dos métodos mais antigos de ataque cibernético, e que até hoje ainda se mostra eficaz. O artigo inicia com o conceito de Engenharia Social, traçando sua história ao longo do tempo, e sua importância na cibersegurança, e como foi desenvolvido as variantes de engenharia social de ordem cronológica. O trabalho abordará as metodologias de prevenção e mitigação que pode ser usado numa empresa, baseado nas normas ISO 27000, trazendo à tona métodos como treinamento, a criação de políticas de segurança numa empresa e a importância de uma cultura voltada na proteção de dados e a segurança. Por último, faremos um estudo detalhado, onde uma simulação de ataque de engenharia social é feita em um ambiente controlado, e os resultados são usados para sugerir melhorias. Sempre temos que se atentar aos principais métodos de engenharia social, incluindo o phishing, quid pro quo, pretexting, baiting e tailgating, e estratégias de prevenção, baseado nas normas ISO mais atuais e na família ISO 27000, e mitigação dos problemas, usando métodos práticos de como impedir esses ataques.

The main purpose was a discussion and investigating social engineering, a type of invasion that does not involve computer errors or flaws but rather exploits vulnerabilities and human instincts to collect sensitive and confidential data. It is one of the oldest methods of cyber-attack, and it remains effective today. The article begins with the notion of Social Engineering, tracing its development over time, its significance in cybersecurity, and the sequential development of its variants. Finally, we will carry out a detailed study, where a simulation of a social engineering attack is carried out in a controlled environment, and the results are used to suggest improvements. We always must be aware of the main methods of social engineering, including phishing, quid pro quo, pretexting, baiting and tailgating, and prevention strategies, based on the most current ISO standards and the ISO 27000 family, and mitigation of problems, using practical methods of how to prevent these attacks. Based on the above-mentioned findings, it can be said that prevention and mitigation methodologies, based on the ISO 27000 standards, can be effectively implemented in a company. These include training, the creation of security policies, and fostering a culture that prioritizes data protection and security.