درخواست مالی را فقط با شناخت صدا یا تصویر تأیید نکنید

برای تصمیم حساس، به نشانه ظاهری تکیه نکنید

یک تماس با صدای آشنا یا جلسه تصویری، به‌تنهایی مبنای کافی برای انتقال وجه خارج از روال نیست. به جای تلاش برای تشخیص قطعی واقعی یا ساختگی بودن هر تصویر، روال تأیید مستقل داشته باشید. این کنترل در برابر جعل هویت، تصاحب حساب، اشتباه و فشار سازمانی نیز مفید است.

کد ورود را برای دیگری نخوانید. کد یک‌بارمصرف معمولاً برای انجام یک اقدام توسط دارنده مجاز طراحی شده است. تحویل آن در تماس یا گفت‌وگو، کنترل ورود را بی‌اثر می‌کند. روش‌های مختلف احراز هویت چندعاملی مقاومت یکسانی ندارند؛ در سامانه‌های پشتیبان، روش‌های مقاوم‌تر در برابر فیشینگ می‌توانند انتخاب مناسب‌تری باشند.

موقعیت: مدیر در جلسه است و پرداخت فوری می‌خواهد

پیام یا صدای آشنا می‌گوید «این بار روال را کنار بگذار». درخواست باید به مسیر تأیید مستقل برود؛ مثلاً تماس با شماره معتبر قبلی یا تأیید در سامانه مجازِ جدا. تغییر فوری شماره تأیید از داخل همان درخواست، استقلال کنترل را از بین می‌برد.

سؤال محرمانه ثابت، راه‌حل کامل نیست. پاسخی که همیشه یکسان است ممکن است افشا شود. بهتر است تصمیم مالی به هویت معتبر، حدود اختیار و تأیید ثبت‌شده متصل باشد. روال جایگزین هنگام در دسترس نبودن مدیر را از قبل تعیین کنید تا فوریت، تیم را به تصمیم بی‌ضابطه نکشاند.

برای تیم چه چیزی را تمرین کنیم؟

یک درخواست فرضی با عنوان مدیر، بانک یا پشتیبانی مطرح کنید. هدف تمرین، فریب دادن یا شرمنده کردن همکار نیست؛ ببینید آیا او می‌تواند تعامل حساس را متوقف و از مسیر درست تأیید بگیرد. نتیجه را به ضعف فرایند، کانال تماس یا آموزش تبدیل کنید. از اطلاعات واقعی ورود یا مشتری در تمرین استفاده نکنید.

فناوری را جای اختیار ننشانید. داشتن احراز هویت چندعاملی تضمین نمی‌کند درخواست داخل حساب، مجاز و درست است. تغییر حساب مقصد، استرداد استثنایی و افزودن کاربر باید کنترل‌های مستقل خود را داشته باشند. قابلیت‌های واقعی هر سامانه را بررسی کنید؛ این درس ادعا نمی‌کند همه روش‌های ورود در همه خدمات وندار فعال‌اند.

خودتان را بیازمایید: صدای کاملاً آشنا برای حذف تأیید دوم کافی است؟ پاسخ: خیر؛ روال مستقل و حدود اختیار باید همچنان رعایت شوند.