AI से होने वाले हमलों को रोकनाशुरुआतीपाठ 1325 मिनट का पाठ

आउट-ऑफ-बैंड वेरिफाई करें: कॉलबैक का नियम

जब कोई अनुरोध जोखिम भरा हो, तो उसे किसी ऐसे दूसरे माध्यम से जांचें जिस पर आप पहले से भरोसा करते हैं। यहाँ बताया गया है कि ऐसा वेरिफिकेशन नियम कैसे बनाएं जिसे लोग सच में इस्तेमाल करें।

✦ ट्यूटर से पूछें🧪 लैब · 30 min📝 पाठ का टेस्ट
पाठ वीडियो में

60 सेकंड में

आउट-ऑफ-बैंड वेरिफाई करें: कॉलबैक का नियम

जब कोई अनुरोध जोखिम भरा हो, तो उसे किसी ऐसे दूसरे माध्यम से जांचें जिस पर आप पहले से भरोसा करते हैं। यहाँ बताया गया है कि ऐसा वेरिफिकेशन नियम कैसे बनाएं जिसे लोग सच में इस्तेमाल…

1/5
आसान शब्दों में
अगर कोई दरवाज़ा खटखटाकर कहे "मैं तुम्हारा अंकल हूँ, दरवाज़ा खोलो", तो आप दरवाज़े के पीछे से यह नहीं पूछते कि "क्या आप सच में मेरे अंकल हैं?" आप अपने अंकल के फ़ोन पर कॉल करते हैं। अगर वे कहते हैं "मैं तो घर पर हूँ", तो आपको पता चल जाता है कि दरवाज़े पर कौन अंकल नहीं है। इसे ही "आउट ऑफ़ बैंड" जांचना कहते हैं।
आउट-ऑफ-बैंड वेरिफिकेशन का मतलब है किसी अनुरोध की जांच उस माध्यम से अलग किसी दूसरे माध्यम से करना जिस पर वह आया था, और इसके लिए उन संपर्क विवरणों का उपयोग करना जो आपके पास पहले से थे। अगर किसी ईमेल में पैसे मांगे गए हैं, तो आप फ़ोन करके जांचते हैं। अगर किसी कॉल पर एक्सेस मांगी गई है, तो आप कंपनी चैट में या खुद मिलकर जांचते हैं।

'इन बैंड' जांचें क्यों फेल हो जाती हैं

अगर आप संदिग्ध ईमेल का जवाब देते हैं, या मैसेज में दिए गए नंबर पर कॉल करते हैं, तो आप उसी व्यक्ति से बात कर रहे होते हैं जिसने उसे भेजा था। AI की मदद से वह व्यक्ति किसी भी आवाज़ और किसी भी अंदाज़ में यकीन दिलाने वाला जवाब दे सकता है। जांच ऐसी जगह होनी चाहिए जहाँ हमलावर की पहुँच न हो।

बुनियादी नियम

  1. 1

    ज्यादा जोखिम वाले अनुरोधों को पहचानें

    पेमेंट, बैंक या पेयी (भुगतान पाने वाले) में बदलाव, पेरोल में बदलाव, पासवर्ड या MFA रीसेट, नया एक्सेस, संवेदनशील डेटा शेयर करना, गिफ़्ट कार्ड।
  2. 2

    किसी पहले से मालूम नंबर पर कॉलबैक करें

    कंपनी डायरेक्टरी, अपने वेंडर रिकॉर्ड या किसी कॉन्ट्रैक्ट का उपयोग करें। अनुरोध में आए नंबर का कभी नहीं।
  3. 3

    सबसे बड़े जोखिमों के लिए कोड वर्ड का उपयोग करें

    बहुत संवेदनशील अनुरोधों के लिए आमने-सामने मिलकर कोई वाक्यांश या सवाल तय करें। अगर उसके लीक होने का शक हो तो उसे बदल दें।
  4. 4

    दो-व्यक्ति नियम (Two-person rule)

    पेमेंट और एक्सेस से जुड़े बदलावों के लिए एक दूसरे व्यक्ति की ज़रूरत होती है जो स्वतंत्र रूप से पुष्टि करे।
  5. 5

    'ना' कहना सुरक्षित बनाएं

    हर किसी को वेरिफिकेशन के लिए किसी भी अनुरोध को रोकने की छूट होनी चाहिए, चाहे वह बॉस का ही क्यों न हो, बिना किसी डर के।
  6. 6

    इसे रिकॉर्ड करें

    लिखकर रखें कि किसने, कैसे और कब वेरिफाई किया। इससे ऑडिट और जांच-पड़ताल में मदद मिलती है।
अनुरोध इस माध्यम से आया…ऐसे वेरिफाई करें…ऐसे कभी वेरिफाई न करें…
ईमेलपहले से मालूम नंबर पर फ़ोन कॉल, या आमने-सामनेईमेल का जवाब देकर
फ़ोन या वॉयस नोटडायरेक्टरी वाले नंबर पर वापस कॉल करें, या कंपनी चैट पर मैसेज भेजेंजिस नंबर से कॉल आया उसी पर कॉल करके
वीडियो कॉलकॉल से हट जाएं; उस व्यक्ति को पहले से मालूम नंबर पर फ़ोन करेंउसी कॉल में मौजूद अन्य लोगों से पूछकर
WhatsApp या SMSपहले से मालूम नंबर पर कॉल करें या आमने-सामने जांचेंउसी चैट में जवाब देकर
कंपनी चैटफ़ोन कॉल या आमने-सामने, खासकर पैसों या एक्सेस के लिएउसी चैट थ्रेड में पूछकर

बॉस को 'ना' कहना आसान बनाएं

धोखाधड़ी तब कामयाब होती है जब कर्मचारियों को लगता है कि वे बड़े अधिकारियों से सवाल नहीं कर सकते। लीडर्स को लिखित में और मीटिंग्स में यह साफ़ कहना चाहिए: "हमारा वेरिफिकेशन नियम मुझ पर भी लागू होता है। दोबारा जांचने के लिए मैं आपको कभी सज़ा नहीं दूंगा।" कर्मचारियों को एक आसान स्क्रिप्ट दें।
A polite verification scripttext
"Thank you. As per our payment policy, I verify all
such requests by calling back on the directory number.
I'll call you in five minutes."
सावधान रहें
जो नियम बहुत धीमा या पेचीदा होता है, व्यस्त होने पर लोग उसे छोड़ देते हैं। ज़्यादा जोखिम वाली सूची छोटी रखें, कदम आसान रखें और संपर्क सूची को अपडेट रखें।
यह करें
एक अच्छा वेरिफिकेशन नियम हमलावर के सबसे बेहतरीन हथियारों (परफेक्ट लिखावट, क्लोन की गई आवाज़, फ़ेक वीडियो) को बेकार कर देता है, क्योंकि इनमें से कोई भी असली व्यक्ति के असली नंबर पर आने वाली कॉल का जवाब नहीं दे सकता।
यह आज़माएं। जांचें कि क्या आप एक मिनट के अंदर अपने मैनेजर, अपने फ़ाइनेंस हेड और अपने मुख्य वेंडर के असली फ़ोन नंबर ढूंढ सकते हैं। अगर नहीं, तो सबसे पहले इसी चीज़ को ठीक करना होगा।

और देखें और पढ़ें

लैब

आपकी टीम के लिए एक पेज की वेरिफिकेशन पॉलिसी, जिसे अपने मैनेजर के साथ शेयर किया जा सके।

~30 min

समस्या

अपनी टीम या किसी काल्पनिक छोटी कंपनी के लिए एक पेज की वेरिफिकेशन पॉलिसी लिखें। इसमें शामिल करें:

  1. दायरा (Scope): ज़्यादा जोखिम वाले अनुरोधों की एक छोटी सूची।
  2. वेरिफाई कैसे करें: हर तरह के अनुरोध के लिए कौन सा माध्यम, और पहले से मालूम संपर्क विवरण कहाँ रखे जाते हैं।
  3. दो-व्यक्ति नियम: किन कामों के लिए दूसरे अप्रूवर की ज़रूरत है, और रकम की कोई तय सीमा।
  4. कोड वर्ड: क्या आप उनका उपयोग करते हैं, किस काम के लिए, और उन्हें कैसे शेयर और बदला जाता है।
  5. लीडरशिप का संदेश: लीडरशिप की तरफ़ से एक या दो वाक्य जिसमें कहा गया हो कि दोबारा जांचने का हमेशा स्वागत है।
  6. रिपोर्टिंग: किसी संदिग्ध अनुरोध के बारे में किसे और कैसे बताना है।

फिर इसे एक स्थिति पर परखें: MD की आवाज़ में एक WhatsApp वॉयस नोट आता है, जिसमें आज के पेरोल से पहले HR से MD के सैलरी बैंक खाते को बदलने के लिए कहा गया है। वह चरण मार्क करें जहाँ आपकी पॉलिसी इसे रोकती है।

आपका काम तब पूरा होगा जब

कठिन सवाल

उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।

Q1आपकी पॉलिसी मज़बूत है लेकिन व्यस्त होने पर कर्मचारी इसे छोड़ देते हैं। आप इसका पता कैसे लगाएंगे, और क्या बदलाव करेंगे?दिखाएं

रिकॉर्ड देखें: क्या हर बैंक बदलाव के लिए वेरिफिकेशन लॉग किए गए हैं? कर्मचारियों से अकेले में पूछें कि किस वजह से उनकी रफ़्तार धीमी होती है। फिर इसे आसान बनाएं: ज़्यादा जोखिम वाली सूची को छोटा करें, संपर्क नंबरों को सिर्फ़ एक क्लिक की दूरी पर रखें, बैकअप अप्रूवर तय करें, और लीडर्स उन लोगों की तारीफ़ करें जो जांच करने के लिए रुकते हैं। एक ऐसा नियम जिसे लोग सच में मानते हैं, उस परफेक्ट नियम से कहीं बेहतर है जिसे लोग छोड़ देते हैं।

Q2एक हमलावर ने आपके मैनेजर के कंपनी चैट खाते पर कब्ज़ा कर लिया है। आपकी पॉलिसी के कौन से हिस्से अब भी आपकी रक्षा करते हैं?दिखाएं

पहले से मालूम फ़ोन नंबर पर कॉलबैक अब भी काम करता है, क्योंकि हमलावर का चैट पर कब्ज़ा है, फ़ोन पर नहीं। दो-व्यक्ति नियम एक दूसरी स्वतंत्र जांच जोड़ता है। कोड वर्ड तब मदद करते हैं अगर उन्हें कभी चैट में टाइप न किया गया हो। रिपोर्टिंग से IT को खाता लॉक करने का मौका मिलता है। यही वजह है कि ज़्यादा जोखिम वाले कामों के लिए कोई भी एक माध्यम काफ़ी नहीं होना चाहिए।

जारी रखने के लिए कृपया साइन इन करें।

अक्सर पूछे जाने वाले सवाल

अगर असली व्यक्ति सफ़र में है और कॉलबैक का जवाब नहीं दे सकता तो क्या करें?

तब वह अनुरोध इंतज़ार करेगा, या किसी तय बैकअप अप्रूवर के पास जाएगा जिसे उसी तरह वेरिफाई किया जाएगा। सचमुच का कोई भी ज़रूरी अनुरोध लगभग हमेशा थोड़े समय के लिए इंतज़ार कर सकता है। बैकअप की योजना पहले से बना लें ताकि इससे कोई दबाव न बने।

क्या अकेले कोड वर्ड काफ़ी नहीं है?

नहीं। कोड वर्ड लीक हो सकते हैं, भूले जा सकते हैं, या गलती से चैट में शेयर हो सकते हैं। इन्हें सबसे ज़्यादा जोखिम वाले अनुरोधों के लिए एक अतिरिक्त परत के रूप में इस्तेमाल करें, साथ में कॉलबैक और दूसरा अप्रूवर भी रखें।

हम पहले से मालूम नंबरों की सूची को सुरक्षित कैसे रखें?

इसे बैंक विवरण की तरह संभालें। किसी भी बदलाव के लिए वेरिफिकेशन और मंज़ूरी की ज़रूरत होनी चाहिए, और उसे लॉग किया जाना चाहिए। जो हमलावर रिकॉर्ड में दर्ज फ़ोन नंबर बदल सकता है, वह कॉलबैक नियम को मात दे सकता है।

क्या यह छोटी रकम पर भी लागू होता है?

पेमेंट के लिए एक साफ़ सीमा तय करें, लेकिन बैंक विवरण के बदलाव, एक्सेस के बदलाव और संवेदनशील डेटा के अनुरोधों पर यह नियम हर हाल में लागू करें, चाहे रकम कितनी भी हो। हमलावर कभी-कभी भरोसा जीतने के लिए छोटी शुरुआत करते हैं।

पाठ का टेस्ट

5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।

टेस्ट देने और अपनी प्रोग्रेस सेव करने के लिए साइन इन करें