Social engineering: che fare?

Quando sento parlare di social engineering, tema al momento molto trattato, ho l’impressione che si parli tanto del problema, tutto sommato abbastanza banale, e poco invece delle soluzioni, che banali non sono. Anzi, ho il sospetto che si parli poco delle soluzioni proprio perché non sono banali. Di solito, sento solo delle indicazioni estremamente generiche, talmente generiche da essere solo un po’ di “buon senso” dal quale trovo difficile che ci si possa aspettare una soluzione reale al problema. Un’indicazione comune è quella di “seguire le procedure”, dove le procedure spesso a loro volta dicono che “incontrando una persona ‘sospetta’ le si debba chiedere dove sta andando” (semplifico). Vale allora la pena di leggere questo articolo segnalato da Schneier, su una persona che si intrufola proprio negli uffici che di questi tempi dovrebbero essere maggiormente sorvegliati, semplicemente per rubare un po’ di soldi. In particolare, questo passaggio: “Her excuses were flimsy inventions. But people don’t like confrontations. They feel they’ve done enough if they ask a question and get an answer.” Certo, le procedure sono state seguite, visto che le domande sono state fatte. Il problema è che manca la voglia di valutare le risposte… sempre che ce ne sia la capacità.