テールゲーティングとは、許可された人物の後についてセキュリティエリアに侵入することです。攻撃者は侵入するのではなく、正当なアクセス権を持つ人物の後ろについて入ります。友好的な笑顔と両手に抱えた箱が役立ちます。制服やクリップボードも同様です。標的となった人物は礼儀としてドアを開け、攻撃者は中に入り込みます。警報は鳴りません。鍵も開けられません。人間の礼儀によってセキュリティ制御が回避されたのです。

テールゲーティングは物理的なソーシャルエンジニアリングの手法です。オフィスビル、データセンター、制限された製造現場で有効です。防御策は手順によるものです。マントラップや回転式改札機は一度に一人しか通行させません。すべてのドアにバッジリーダーを設置してアクセス制御を強化します。セキュリティ意識向上トレーニングでは、従業員に知らない顔に異議を唱えるよう指導します。しかし、異議を唱えるのは気まずいものです。ほとんどの人は対立を避けます。だからこそテールゲーティングが有効なのです。最良の防御策は、従業員から判断権を奪うことです。二人が同時に入るのを物理的に阻止するマントラップドアは問題を解決します。すべての訪問者にサインインと付き添いを要求する受付デスクも同様に問題を解決します。技術とプロセスは警戒に勝ります。警戒は信頼できません。

テールゲーティング対策

• マントラップ ― 一度に一人ずつしか入れない連動式の扉
• 回転式改札機 ― 個別のバッジを必要とする物理的な障壁
• 受付デスク - 来訪者の記帳および案内に関する規定
• 研修 ― 従業員に、見知らぬ人に挑戦するよう教える
• バッジ着用義務化 ― 常に目に見えるバッジの着用を義務付ける

テールゲーティングは礼儀正しさを悪用する。ディフェンスは礼儀正しさなど気にしない扉だ。