Ci sono due lati di questo. Il primo è verificare l'identità dell'utente e l'altro sta verificando la legittimità dell'help desk. Questo è un grosso problema perché le chiamate di social engineering saranno quasi sempre dirette all'helpdesk o essere impersonate da un membro dell'help desk.
Poiché gli utenti normali sono in genere meno sofisticati degli operatori dell'help desk, è necessario semplificare il processo di autenticazione dell'help desk. Ad esempio, una regola molto semplice è tutte le chiamate di aiuto devono essere effettuate da l'utente a l'help desk. se l'help desk ti chiama, quindi le loro istruzioni solo dovrebbero essere "richiamami al numero di telefono dell'help desk interno standard". In nessun caso dovresti fidarti di un rappresentante dell'help desk che ti ha chiamato. Questo è facile da ricordare per le persone e facile da implementare. Inoltre, ogni volta che chiama un utente e dice "richiamami" sarebbe una buona idea ricordargli perché dovrebbe farlo; solo una parola o così il concetto è fresco nella sua mente: help desk SEMPRE ti dice di richiamarli.
Quindi, l'autenticazione dell'utente con l'help desk dipende dal livello di sicurezza richiesto dalla società. Una "chiamata in PIN" o una password è un'idea ragionevole ma non eccezionale. Ancora meglio è una sorta di sistema interno a circuito chiuso che non può essere reso disponibile a qualcuno al di fuori dell'azienda.
Ancora meglio, è sufficiente stabilire la regola che tutte le operazioni sensibili devono essere eseguite di persona, direttamente dall'help desk o tramite il supporto desk-side, con controllo appropriato dei badge ecc.