Sisältö
- Mikä on eettinen hakkerointi?
- Eettinen hakkerointi ja laki - tapaustutkimus
- Onko eettinen hakkerointi todella eettistä?
- Tarvitseeko eettinen hakkerointi oikeudellista suojaa?
- Ei vikoja, ei stressiä - vaiheittaiset ohjeet elämää muuttavien ohjelmistojen luomiseen tuhoamatta elämääsi
- johtopäätös
Lähde: Devonyu / iStockphoto
Ottaa mukaan:
Eettiset hakkerit voivat auttaa estämään pahantahtoisten hakkereiden hyväksikäyttöä, joten miksi heidän oikeudellinen suojaaminen on niin tärkeää?
Eettiset hakkerit tuovat arvoa organisaatioille etsimällä tietoturvaaukkoja ennen kuin joku, jolla on vahingollisia aikomuksia, löytää ne. Vaikuttaa luonnolliselta, että heitä tarkastellaan kunnioittavasti. Asiat eivät kuitenkaan ole niin yksinkertaisia kuin miltä näyttää. Eettisiin hakkereihin voidaan kohdistaa oikeustoimia, vaikka he hakkeroisivatkin hyviä aikomuksia sisältäviä järjestelmiä.
Eettistä hakkerointia pidetään hyväksyttävänä, jos organisaatiot sitä pyytävät. Mutta silloinkin se ei tee tällaisesta hakkeroinnista immuunia oikeustoimille. Vaarallisin on niiden hakkereiden asema, jotka murtautuvat järjestelmiin ilman pyyntöä, mutta hyvillä aikomuksilla. Eettistä hakkerointia koskevat lait ovat tällä hetkellä riittämättömät ja epämääräiset. Eettisten hakkereiden oikeussuojakysymys vaatii vakavaa keskittymistä. Työn laajuus ja muut oikeudelliset säännökset on määritettävä.
Mikä on eettinen hakkerointi?
Niin kutsuttu eettinen hakkerointi on käytäntö murtautua järjestelmiin tarkoituksenaan löytää turvallisuusongelmia, mutta ilman mitään haitallista tarkoitusta. Eettisillä hakkereilla on taipumus ilmoittaa järjestelmän omistajille tai sidosryhmille havainnoistaan. Eettiset hakkerit voivat tehdä työnsä joko pyytämällä tai pyytämättä. Organisaatiot virallisesti pyytävät hakkereita testaamaan järjestelmiään, järjestely, joka tunnetaan läpäisevänä testauksena. Hakkerit testaavat järjestelmät ja toimittavat yleensä raportin työn lopussa. Toisaalta ei-toivotut hakkerit testaavat järjestelmiä useista syistä. Pyydetty hakkerointi on mahdollisesti vähemmän vaarallista hakkereille kuin ei-toivottu hakkerointi, pääasiassa siksi, että ei-toivotulla hakkereilla ei ole muodollista hyväksyntää. (Lisätietoja hakkeroinnin positiivisesta puolelta viidessä syyssä, joiden vuoksi sinun pitäisi olla kiitollinen hakkereille.)
Eettinen hakkerointi on hyödyllinen ja ehkäisevä käytäntö, ja sitä usein pyritään. Eettinen hakkerointi voi kuitenkin aiheuttaa monia erilaisia ongelmia. Esimerkiksi tällaiset hakkerit voivat silti sallia haitallisten aikomusten haltuunoton jossain vaiheessa, ja laillisten sopimusten puuttuminen voi johtaa sotkuun.
Eettinen hakkerointi ja laki - tapaustutkimus
Eettinen hakkerointi pinnalla saattaa tuntua käytännöltä, jolla on hyvät aikomukset ja jonka tulisi kutsua vain kiitosta ja kiitosta - näin ei aina ole tapahtunut. Vuonna 2013 Alankomaiden parlamentin jäsen vastusti oikeustoimia turvallisuusvirheen havaitsemiseksi terveyskeskuksen verkkosivustolla. Kansanedustaja oli kirjautunut terveyskeskuksen verkkosivuille julkisesti saatavilla olevilla valtakirjoilla ja todennäköisesti vakavaan turvallisuusongelmaan. Kun kansanedustaja julkisti tulokset, lääketieteellinen keskus löi häntä oikeudellisilla syytöksillä. Tapaus avasi monia erilaisia kysymyksiä eettisestä hakkeroinnista. Kansanedustaja ei ollut ammattimainen hakkeri - kaukana siitä, hän ei ollut edes tietokonetaitava. Hän pääsi verkkosivustolle Internetissä saatavilla olevilla valtakirjoilla ja pääsi tahattomasti pääsyn luottamuksellisiin tietoihin. Jotta lääkärikeskus sai tietää löytöstään, hänen piti käydä läpi byrokraattisen prosessin. Arvioidessaan tilanteen kiireellisyyttä hän sai uutiset tiedotusvälineiden välityksellä. Voi vaikuttaa niin hauskalta kuin kiittämättömältä, että sen sijaan, että tunnustaisi panoksensa ja kiittäisi häntä turvallisuusvirheen osoittamisesta, lääketieteellinen keskus päätti sen sijaan asettaa hänet syytteeseen. On selvää, että eettiseen hakkerointiin liittyy monia kysymyksiä, jotka vaativat ratkaisua. (Lisätietoja hakkeroinnista on artikkelissa Hakkereiden rakkaus.)
Onko eettinen hakkerointi todella eettistä?
Eettinen hakkerointi on eettistä toimintaa, josta on hyötyä organisaatioille. On monia hakkereita, jotka ovat pyytäneet tai pyytämättä järjestelmien tietoturvavirheitä ennen kuin joku muu, jolla on huonoja aikomuksia, löytää heidät. Eettistä hakkerointia harjoitetaan useimmissa organisaatioissa eriasteisesti sisäisesti tai palkkaamalla erikoistuneita hakkereita. Ohjelmistoturva on kuitenkin laaja ja monimutkainen alue, ja sisäinen testaus ei aina välttämättä paljasta kaikkia puutteita, etenkin suurten ja monimutkaisten sovellusten tapauksessa, jotka käsittelevät arkaluontoisia tietoja, kuten taloudellisia tai puolustustietoja. Tällaisissa tapauksissa tarvitset erikoistuneita hakkereita turvavikojen löytämiseksi. Tämän jälkeen hakkeri päättää, kuinka eettinen hakkerointi tulee olemaan. Ota huomioon seuraavat seikat ymmärtääksesi tätä:
- Entä jos eettinen hakkeri suorittaa epäeettisiä toimia hakkerointityön aikana? Entä esimerkiksi jos Alankomaissa kansanedustaja olisi myynyt luottamuksellisia tietoja sen sijaan, että se osoittaisi turvallisuusvirheen?
- Estetty hakkeri voi ylittää työn laajuuden ja rohkaista ohjelmisto-osiin, jotka eivät ole sopimuksen mukaisia.
Yllä olevat skenaariot eivät ole mahdollisuuden ulkopuolella, ja ne tarjoavat meille vahvat syyt vahvan eettistä hakkerointia koskevan oikeudellisen kehyksen toteuttamiselle.
Tarvitseeko eettinen hakkerointi oikeudellista suojaa?
Ei ole epäilystäkään siitä, että eettisestä hakkeroinnista on hyötyä organisaatioille. Eettisille hakkereille oikeusturvan tarjoamisen sijasta on annettava keskittyneet lait, joissa määritellään molempien osapuolten työn laajuus, roolit ja vastuut. Lakeissa tulisi käsitellä seuraavia kysymyksiä:
Ei vikoja, ei stressiä - vaiheittaiset ohjeet elämää muuttavien ohjelmistojen luomiseen tuhoamatta elämääsi
Et voi parantaa ohjelmointitaitojasi, kun kukaan ei välitä ohjelmiston laadusta.
- Eettisen hakkeroinnin määritelmä
- Pitäisikö eettinen hakkerointi tapahtua vain virallisesti pyydettäessä? Jopa niin, ei-toivotulle hakkeroinnille on monia mahdollisuuksia. Kuinka ei-toivottua hakkerointia tarkastellaan?
- Vain muodolliset ja yksityiskohtaiset sopimukset hakkerin ja organisaation välillä käsitellään pyydetynä hakkerointina. Sopimuksen tulisi johtaa sisältöä laajemmasta oikeudellisesta kehyksestä.
- Aika on kriittinen tekijä turvallisuusvirheen korjaamisessa. Kun tietoturvavirhe havaitaan, se voi tarvita välitöntä korjausta luvattomien rikkomusten estämiseksi. Aikooko jokainen organisaatio helpottaa aihekuvauksen nopeaa hyväksymistä ja tarvittavia toimia? Byrokraattiset menettelyt voivat viivästyttää toimintaa ja jättää aukon luvattomille hakkereille osoittamatta. Rangaistaanko ei-toivottuja hakkereita, jos ne ohittavat byrokraattiset menettelyt ja käyttävät muita tietokanavia, kuten kansanedustaja teki Alankomaissa?
- Hakkerin ja organisaation välisessä laillisessa sopimuksessa tulisi selkeästi ilmoittaa eettisten hakkereiden työn laajuus.
- Korvauksen ja palkkioiden määritelmä sekä pyydetyille että pyytämättömille hakkereille
- Kuinka puutut asiaan, jos ei-toivottu hakkeri väärinkäyttää tietoturvavirhettä?
johtopäätös
Eettisellä hakkeroinnilla on valtava positiivinen potentiaali, jos sitä käytetään oikein. Todennäköisesti yksi suurimmista haasteista on subjektiivinen tulkinta. Siksi on oltava objektiivinen, kattava ja kategorinen oikeudellinen kehys. Kehyksessä tulisi olla tasapaino sekä hakkereille että organisaatioille kohdistuvan vapaan vallan välillä. Liian suuri virta voi olla tuhoisa, koska se voi joko tuhota järjestelmiä tai hakkereiden luottamusta tai aikomuksia. Samanaikaisesti eettisten hakkereiden yhteisö voi myös pohtia itsenäisen käytännesäännön täytäntöönpanoa oikeudellisen kehyksen lisäksi.