Dingen om te overwegen bij het zoeken naar een ethische hacking leverancier - dummies

Uitbesteding van ethisch hacken is erg populair en een geweldige manier voor organisaties om een ​​onbevooroordeeld extern perspectief van hun informatiebeveiliging te krijgen. Outsourcing biedt u een systeem voor checks-and-balances dat klanten, zakenpartners, auditors en toezichthouders graag zien.

Het uitbesteden van ethisch hacken kan duur zijn. Veel organisaties besteden duizenden dollars - vaak tienduizenden - afhankelijk van de benodigde tests. Dit alles zelf doen is echter niet goedkoop - en mogelijk is het ook niet zo effectief!

Er staat veel vertrouwelijke informatie op het spel, dus u moet uw externe consultants en leveranciers vertrouwen. Overweeg de volgende vragen wanneer u op zoek bent naar een onafhankelijke expert of leverancier om mee samen te werken:

• Staat uw provider van ethisch hacken aan uw zijde of aan de zijde van een derde partij? Probeert de provider u producten te verkopen, of is de leverancier leverancier neutraal? Veel providers proberen misschien nog een paar dollars van de deal af te halen, wat misschien niet nodig is voor uw behoeften. Zorg ervoor dat deze potentiële belangenconflicten niet slecht zijn voor uw budget en uw bedrijf.

• Welke andere IT- of beveiligingsdiensten biedt de provider? Richt de provider zich uitsluitend op beveiliging? Als u een specialist in informatiebeveiliging hebt, is deze test voor u vaak beter dan werken met een IT-generalistische organisatie. Zou u tenslotte een algemeen bedrijfsjurist inhuren om u te helpen met een patent, een algemene huisarts om een ​​operatie uit te voeren of een computertechnicus om uw huis opnieuw te bedraden?

• Wat zijn het beleid voor het aannemen en beëindigen van uw provider? Zoek naar maatregelen die de provider neemt om de kans te verkleinen dat een medewerker wegloopt met uw gevoelige informatie.

• Begrijpt de provider uw zakelijke behoeften? Laat de provider de lijst met uw behoeften herhalen en schrijf deze schriftelijk om ervoor te zorgen dat u beide op dezelfde pagina bent.

• Hoe goed communiceert de provider? Vertrouw je de provider om je op de hoogte te houden en tijdig contact met je op te nemen?

• Weet u precies wie de tests zal uitvoeren? Zal iemand de testen uitvoeren, of zullen deskundigen zich op de verschillende gebieden concentreren? (Dit is geen deal breaker, maar het is leuk om te weten.)

• Heeft de provider de ervaring om praktische en effectieve tegenmaatregelen aan te bevelen voor de gevonden kwetsbaarheden? De provider moet je niet alleen een denkverslag geven en zeggen: "Veel succes met dat alles!"Je hebt realistische oplossingen nodig.

• Wat zijn de motieven van de provider? Krijgt u de indruk dat de provider actief is om snel services af te sluiten, met minimale inspanningen en toegevoegde waarde, of is de aanbieder in dienst om loyaliteit met u te bouwen en een langdurige relatie op te bouwen?

Als u een goede organisatie zoekt om langdurig te werken, worden uw lopende inspanningen veel eenvoudiger. Vraag naar verschillende referenties en sample gezuiverde deliverables (dat wil zeggen rapporten die geen gevoelige informatie bevatten) van potentiële providers. Als de organisatie deze niet probleemloos kan produceren, zoek dan naar een andere provider.

Uw provider moet een eigen serviceovereenkomst voor u hebben die een verklaring bevat voor wederzijdse niet-openbaarmaking. Zorg ervoor dat u beiden dit ondertekent om uw organisatie te beschermen.

Voormalige hackers - dit zijn de black-hat hackers die in het verleden computersystemen hebben gehackt - kunnen heel goed zijn in wat ze doen. Veel mensen zweren bij het inhuren van gereformeerde hackers om ethisch te hacken. Anderen vergelijken dit met het huren van de spreekwoordelijke vos om het kippenhok te bewaken. Als u erover denkt om een ​​voormalige onethische hacker binnen te halen om uw systemen te testen, overweeg dan deze problemen:

• Wilt u echt kwaadwillig gedrag belonen met de activiteiten van uw organisatie?

• Beweren dat we hervormd worden, betekent nog niet dat hij of zij dat is. Er kunnen diepgewortelde psychologische problemen of karakterfouten zijn waar je mee te maken krijgt. Koper pas op!

• Informatie verzameld en gebruikt tijdens ethisch hacken is een van de meest gevoelige informatie die uw organisatie bezit. Als deze informatie in de verkeerde handen terechtkomt - zelfs tien jaar later - kan deze worden gebruikt tegen uw organisatie. Sommige hackers en gereformeerde criminelen hangen samen in krappe sociale groepen. Mogelijk wilt u niet dat uw informatie wordt gedeeld in hun kringen.

Dat gezegd hebbende, iedereen verdient een kans om uit te leggen wat er in het verleden is gebeurd. Nultolerantie is zinloos. Luister naar zijn of haar verhaal en gebruik een gezond verstand om te bepalen of je de persoon vertrouwt om je te helpen. De vermeende black-hat hacker is mogelijk een hacker met een grijze hoed of een misplaatste hacker met een witte hoed die goed in uw organisatie past.