Dinge, die man bei der Suche nach einem Ethical Hacking Vendor beachten sollte - dummies

Das Outsourcing von ethischem Hacken ist sehr beliebt und eine großartige Möglichkeit für Organisationen, eine unvoreingenommene Sichtweise ihrer Informationssicherheit zu erhalten. Outsourcing ermöglicht es Ihnen, ein Check-and-Balance-System zu haben, das Kunden, Geschäftspartner, Auditoren und Regulierungsbehörden gerne sehen möchten.

Das Outsourcing ethischen Hackens kann teuer werden. Viele Organisationen geben Tausende von Dollar aus - oft Zehntausende - abhängig von den erforderlichen Tests. Aber all das selbst zu tun ist nicht billig - und möglicherweise ist es auch nicht so effektiv!

Viele vertrauliche Informationen stehen auf dem Spiel, daher müssen Sie Ihren externen Beratern und Lieferanten vertrauen. Betrachten Sie die folgenden Fragen, wenn Sie nach einem unabhängigen Experten oder Anbieter suchen, der als Partner fungiert:

• Ist Ihr Anbieter für ethische Hacking-Aktivitäten auf Ihrer Seite oder auf Seiten eines Drittanbieters? Versucht der Anbieter, Ihnen Produkte zu verkaufen, oder ist der Anbieter neutral? Viele Anbieter könnten versuchen, ein paar Dollar mehr zu sparen, was für Ihre Bedürfnisse möglicherweise nicht notwendig ist. Stellen Sie nur sicher, dass diese potenziellen Interessenkonflikte nicht schlecht für Ihr Budget und Ihr Unternehmen sind.

• Welche anderen IT- oder Sicherheitsdienste bietet der Anbieter an? Konzentriert sich der Anbieter ausschließlich auf Sicherheit? Wenn Sie einen Informationssicherheitsspezialisten haben, ist dieses Testen für Sie oft besser als die Zusammenarbeit mit einer IT-Generalistenorganisation. Würden Sie doch einen Generalunternehmer anstellen, der Ihnen bei einem Patent hilft, ein Allgemeinmediziner, der eine Operation durchführt, oder ein Computertechniker, der Ihr Haus neu verkabelt?

• Wie lauten die Einstellungs- und Beendigungsrichtlinien Ihres Anbieters? Suchen Sie nach Maßnahmen, die der Anbieter unternimmt, um die Wahrscheinlichkeit zu minimieren, dass ein Mitarbeiter mit Ihren vertraulichen Informationen davonkommt.

• Versteht der Anbieter Ihre geschäftlichen Anforderungen? Lassen Sie den Anbieter die Liste Ihrer Bedürfnisse wiederholen und schreiben Sie diese schriftlich, um sicherzustellen, dass Sie beide auf derselben Seite sind.

• Wie gut kommuniziert der Anbieter? Vertraust du dem Anbieter, um dich auf dem Laufenden zu halten und dich rechtzeitig zu informieren?

• Wissen Sie genau, wer die Tests durchführen wird? Wird eine Person die Tests durchführen oder werden sich die Experten auf die verschiedenen Bereiche konzentrieren? (Dies ist kein Deal Breaker, aber es ist gut zu wissen.)

• Hat der Anbieter die Erfahrung, praktische und effektive Gegenmaßnahmen zu den gefundenen Schwachstellen zu empfehlen? Der Anbieter sollte Ihnen nicht nur einen Denkbericht geben und sagen: "Viel Glück mit all dem!"Sie brauchen realistische Lösungen.

• Was sind die Motive des Anbieters? Haben Sie den Eindruck, dass der Anbieter im Geschäft ist, um mit minimalem Aufwand und Mehrwert einen schnellen Umsatz zu erzielen, oder ist der Anbieter im Geschäft, um mit Ihnen Loyalität aufzubauen und eine langfristige Beziehung aufzubauen?

Eine gute Organisation zu finden, um langfristig zu arbeiten, wird Ihre laufenden Bemühungen viel einfacher machen. Bitten Sie um mehrere Referenzen und Beispiele für bereinigte Ergebnisse (dh Berichte, die keine vertraulichen Informationen enthalten) von potenziellen Anbietern. Wenn die Organisation diese nicht problemlos herstellen kann, suchen Sie nach einem anderen Anbieter.

Ihr Anbieter sollte eine eigene Servicevereinbarung für Sie haben, die eine gegenseitige Geheimhaltungserklärung enthält. Vergewissern Sie sich, dass beide dies unterschreiben, um Ihre Organisation zu schützen.

Ehemalige Hacker - das sind die Black-Hat-Hacker, die in der Vergangenheit in Computersysteme gehackt wurden - können sehr gut in dem sein, was sie tun. Viele Leute schwören, indem sie reformierte Hacker einstellen, um ethisches Hacking zu betreiben. Andere vergleichen das mit der Einstellung des sprichwörtlichen Fuchses, um den Hühnerstall zu bewachen. Wenn Sie darüber nachdenken, einen ehemaligen unethischen Hacker dazu zu bringen, Ihre Systeme zu testen, sollten Sie folgende Punkte berücksichtigen:

• Möchten Sie böswilliges Verhalten wirklich mit dem Geschäft Ihrer Organisation belohnen?

• Die Behauptung, reformiert zu werden, bedeutet nicht, dass er oder sie es ist. Es könnte tief verwurzelte psychologische Probleme oder Charakterfehler geben, mit denen Sie fertig werden müssen. Käufer Achtung!

• Informationen, die während des ethischen Hackens gesammelt und abgerufen werden, gehören zu den sensibelsten Informationen, über die Ihre Organisation verfügt. Wenn diese Information in die falschen Hände gerät - sogar in zehn Jahren - könnte sie gegen Ihre Organisation verwendet werden. Einige Hacker und reformierte Kriminelle halten sich in engen sozialen Gruppen auf. Möglicherweise möchten Sie nicht, dass Ihre Informationen in ihren Kreisen geteilt werden.

Das heißt, jeder verdient eine Chance zu erklären, was in der Vergangenheit passiert ist. Nulltoleranz ist sinnlos. Hören Sie sich seine Geschichte an und nutzen Sie die Vernunft, ob Sie der Person vertrauen, die Ihnen hilft. Der vermeintliche Schwarzhut-Hacker könnte ein Grauhut-Hacker oder ein fehlgeleiteter Weißhut-Hacker gewesen sein, der gut in Ihre Organisation passt.