Ang layunin ng Dutch na gawing huwad ang mga kasanayan sa pagsisiwalat ng mga etika ng hacker

Ang cyber security center ng gobyernong Dutch ay naglathala ng mga alituntunin na inaasahan nito na hihikayat ang mga etikal na hacker na ibunyag ang mga kahinaan sa seguridad sa isang responsableng paraan.

"Ang mga taong nag-ulat ng isang kahinaan sa IT ay may isang mahalagang sinabi ng Olandes na ministri ng Seguridad at Hustisya sa Huwebes, na nagpapahayag ng mga alituntunin para sa etikal na pag-hack na inilathala ng Pambansang Cyber ​​Security Center (NCSC) ng bansa.

Ang mga tagapanguna ng mga sumbrero ng White-hat at seguridad ay may mahalagang papel sa pagseguro Mga sistema ng IT sa pamamagitan ng paghahanap ng mga kahinaan, sinabi ng NCSC. Gayunpaman, pinanatili ng sentro na ang mga mananaliksik ng seguridad ay nag-aatubili kung minsan upang ibunyag ang mga kahinaan sa mga kumpanya, sa halip ay gumagamit ng mga media outlet upang ipahayag ang mga kahinaan, na isang hindi kanais-nais na kasanayan dahil inilalantad nito ang butas bago ito ayusin. (Tingnan din ang "'Audacious' Hactivists Gumawa ng Pahayag ng Sosyal, Sinasabi ng Iskolar.")

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Gamit ang gabay, ang gobyerno lumikha ng kanilang sariling mga patakaran sa responsableng pagsisiwalat. Sinabi ni Ivo Opstelten, Ministro ng Seguridad at Hustisya na palawakin ang malawak na paggamit ng mga responsibilidad ng pagsisiwalat sa loob ng pamahalaan, sinabi niya sa isang liham na ipinadala sa parlyamento.

Habang ang inilabas na patnubay ay hindi nakakaapekto sa umiiral na legal na balangkas, hinihikayat ang mga partido na magtulungan upang gawing mas ligtas ang mga sistemang IT, ayon sa NCSC. Ang mga kumpanya at pamahalaan ay maaaring halimbawa ay nag-aalok ng isang standardized online na form na maaaring magamit ng mga mananaliksik ng seguridad upang ipaalam sa isang organisasyon kung nakakita sila ng isang kahinaan, sinabi.

Ang kumpanya at ang mananaliksik ay maaari ring sumang-ayon na ibunyag ang kahinaan sa loob ng isang tiyak na oras frame. Ang isang katanggap-tanggap na panahon para sa pagsisiwalat ng mga kahinaan ng software ay 60 araw, habang ang isang makatwirang panahon upang ibunyag nang mas mahirap upang ayusin ang mga kahinaan ng hardware ay anim na buwan, sinabi ng NCSC. Kapag ang isang organisasyon ay nagpasiya na sundin ang mga patnubay na ito, dapat itong isama sa patakaran nito na hindi ito magkakaroon ng legal na pagkilos laban sa mga etikal na hacker na sumunod sa mga patakaran, idinagdag ito.

Ang Dutch Public Prosecution Service gayunpaman ay mananatiling opsyon upang mag-usig kapag Ang suspek ay nagawa na ang mga krimen ay ginawa, sinabi ng Ministry of Security at Justice.

Rekomendadong pamamaraan

Ang taong natutuklasan ang kahinaan ay dapat na direktang iulat ito at sa lalong madaling panahon sa may-ari ng system sa isang kompidensyal na paraan, kaya ang pagtagas ay hindi maaaring abusuhin ng iba. Bukod dito, ang etikal na hacker ay hindi gagamit ng mga diskarte sa panlipunan engineering, ni mag-install ng backdoor o kopya, baguhin o tanggalin ang data mula sa system, tinukoy ng NCSC. Sa kabilang banda, maaaring gumawa ng hacker ang listahan ng direktoryo sa system, sinabi ng mga alituntunin.

Dapat ding iwasan ng mga Hacker na baguhin ang system at hindi paulit-ulit na ma-access ang system. Ang paggamit ng mga pamamaraan ng brute-force upang ma-access ang isang sistema ay nasisiraan ng loob din, sinabi ng NCSC. Ang etikal na hacker ay kailangang sumang-ayon na ang mga kahinaan ay ibubunyag lamang pagkatapos na maayos ang mga ito at lamang na may pahintulot ng kasangkot na organisasyon. Ang mga partido ay maaari ring magpasiya na ipaalam ang mas malawak na komunidad ng IT kung ang kahinaan ay bago o ito ay pinaghihinalaang mas maraming mga sistema ang may parehong kahinaan, ayon sa NCSC.

Habang ang prinsipyo ng responsableng pagsisiwalat ay nasa prinsipyo ng isang bagay para sa detektor at organisasyon, ang NCSC ay maaaring kumilos bilang tagapamagitan kung ang isang kahinaan ay inuulat nang direkta.

"Sa palagay ko ito ay isang napakahusay na bagay, lalo na kapag ang NCSC ay nagsisilbing tagapamagitan," sabi ni Ronald Prins, CEO ng Dutch security matatag na Fox-IT. Ang isa sa mga problema sa mga etikal na hacker ay nakaharap ay na sila ay may isang mahirap na oras na kinuha sineseryoso kung mag-ulat sila ng isang kahinaan sa isang kumpanya, at sila ay may isang mahirap oras na maabot ang tamang tao, sinabi niya.

Kung ang isang organisasyon ay nakipag-ugnayan tungkol sa isang kahinaan sa seguridad ng isang opisyal na organisasyon ng gobyerno tulad ng NCSC, malamang na tanggapin ang babala nang mas seryoso, idinagdag niya. Ang mga pormularyo sa online na ginamit upang iulat ang kahinaan direkta sa tamang tao sa loob ng isang organisasyon ay maaari ring makatulong sa prosesong ito, dagdag pa niya.

Habang may maliit na kakayahang umangkop na ibinigay sa etikal na mga hacker sa loob ng mga alituntunin, sinabi ni Prins na naunawaan niya kung bakit ginawa ito ng gobyerno. Pinipigilan nito ang mga etikal na hacker na tumawid sa linya, sinabi niya.

"Nakikita ko na ang ilang mga tao ay nasiyahan" dahil ang Public Prosecution Service ay pinapayagan pa rin upang mag-usig kapag itinuturing nila na kailangan, sinabi ni Prins. Ngunit imposibleng hindi gawin ito, idinagdag niya. "Masisiyahan ako kapag may nag-ulat ng problema na nakita niya," sabi niya. Ngunit kung ang taong iyon ay gumugol ng mga araw na dumaloy sa kanyang mga sistema upang makapasok, ang Prins ay tiyak na isaalang-alang ang paghahain ng legal na reklamo, sinabi niya.

Loek ay Amsterdam Correspondent at sumasaklaw sa online privacy, intelektwal na ari-arian, open-source at online na mga isyu sa pagbabayad para sa IDG Serbisyo ng Balita. Sundin siya sa Twitter sa @loekessers o mga tip sa email at komento sa [email protected]