Guvernul olandez își propune să modeleze practicile de dezvăluire a hackerilor etici

Centrul de securitate cibernetică al guvernului olandez a publicat linii directoare că speră că va încuraja hackerii etici să dezvăluie vulnerabilitățile de securitate într-un mod responsabil. responsabilitate socială ", a declarat miercuri ministerul securității și justiției olandez, care a anunțat că au fost publicate de către Centrul Național de Securitate Cyber ​​(CNSC) instrucțiunile privind hacking-ul etic.

Hackerii și cercetătorii de securitate joacă un rol important în asigurarea Sistemele IT prin găsirea de vulnerabilități, a spus CNSC. Cu toate acestea, centrul a susținut că cercetătorii din domeniul securității sunt uneori reticenți în a divulga vulnerabilități companiilor, în schimb, folosind mijloacele de informare în masă pentru a anunța vulnerabilitățile, ceea ce reprezintă o practică nedorită, deoarece expune o gaură înainte de a fi fixată. (Vezi deasemenea "Hacistii" Audacious "fac declaratii sociale, spune Scholar.")

[Cititul suplimentar: Cum se elimina malware-ul de pe PC-ul tau Windows]

Cu ghidul, guvernul vrea sa ofere organizatiilor un cadru să își creeze propriile politici privind divulgarea responsabilă. Ministrul securității și justiției, Ivo Opstelten, intenționează să încurajeze utilizarea pe scară largă a orientărilor privind divulgarea responsabilității în cadrul guvernului, a afirmat el într-o scrisoare trimisă parlamentului.

Deși orientările eliberate nu afectează cadrul juridic existent, încurajează părțile să colaboreze pentru a face sistemele IT mai sigure, a spus CNSC. Companiile și guvernele ar putea, de exemplu, să ofere un formular on-line standardizat care să poată fi folosit de către cercetătorii în domeniul securității pentru a notifica o organizație dacă a găsit o vulnerabilitate.

Compania și cercetătorul pot fi, de asemenea, de acord să dezvăluie vulnerabilitatea într- cadru. O perioadă acceptabilă pentru dezvăluirea vulnerabilităților software este de 60 de zile, în timp ce o perioadă rezonabilă de dezvăluire a dificultăților de a repara vulnerabilitățile hardware este de șase luni, a spus CNSC. Atunci când o organizație decide să urmeze aceste orientări, ar trebui să includă în politica sa că nu va lua măsuri legale împotriva hackerilor etici care respectă regulile, a adăugat acesta.

Serviciul procuraturii olandeze va păstra opțiunea de urmărire penală suspectează că au fost săvârșite infracțiuni, a declarat ministerul securității și justiției

Procedura recomandată

Persoana care descoperă vulnerabilitatea trebuie să o raporteze direct și cât mai curând posibil proprietarului sistemului într-o manieră confidențială, astfel încât scurgerea nu poate fi abuzată de alții. În plus, hackerul etic nu va folosi tehnici de inginerie socială, nici nu va instala o backdoor sau nu va copia, modifica sau șterge date din sistem, specificat de NCSC. În mod alternativ, un hacker ar putea face o listă de directoare în sistem, conform liniilor directoare.

Hackerii ar trebui, de asemenea, să se abțină de la modificarea sistemului și să nu acceseze în mod repetat sistemul. Folosirea unor tehnici de forta bruta pentru a accesa un sistem este de asemenea descurajata, a spus CNSC. De asemenea, hackerul etic trebuie să convină că vulnerabilitățile vor fi dezvăluite numai după ce vor fi reparate și numai cu consimțământul organizației implicate. De asemenea, părțile pot decide să informeze comunitatea IT mai largă dacă vulnerabilitatea este nouă sau se suspectează că mai multe sisteme au aceeași vulnerabilitate, a spus CNSC

În timp ce procedura de divulgare responsabilă este, în principiu, o problemă pentru detector și organizație, NCSC poate acționa ca intermediar în cazul în care i se semnalează o vulnerabilitate.

"Cred că este un lucru foarte bun, mai ales atunci când NCSC acționează ca intermediar", a declarat Ronald Prins, CEO al securității olandeze firma Fox-IT. Una dintre problemele cu care se confruntă hackerii etici este aceea că aceștia se confruntă cu dificultăți în a fi luați în serios dacă raportează o vulnerabilitate la o companie și au dificultăți în a ajunge la persoana potrivită, a spus el.

Dacă o organizație este contactată în legătură cu o vulnerabilitate de securitate de către o organizație oficială guvernamentală, cum ar fi NCSC, va lua probabil avertismentul într-un mod mai serios, a adăugat el. Formularele online folosite pentru a raporta vulnerabilitatea directă persoanei potrivite din cadrul unei organizații ar putea contribui, de asemenea, la acest proces, a adăugat el.

În timp ce flexibilitatea acordată hackerilor etici în cadrul liniilor directoare, Prins a spus că a înțeles de ce guvernul a făcut acest lucru. Acest lucru împiedică hackerii etici să treacă linia, a spus el. "Vad că unii oameni sunt dezamăgiți", deoarece Serviciului Public de urmărire penală i se permite să se pronunțe atunci când consideră că este necesar, a spus Prins. Dar este imposibil să nu faceți acest lucru, a adăugat el. "Aș fi foarte mulțumit dacă cineva raportează o problemă pe care a găsit-o", a spus el. Dar dacă acea persoană își petrece zile să-și lovească sistemele pentru a intra, Prins ar considera cu certitudine că a depus o plângere legală, a spus el.

Loek este Corespondent Amsterdam și acoperă problemele legate de confidențialitatea online, proprietatea intelectuală, Serviciul de știri. Urmați-l pe Twitter la @loekessers sau sfaturi și comentarii pe e-mail la [email protected]