Saker att tänka på när man söker en etisk hackare - dummies

Outsourcing etisk hacking är väldigt populärt och ett bra sätt för organisationer att få ett opartiskt tredjepartsperspektiv av deras informationssäkerhet. Outsourcing gör att du kan ha ett system för check-and-balances som kunder, affärspartners, revisorer och tillsynsmyndigheter gillar att se.

Outsourcing etisk hacking kan vara dyrt. Många organisationer spenderar tusentals dollar - ofta tiotusentals - beroende på testningen som behövs. Att göra allt detta själv är dock inte billigt - och det är kanske inte lika effektivt heller!

Mycket konfidentiell information står på spel, så du måste lita på dina externa konsulter och leverantörer. Tänk på följande frågor när du letar efter en oberoende expert eller leverantör till partner med:

• Är din leverantör av etisk hacking på din sida eller en tredje parts leverantörssida? Tänker leverantören försöka sälja dig produkter, eller är leverantörsleverantören neutral? Många leverantörer kan försöka göra några fler dollar av avtalet, vilket kanske inte är nödvändigt för dina behov. Se bara till att dessa potentiella intressekonflikter inte är dåliga för din budget och ditt företag.

• Vilka andra IT- eller säkerhetstjänster tillhandahåller leverantören? Ger leverantören enbart fokus på säkerhet? Att ha en informationssäkerhetsspecialist gör det här testet för dig ofta bättre än att arbeta med en IT-generalistorganisation. Tror du att du skulle anställa en allmän företagsadvokat för att hjälpa dig med ett patent, en allmän familjepraktiker som utför kirurgi eller en datortekniker för att omdirigera ditt hus?

• Vad är din leverantörs anställnings- och uppsägningspolicy? Leta efter åtgärder som leverantören tar för att minimera chansen att en anställd kommer att gå av med din känsliga information.

• Förstår leverantören dina företagsbehov? Har leverantören upprepa listan över dina behov och skriv dem skriftligt så att du är båda på samma sida.

• Hur väl kommunicerar leverantören? Lita du på leverantören att hålla dig informerad och följa upp dig i god tid?

• Vet du exakt vem som ska utföra testen? Kommer en person att göra testningen, eller kommer ämnet experter att fokusera på de olika områdena? (Detta är inte en avbrottsbrytare men det är trevligt att veta.)

• Har leverantören erfarenhet av att rekommendera praktiska och effektiva motåtgärder mot de funktionshinder som finns? Leverantören ska inte bara ge dig en tänkbar rapport och säga, "Lycka till med allt det!"Du behöver realistiska lösningar.

• Vad är leverantörens motiv? Får du intrycket av att leverantören är i affärer för att snabbt ta bort tjänsterna, med minimal ansträngning och mervärde, eller är leverantören i affärer för att skapa lojalitet med dig och skapa ett långsiktigt förhållande?

Att hitta en bra organisation för att jobba på lång sikt gör din pågående insats mycket enklare. Be om flera referenser och prov sanitized leveranser (det vill säga rapporter som inte innehåller känslig information) från potentiella leverantörer. Om organisationen inte kan producera dessa utan svårighet, leta efter en annan leverantör.

Din leverantör ska ha sitt eget serviceavtal för dig som innehåller ett gemensamt icke-avslöjande uttalande. Se till att du båda signerar detta för att skydda din organisation.

Tidigare hackare - det här är svarta hackersna som tidigare hackat i datorsystem - kan vara mycket bra på vad de gör. Många människor svär genom att hyra reformerade hackare för att göra etisk hacking. Andra jämför det här med att hyra den ordspråkliga räven för att skydda hönshuset. Om du funderar på att föra in en tidigare oetisk hacker för att testa dina system, överväga dessa problem:

• Vill du verkligen belöna skadligt beteende med din företags verksamhet?

• Anspråk på att reformeras betyder inte att han eller hon är. Det kan vara djupt rotade psykologiska problem eller teckenfel du kommer att behöva göra med. Köparen se upp!

• Uppsamlad information och åtkomst under etisk hacking är några av de känsligaste uppgifter som din organisation har. Om denna information hamnar i fela händer - även tio år på vägen - kan den användas mot din organisation. Vissa hackare och reformerade brottslingar hänger i täta sociala grupper. Du kanske inte vill att din information delas i sina cirklar.

Som sagt, förtjänar alla chanser att förklara vad som hände i det förflutna. Nolltolerans är meningslöst. Lyssna på hans eller hennes berättelse och använd vanligt sunt omdöme om huruvida du litar på att personen hjälper dig. Den förmodade svarta hatten hackaren kan faktiskt ha varit en gråhatt hackare eller en missvisad vithatt hackare som passar bra i din organisation.