Las cosas a considerar cuando se busca un proveedor de hacking ético
La externalización de hacking ético es muy popular y una gran manera para que las organizaciones obtienen una perspectiva de un tercero imparcial de la seguridad de la información. La externalización permite tener un sistema de pesos y contrapesos que clientes, socios comerciales, auditores y reguladores les gusta ver.
Video: The value of trespass | Bradley Garrett | TEDxViennaSalon
La externalización de hacking ético puede ser costoso. Muchas organizaciones gastan miles de dólares - a menudo decenas de miles - dependiendo de la prueba necesaria. Sin embargo, haciendo todo esto por sí mismo no es barato - y muy posiblemente no es tan eficaz, ya sea!
Una gran cantidad de información confidencial que está en juego, por lo que debe confiar en sus asesores externos y proveedores. Considere las siguientes preguntas cuando en busca de un experto independiente o proveedor de asociarse con:
Es el proveedor ético-piratería de su lado o del lado de un proveedor de terceros? Es el proveedor tratando de vender productos, o es el vendedor del proveedor neutral? Muchos proveedores podrían tratar de hacer unos cuantos más dólares en el acuerdo, que podría no ser necesario para sus necesidades. Sólo asegúrese de que estos potenciales conflictos de intereses no son malos para su presupuesto y su negocio.
¿Qué otros servicios de TI o de seguridad no ofrece el proveedor? ¿El proveedor se centran exclusivamente en la seguridad? Tener un especialista en seguridad de la información hacer esta prueba para usted es a menudo mejor que trabajar con una organización de TI generalista. Después de todo, ¿le contratar a un abogado general corporativo para ayudarle con una patente, un médico de familia en general para llevar a cabo la cirugía, o un técnico en computación de volver a cablear su casa?
Video: Short Film: Find my Phone - Subtitled
¿Cuáles son las políticas de contratación y terminación de su proveedor? Buscar medidas que el proveedor tarda en reducir al mínimo las posibilidades de que un empleado va a caminar con su información sensible.
¿El proveedor de entender sus necesidades de negocio? Tener la repetición proveedor de la lista de sus necesidades y ponerlas por escrito para asegurarse de que los dos están en la misma página.
¿Qué tan bien se comunica el proveedor? ¿Usted confía en el proveedor como para mantenerle informado y en contacto con usted en el momento oportuno?
¿Sabe exactamente quién realizará las pruebas? Será una persona hacer la prueba, o expertos en la materia voluntad centrarse en las diferentes áreas? (Esto no es motivo de ruptura, pero es bueno saber.)
¿El proveedor tiene la experiencia para recomendar medidas prácticas y eficaces para las vulnerabilidades encontradas? El proveedor no sólo debe entregar un informe que pensar y decir, “Buena suerte con todo eso!” Se necesita soluciones realistas.
¿Cuáles son los motivos del proveedor? ¿Le da la impresión de que el proveedor está en el negocio para hacer dinero rápido de los servicios, con el mínimo esfuerzo y valor añadido, o es el proveedor en el negocio para crear lealtad con usted y establecer una relación a largo plazo?
Encontrar una buena organización para trabajar con a largo plazo hará que sus esfuerzos en curso mucho más simple. Pedir varias referencias y muestras desinfectados entregables (es decir, informes que no contienen información sensible) de los proveedores potenciales. Si la organización no puede producir estos sin dificultad, buscar otro proveedor.
Su proveedor debe tener su propio acuerdo de servicio para usted que incluye una declaración de confidencialidad mutua. Asegúrese de que ambos firman esto para ayudar a proteger su organización.
Ex hackers - estos son los hackers de sombrero negro que han hackeado en los sistemas informáticos en el pasado - pueden ser muy buenos en lo que hacen. Muchas personas juran por la contratación de los piratas reformados hacer hacking ético. Otros Compare esto con la contratación de la zorra proverbial para vigilar el gallinero. Si usted está pensando en traer un ex pirata informático ético probar sus sistemas, tenga en cuenta estas cuestiones:
Es lo que realmente quiere recompensar el comportamiento malicioso con el negocio de su organización?
Alegando que reformar no significa que él o ella es. Podría haber problemas psicológicos profundamente arraigadas o defectos de carácter que vas a tener que lidiar. Comprador ¡tener cuidado!
La información recopilada y accede durante hacking ético es parte de la información más sensible de su organización posee. Si esta información se pone en las manos equivocadas - incluso diez años en el camino - que podría ser utilizado en contra de su organización. Algunos hackers y delincuentes reformados pasar el rato en los grupos sociales reducidos. Es posible que no quiere compartir su información en sus círculos.
Dicho esto, todo el mundo merece la oportunidad de explicar lo que sucedió en el pasado. La tolerancia cero es sin sentido. Escuchar su historia y usar su criterio de sentido común en cuanto a si la persona de su confianza para ayudarle. El supuesto hacker de sombrero negro en realidad podría haber sido un hacker gris-sombrero o una equivocada hackers de sombrero blanco que encaja muy bien en su organización.