16 mei 2017 -
De reputatie van hackers is niet best. Google op de term ‘hacker’ en u ziet het meteen; hackers worden beschouwd als gevaarlijk, eng en zijn meestal mannen.
Ze zitten het liefst de hele dag over hun beeldscherm gebogen in een donkere kamer ‒ onherkenbaar omdat ze zich met duistere zaakjes bezighouden. Dus werken ze in hun eentje, met een capuchon of bivakmuts op. Volgens Petra Eikenboom van Global Knowledge klopt dit beeld niet. Volgens haar kunnen hackers zelfs een positieve bijdrage leveren uw security.
Het geschetste stereotype van een hacker strookt uiteraard niet met de realiteit. Al blijft het woord ‘hacker’ wel omgeven door negatieve associaties. "Zoek maar eens op het woord hacker via Google", zegt Eikenboom. "Hackers lijken op Google een duister en eenzaam bestaan te leiden. Jammer want ze kunnen juist zo nuttig zijn!" Niet alle hackers hebben namelijk kwaad in de zin. Er zijn 'black-hat hackers' en 'white-hat hackers'.
Black-hat hackers
Dit zijn de slechteriken: de computerkrakers die ongevraagd uw computersystemen binnendringen, bijvoorbeeld om ze plat te leggen, instellingen of data te veranderen of verwijderen. Ze verspreiden virussen en internetwormen, creëren botnets en sturen phishing-mails. Dat doen ze vaak om daar financieel beter van te worden of voor politieke doeleinden.
White-hat hackers
Dit zijn ‘ethische hackers’. Met hun kennis en ervaring helpen ze organisaties om zich beter te kunnen weren tegen cybercriminaliteit. Het zijn dus meer security-specialisten, die geregeld worden ingehuurd om de beveiliging van bedrijfssystemen te verbeteren.
Ethisch hacken
Hoe kan hacken nou ethisch zijn; het is toch een vorm van inbreken? Eikenboom: "Vroeger was een hack altijd strafbaar. Dat betekent dat ook een hacker die melding maakte van een beveiligingslek zodat een organisatie zijn software kon verbeteren, het risico liep om vervolgd te worden. Ondertussen profiteerden veel bedrijven wel van de informatie uit strafbare hacks om hun IT-beveiliging te verscherpen en waren er organisaties die hackers aanklaagden in plaats van de software te verbeteren." Tegenwoordig bestaat daarvoor een andere oplossing, waarbij hackers ongestraft hun gang kunnen gaan – mits ze zich aan bepaalde voorwaarden houden. Deze regels moet een organisatie vastleggen in zijn Responsible Disclosure-beleid.
Drie manieren van melden
De manier waarop hacks bekend worden heeft gevolgen voor wat er met een lek gebeurd. Vandaag de dag zijn er drie manieren om met een gevonden kwetsbaarheid om te gaan voor hackers die geen kwaad in de zin hebben.
Non Disclosure: de hacker vertelt niemand van zijn hack. De gehackte organisatie weet van niks en zal het aan het licht gekomen securityprobleem dus ook niet verhelpen.
Full Disclosure: de hacker vertelt iedereen die het wil weten dat een organisatie een zwakke plek in zijn digitale verdediging heeft. Daardoor wordt deze gedwongen om dit snel te verbeteren. Dat kan soms niet meteen, waardoor black-hat hackers er misbruik van maken.
Responsible Disclosure: de hacker maakt in overleg met de organisatie de kwetsbaarheden openbaar, volgens het Responsible Disclosure-beleid van deze organisatie.
Hoe past u Responsible Disclosure toe?
Wilt u een Responsible Disclosure-beleid voeren, dan bent u verplicht dit te melden op uw website. Daarin kunt u uitleggen binnen welke kaders een hacker zijn gang mag gaan en aangeven dat u geen aangifte doet als hij zich daaraan houdt. Zo nodigt u de hacking community min of meer uit om een zwakke plek in uw beveiliging te vinden, zodat die verbetert kan worden.
Veel organisaties hebben een Responsible Disclosure-statement op hun website staan dat ter inspiratie kan dienen, zoals ING. Ook heeft de overheid een leidraad voor Responsible Disclosure uitgegeven. Deze geeft u stevige handvatten om een passend Responsible Disclosure-beleid op te stellen.
Hackers verdienen een knuffel
Eikenboom roept op om cooral ook eens aan alle goedwillende hackers te denken: "Alle hackers in Hawaï-shirts, korte broek, blouses en jurkjes verdienen het om ook gezien te worden! Ik denk dat we meer aandacht mogen hebben voor de hackers die ons helpen bouwen aan een betere en veiligere wereld. We hebben ze nodig zodat we weten waar onze zwakke punten liggen. Deze mannen, én vrouwen, verdienen een knuffel!"
