Hvordan man etablerer mål for en etisk hackeplan - dummier

Din testplan har brug for mål. Hovedmålet med etisk hacking er at finde sårbarheder i dine systemer ud fra de onde fyre, så du kan gøre dit miljø mere sikkert. Du kan derefter tage dette et skridt videre:

• Definer mere specifikke mål. Juster disse mål med dine forretningsmål. Hvad er du og ledelsen forsøger at få fra denne proces? Hvilke præstationskriterier vil du bruge til at sikre, at du får mest muligt ud af din test?

• Opret en specifik tidsplan med start- og slutdato samt de gange, din test skal finde sted. Disse datoer og tider er kritiske komponenter i din overordnede plan.

Før du begynder en test, har du absolut positivt brug for alt skriftligt og godkendt. Dokumentér alt og involverer ledelse i denne proces. Din bedste allierede i din testindsats er en leder, der støtter det, du laver.

Følgende spørgsmål kan starte bolden, når du definerer målene for din etiske hackingplan:

• Støtter din test virksomhedens mission og IT- og sikkerhedsafdelinger?

• Hvilke forretningsmæssige mål er opfyldt ved at udføre etisk hacking? Disse mål kan omfatte følgende:

  • Arbejde gennem erklæring om standarder for attesteringsforpligtelser (SSAE) 16 revisioner

  • Fødevaresikkerhedsstandarder (HIPAA) og betalingskortets industristandarder for sikkerhedsstandarder (PCI DSS)

  • Mødeforpligtelser for kunder eller forretningspartnere

  • Vedligeholdelse af virksomhedens image

  • Forberedelse til den internationalt accepterede sikkerhedsstandard for ISO / IEC 27001: 2013

• Hvordan forbedrer denne testning sikkerhed, it og virksomheden som helhed?

• Hvilke oplysninger beskytter du? Dette kan være personlig sundhedsinformation, intellektuel ejendomsret, fortrolige klientoplysninger eller medarbejdernes private oplysninger.

• Hvor meget penge, tid og indsats er du og din organisation villig til at bruge på sikkerhedsvurderinger?

• Hvilke specifikke resultater vil der være? Leverancer kan omfatte alt fra højtstående executive rapporter til detaljerede tekniske rapporter og opskrivninger på det, du testede sammen med resultaterne af dine tests. Du kan levere specifikke oplysninger, der hentes under testen, f.eks. Adgangskoder og andre fortrolige oplysninger.

• Hvilke specifikke resultater vil du have? Ønskede resultater omfatter begrundelsen for at ansætte eller outsource sikkerhedspersonale, øge dit sikkerhedsbudget, opfylde overholdelseskrav eller forbedre sikkerhedssystemerne.

Når du har kendskab til dine mål, skal du dokumentere trinene for at komme derhen. Hvis et mål f.eks. Er at udvikle en konkurrencemæssig fordel for at bevare eksisterende kunder og tiltrække nye, skal du afgøre svarene på disse spørgsmål:

• Hvornår starter du testningen?

• Vil din testmetode være blind, , hvor du ikke ved noget om de systemer, du tester, eller vidensbaseret , hvor du får specifikke oplysninger om systemer du tester, såsom IP-adresser, værtsnavne og endda brugernavne og adgangskoder?

• Vil din test være teknisk af natur, involvere fysiske sikkerhedsvurderinger eller endda bruge social engineering?

• Vil du være en del af et større etisk hackingsteam, nogle gange kaldet et tigerhold eller rødt hold?

• Vil du underrette de berørte parter om, hvad du laver, og når du laver det? Hvis ja, hvordan?

  Kundeanmeldelse er et kritisk problem. Mange kunder sætter pris på, at du tager skridt til at beskytte deres oplysninger. Tilnærm testningen på en positiv måde. Sig ikke: "Vi bryder ind i vores egne systemer for at se, hvilke oplysninger der er sårbare over for hackere", selvom det er hvad du laver. I stedet skal du sige, at du vurderer den samlede sikkerhed i dit netværksmiljø, så oplysningerne bliver så sikre som muligt.

• Hvordan vil du vide, om kunderne endda bryr sig om, hvad du laver?

• Hvordan vil du informere kunder om, at organisationen træffer foranstaltninger for at øge sikkerheden ved deres information?

• Hvilke målinger kan sikre, at disse bestræbelser betaler sig?

Etablering af dine mål tager tid, men du vil ikke fortryde det. Disse mål er dit køreplan. Hvis du har nogen bekymringer, skal du se disse mål for at sikre dig, at du holder dig på sporet.