Kuidas häkkida seaduslikult – taskuhääling

Häkkimist kujutatakse sageli hämara ja ebaseadusliku tegevusena – kapuutsiga kuju, kelder, virvendavad ekraanid. Tegelikult võib häkkimine olla täiesti seaduslik ja on küberturvalisuse üks kesksemaid osi. Just sellest räägin taskuhäälingu osas „How to Hack Legally“: eetilisest häkkimisest ja sellest, kuidas süsteeme korrektselt – loaga – testida.

Saade on slovakikeelne. Allolev kokkuvõte annab jutu sisu edasi eesti keeles ja seob selle Eesti õigusraamistikuga.

Mis on eetiline häkkimine?

Eetiline häkkimine – mida praktikas nimetatakse penetratsioonitestimiseks ehk läbistustestimiseks – kontrollib süsteeme, rakendusi ja võrke haavatavuste suhtes enne, kui ründajad need üles leiavad. Vahe on üksainus: see toimub selgesõnalise loaga. Ettevõtted ja asutused tellivad eetiliselt häkkerilt realistliku rünnaku simulatsiooni, et oma kaitset tugevdada.

Kes seda tööd täpsemalt teeb, mida ta tohib ja kuidas head pakkujat ära tunda, on lahti kirjutatud artiklis eetiline häkker.

Õiguslik raamistik Eestis

Iga häkkimine ei ole ebaseaduslik – otsustavad on eesmärk, luba ja ulatus. Nii käib see korrektselt:

1. Hangi luba (kuldreegel)

Ilma nõusolekuta on testimine ebaseaduslik. Eetiline häkker töötab lepingu alusel ja iga tegevus on testitava ettevõtte poolt heaks kiidetud. Ilma selle loata vastavad samad teod karistusseadustiku koosseisudele: § 217 – arvutisüsteemile ebaseadusliku juurdepääsu hankimine, § 206 – arvutiandmetesse sekkumine ja olenevalt tegevusest § 207 – arvutisüsteemi toimimise takistamine. Hea kavatsus seda hinnangut ei muuda.

Oluline lisatingimus: tellimus peab tulema sellelt, kes süsteemi tegelikult käitab. Võõras pilves töötava rakenduse või SaaS-teenuse puhul ei ole see automaatselt sinu ettevõte.

2. Püsi ulatuses

Ka loaga kehtib reegel: jää kokkulepitud raamidesse. Testitakse ainult määratud süsteeme, välditakse andmete lekkimist ja järgitakse kokkulepitud reegleid. Ulatusest väljumine ei ole tehniline pisiasi, vaid õiguslik probleem – luba katab täpselt seda, mis on kirja pandud.

3. Teata leidudest vastutustundlikult

Leitud haavatavusi ei kasutata ära, vaid neist teatatakse vastutustundlikult, et parandused jõuaksid enne kuritarvitamist kohale. Kui testimise käigus tuleb päevavalgele päris intsident, tulevad mängu ka teavituskohustused: küberturvalisuse seadus suunab elutähtsa teenuse osutajad Riigi Infosüsteemi Ameti (RIA) poole ja isikuandmete lekke korral tuleb pöörduda Andmekaitse Inspektsiooni (AKI) poole. Kui test tehakse NIS2 nõuete täitmiseks, lepitakse see raport kokku juba enne testi algust.

Eetilise häkkimise kasu

Kuigi eetiline häkker „murrab sisse“, tugevdab ta kaitset. Miks:

1. Ennetus

Haavatavused leitakse ja kõrvaldatakse enne ründajat – enne kui intsident üldse tekib.

2. Tõhusus

Ennetamine on odavam kui intsidendile reageerimine.

3. Suurem turvalisus

Eetiline häkker leiab augud, millest tööriistad mööda vaatavad – turvatase tõuseb.

4. Parem maine

Kes turvalisusega aktiivselt tegeleb, tugevdab klientide ja partnerite usaldust. Eestis küsib seda tõendit üha sagedamini nii sertifitseerimisaudiitor kui ka kliendi turvaküsimustik.

Miks eetiline häkkimine on oluline

Küberohud arenevad pidevalt ja ettevõtted vajavad eetilisi häkkereid, et püsida sammu võrra ees. Kes haavatavused varakult üles leiab, kaitseb andmeid, finantssüsteeme ja elutähtsat taristut.

Eetiline häkkimine ei ole ainult „sissemurdmine“ – see loob turvalisema digimaailma. Seaduslikult ja vastutustundlikult tehtuna on see küberturvalisuse üks väärtuslikumaid distsipliine.

Seaduslik häkkimine – korduvad küsimused

Seotud Haxorise teenused: veebirakenduste ja taristu läbistustestimine