Hogyan lehet legálisan hackelni? – podcast
A lényeg röviden
- A hackelés önmagában nem bűncselekmény: a szándék, az engedély és a hatókör dönti el, hogy legális-e
- Engedély nélkül ugyanaz a művelet a Btk. 423. §-a szerinti információs rendszer vagy adat megsértése
- Az etikus hacker a megállapodott hatókörön belül marad, a talált hibát pedig nem használja ki, hanem jelenti
- A megelőzés olcsóbb, mint az incidens elhárítása – és a bizonyíthatóan letesztelt védelem az ügyfelek előtt is számít
A hackelést sokáig sötét, illegális tevékenységként ábrázolták: kapucnis alak egy pincében, villódzó képernyők előtt. Pedig a hackelés lehet teljesen legális, sőt a kiberbiztonság egyik legfontosabb része. Pontosan erről beszélgettünk a „How to Hack Legally” című podcastadásban: az etikus hackelésről és arról, hogyan lehet idegen rendszerbe helyesen – engedéllyel – behatolni.
A felvétel szlovák nyelvű; az alábbi összefoglaló magyarul adja vissza, miről beszélgettünk.
Mi az az etikus hackelés?
Az etikus hackelés – amit a szakmában penetrációs tesztnek nevezünk – rendszereket, alkalmazásokat és hálózatokat vizsgál azért, hogy a sérülékenységeket előbb találja meg, mint a támadó. Egyetlen dolog különbözteti meg a támadástól: kifejezett engedéllyel történik. Cégek, hivatalok és intézmények azért bíznak meg etikus hackert, hogy valósághű támadást szimuláljon, és ebből erősítsék meg a védelmüket.
Hogy pontosan mit csinál egy ilyen szakember, mit szabad neki, és mi alapján érdemes választani, arról külön cikkben írtunk: etikus hacker.
A hackelés jogi oldala
Nem minden hackelés jogellenes – a szándék, az engedély és a hatókör dönt. Így néz ki helyesen:
1. Szerezzen engedélyt (az aranyszabály)
Engedély nélkül a tesztelés jogellenes. Az etikus hacker szerződés alapján dolgozik, és minden lépését a vizsgált szervezet hagyja jóvá. Engedély nélkül ugyanez a művelet a Btk. 423. §-a szerinti információs rendszer vagy adat megsértése; a jó szándék ezen nem változtat. Fontos kikötés: a megbízásnak attól kell érkeznie, aki a rendszert ténylegesen üzemelteti. Idegen felhőben futó alkalmazásnál ez nem automatikusan az Ön cége.
2. Maradjon a hatókörön belül
Engedéllyel is érvényes a szabály: csak a megállapodott kereteken belül. Ez azt jelenti, hogy kizárólag a kijelölt rendszereket vizsgáljuk, elkerüljük az adatok kiszivárgását, és betartjuk a megbízóval rögzített szabályokat. A hatókör túllépése nem technikai apróság, hanem jogi kockázat: az engedély pontosan azt fedi le, ami le van írva.
3. Jelentse felelősen a hibát
A megtalált sérülékenységet az etikus hacker nem használja ki a maga hasznára, hanem felelősen jelenti. Így a javítás azelőtt megtörténhet, hogy a hibát egy támadó megtalálná.
Ez a cikk tájékoztatás, nem jogi tanácsadás. Hogy egy konkrét vizsgálat engedélyezett-e, és ki adhat rá érvényesen megbízást, kétség esetén jogásszal érdemes egyeztetni.
Mit ad az etikus hackelés?
Az etikus hacker ugyan „betör” a rendszerbe, közben viszont a védelmet erősíti. Négy okból:
1. Megelőzés
A sérülékenységet előbb találja meg, mint a támadó, így a javítás még az incidens előtt megtörténik.
2. Költséghatékonyság
Az incidens megelőzése lényegesen olcsóbb, mint a következményeinek elhárítása.
3. Erősebb védelem
Az etikus hacker olyan hibákat is észrevesz, amelyek fölött egy támadó átsiklana – így a védelem összességében is magasabb szintre kerül.
4. Jobb megítélés
Aki proaktívan foglalkozik a biztonsági hibáival, erősíti az ügyfelei és partnerei bizalmát.
Miért fontos mindez?
A kiberfenyegetések folyamatosan változnak, és a szervezeteknek szükségük van etikus hackerekre ahhoz, hogy egy lépéssel a támadók előtt maradjanak. Aki időben megtalálja a gyenge pontokat, érzékeny adatokat, pénzügyi rendszereket és akár nemzetbiztonsági jelentőségű infrastruktúrát véd meg.
Az etikus hackelés tehát nem a betörésről szól, hanem egy biztonságosabb digitális világ építéséről. Legálisan és felelősen végezve a kiberbiztonság egyik legértékesebb szakmája – a gyakorlati forma pedig, amelyben megrendelhető, a penetrációs teszt.
