Kalbant apie savo verslo apsaugą, niekada negalite būti pernelyg atsargūs. Štai kodėl DDoS atakų ir sukčiavimo amžiuje gali būti naudinga turėti tam tikrą draudimą. Etiški įsilaužėliai, kartais vadinami „baltomis skrybėlėmis“, turi tuos pačius įgūdžius kaip ir nusikalstami įsilaužėliai, tik jie juos naudoja ieškodami ir pašalindami įmonės interneto technologijų trūkumus, o ne juos išnaudodami. Jei jums reikia etiško įsilaužėlio, pirmiausia suformuluokite aiškų misijos pareiškimą, kuriame išdėstoma, ko tikitės pasiekti su jų pagalba. Tada galite ieškoti kvalifikuotų kandidatų per oficialias sertifikavimo programas arba internetines įsilaužėlių rinkas.
Žingsniai
1 dalis iš 3: Pozicijos užpildymas
1 žingsnis. Įvertinkite neapsaugotos rizikos riziką
Gali būti viliojanti pabandyti sutaupyti pinigų palaikant savo esamą IT komandą. Tačiau be specializuotos atsarginės kopijos jūsų įmonės IT sistemos bus pažeidžiamos atakų, kurios yra pernelyg sudėtingos, kad būtų galima užfiksuoti vidutinį kompiuterio švilpuką. Viskas, ko reikia, yra viena iš šių atakų padaryti didelę žalą jūsų verslo finansams ir reputacijai.
- Apskritai, vidutinės duomenų saugumo pažeidimo apsaugos ir valymo išlaidos yra apie 4 mln.
- Pagalvokite apie baltos skrybėlės samdymą kaip draudimo sutarties sudarymą. Kad ir ką nurodytų jų paslaugos, maža kaina už jūsų ramybę.
Žingsnis 2. Nustatykite savo įmonės kibernetinio saugumo poreikius
Neužtenka paprasčiausiai nuspręsti, kad reikia sustiprinti savo interneto gynybą. Sugalvokite misijos pareiškimą, kuriame tiksliai nurodysite, ką tikitės pasiekti pasamdę išorės ekspertą. Tokiu būdu jūs ir jūsų kandidatas aiškiai suprasite savo pareigas.
- Pavyzdžiui, jūsų finansų įmonei gali prireikti didesnės apsaugos nuo turinio sukčiavimo ar socialinės inžinerijos, arba jūsų nauja apsipirkimo programa gali kelti klientams pavojų, kad jų kredito kortelės informacija bus pavogta.
- Jūsų pareiškimas turėtų veikti kaip atvirkštinis motyvacinis laiškas. Tai ne tik reklamuos poziciją, bet ir apibūdins konkrečią jūsų ieškomą patirtį. Tai leis atsikratyti atsitiktinių pareiškėjų ir rasti geriausią žmogų šiam darbui.
3 žingsnis. Būkite pasirengę pasiūlyti konkurencingą atlyginimą
Turėti etišką įsilaužėlį jūsų pusėje yra protingas žingsnis, tačiau tai nėra pigu. Remiantis „PayScale“, dauguma baltų skrybėlių gali tikėtis uždirbti 70 000 USD ar daugiau per metus. Vėlgi, svarbu nepamiršti, kad darbas, kurį jie atliks, yra vertas to, ko jie prašo. Tai investicija, kurios greičiausiai negalite sau leisti nedaryti.
Padidėjęs darbo užmokesčio tarifas yra nedidelė finansinė kliūtis, palyginti su tuo, kad IT sistemoje yra skylė, nuo kurios priklauso jūsų įmonė, kad gautų pelną
Žingsnis 4. Pažiūrėkite, ar galite samdyti įsilaužėlį pagal savo darbą
Gali būti, kad nebūtina visą laiką laikyti savo IT darbuotojams baltos skrybėlės. Savo tikslų pareiškime nurodykite, kad ieškote konsultanto, kuris vadovautų dideliam projektui, galbūt išorinio įsiskverbimo testui ar tam tikros saugos programinės įrangos perrašymui. Tai leis jiems mokėti vienkartinį atlyginimą, o ne nuolatinį atlyginimą.
- Keistas konsultavimo darbas gali būti puikus laisvai samdomiems įsilaužėliams arba tiems, kurie neseniai gavo sertifikatą.
- Jei esate patenkinti savo kibernetinio saugumo eksperto veikla, galite pasiūlyti jiems galimybę vėl dirbti su jumis dėl būsimų projektų.
2 dalis iš 3: Kvalifikuoto kandidato paieška
1 žingsnis. Ieškokite kandidatų, turinčių sertifikuotą etinį įsilaužėlį (CEH)
Tarptautinė elektroninės komercijos konsultantų taryba (trumpai-EC-Council) reagavo į didėjantį etinių įsilaužėlių poreikį, sukurdama specialią sertifikavimo programą, skirtą jiems mokyti ir padėti susirasti darbą. Jei jūsų apklaustas saugumo ekspertas gali nurodyti oficialų CEH sertifikatą, galite būti tikri, kad tai tikras autentiškumas, o ne tas, kuris išmoko savo amato tamsiame rūsyje.
- Nors įsilaužimo įgaliojimus gali būti sunku patikrinti, jūsų kandidatams turėtų būti taikomi tokie patys griežti standartai, kaip ir visiems kitiems pareiškėjams.
- Venkite samdyti visus, kurie negali pateikti CEH sertifikato įrodymų. Kadangi jie neturi už juos garantuoti trečiosios šalies, rizika yra tiesiog per didelė.
Žingsnis 2. Naršykite internetinę etinių įsilaužėlių prekyvietę
Pažvelkite į kai kuriuos tokių svetainių sąrašus kaip „Hackers List“ir „Neighborhoodhacker.com“. Panašiai kaip įprastose darbo paieškos platformose, tokiose kaip „Monster“ir „Indeed“, šios svetainės renka įrašus iš tinkamų įsilaužėlių, ieškančių galimybių pritaikyti savo įgūdžius. Tai gali būti intuityviausias pasirinkimas darbdaviams, kurie yra pripratę prie tradiciškesnio įdarbinimo proceso.
Etiškos įsilaužėlių rinkos skatina tik teisėtus, kvalifikuotus specialistus, o tai reiškia, kad galite ramiai miegoti žinodami, kad jūsų pragyvenimas bus gerose rankose
Žingsnis 3. Surenkite atvirą įsilaužimo konkursą
Vienas įdomus sprendimas, kurį darbdaviai pradėjo naudoti potencialiems kandidatams pritraukti, yra prieštarauti konkurentams tarpusavio įsilaužimo modeliavimuose. Šios simuliacijos yra sukurtos pagal vaizdo žaidimus ir yra skirtos išbandyti bendrą kompetenciją ir greitai mąstančius sprendimus. Jūsų konkurso nugalėtojas gali būti tas, kuris suteiks jūsų ieškomą paramą.
- Leiskite savo technologijų komandai paruošti daugybę galvosūkių, sukurtų pagal įprastas IT sistemas, arba įsigykite sudėtingesnį modeliavimą iš trečiosios šalies kūrėjo.
- Darant prielaidą, kad sukurti savo modeliavimą yra per daug darbo ar išlaidų, taip pat galite pabandyti susisiekti su ankstesniais tarptautinių konkursų, tokių kaip Pasaulinės kibernetinės olimpinės žaidynės, nugalėtojais.
Žingsnis 4. Išmokykite savo personalo narį atlikti jūsų kovos su įsilaužimu pareigas
Kiekvienas gali laisvai registruotis į EB ir Tarybos programą, kurią baltos skrybėlės naudoja CEH sertifikatui gauti. Jei norėtumėte išlaikyti tokias aukštas pareigas savo įmonėje, apsvarstykite galimybę įtraukti vieną iš dabartinių IT darbuotojų į kursą. Ten jie bus mokomi atlikti skverbties bandymo metodus, kurie vėliau gali būti naudojami nuotėkiui tirti.
- Programa sudaryta iš 5 dienų praktinės klasės, o paskutinę dieną atliekamas 4 valandų išsamus egzaminas. Dalyviai turi surinkti ne mažiau kaip 70% balų, kad galėtų praeiti.
- Sėdėti už egzaminą kainuoja 500 USD, o studentams, kurie pasirenka savarankiškai studijuoti - papildomas 100 USD mokestis.
3 dalis iš 3: Etinio įsilaužėlio įtraukimas į jūsų verslą
1 žingsnis. Atlikite išsamų asmens patikrinimą
Reikės, kad jūsų kandidatai būtų kruopščiai ištirti, kol net negalvojate apie jų įtraukimą į savo darbo užmokestį. Nusiųskite savo informaciją žmogiškiesiems ištekliams ar išorės organizacijai ir pažiūrėkite, ką jie gauna. Atkreipkite ypatingą dėmesį į bet kokią nusikalstamą veiklą, ypač susijusią su nusikaltimais internete.
- Bet koks nusikalstamas elgesys, kuris pasirodo atlikus asmens patikrinimo rezultatus, turėtų būti laikomas raudona vėliava (ir tikriausiai diskvalifikacijos pagrindu).
- Pasitikėjimas yra raktas į bet kokius darbo santykius. Jei negalite pasitikėti žmogumi, jis nepriklauso jūsų įmonei, kad ir koks jis būtų patyręs.
Žingsnis 2. Nuodugniai interviu su savo kandidatu
Darant prielaidą, kad jūsų potencialus klientas sėkmingai išlaikys asmens patikrinimą, kitas proceso žingsnis yra pokalbio atlikimas. Ar jūsų IT vadybininkas, žmogiškųjų išteklių darbuotojas, susės su kandidatu ir paruoštų klausimų sąrašą, pvz., „Kaip įsitraukėte į etinį įsilaužimą?“, „Ar kada nors atlikote kokį nors kitą apmokamą darbą?“, „Kokių rūšių? įrankių, kuriuos naudojate grėsmėms tikrinti ir neutralizuoti? ir „pateikite pavyzdį, kaip ginti mūsų sistemą nuo išorinio įsiskverbimo atakos“.
- Susitikite akis į akį, o ne pasikliaukite telefonu ar el. Paštu, kad galėtumėte tiksliai suprasti pareiškėjo charakterį.
- Jei turite ilgalaikių rūpesčių, suplanuokite vieną ar kelis tolesnius interviu su kitu valdymo komandos nariu, kad gautumėte antrą nuomonę.
Žingsnis 3. Paskirkite savo kibernetinio saugumo ekspertą glaudžiai bendradarbiauti su jūsų kūrimo komanda
Toliau jūsų IT komandos prioritetas turėtų būti ne kibernetinių atakų prevencija, o ne valymas po jų. Bendradarbiaudami žmonės, kuriantys jūsų įmonės internetinį turinį, išmoks saugesnės kodavimo praktikos, išsamesnio produktų testavimo ir kitų būdų, kaip pergudrauti būsimus sukčius.
Jei etinis įsilaužėlis patikrins kiekvieną naują funkciją, kūrimo procesas gali šiek tiek sulėtėti, tačiau jų sukurtos naujos hermetiškos saugos funkcijos bus vertos atidėti
4. Žinokite, kaip kibernetinis saugumas veikia jūsų verslą
Pasinaudokite savo baltos skrybėlės žiniomis ir šiek tiek sužinokite apie dažniausiai įsilaužėlių naudojamas taktikas. Kai pradėsite suprasti, kaip planuojamos ir vykdomos kibernetinės atakos, galėsite pamatyti, kaip jos artėja.
- Paprašykite savo konsultanto reguliariai pateikti išsamius pranešimus apie tai, ką jie atskleidė. Kitas būdas patobulinti - analizuoti jų išvadas padedant IT komandai.
- Paskatinkite savo samdomą įsilaužėlį paaiškinti, kokių priemonių jie įgyvendina, o ne tiesiog palikti juos neabejotinus.
Žingsnis 5. Atidžiai stebėkite savo samdomą įsilaužėlį
Nors mažai tikėtina, kad jie bandys ką nors nesąžiningo, tai nėra galimybių sritis. Nurodykite kitiems savo IT komandos nariams stebėti jūsų saugumo būseną ir ieškoti pažeidžiamumų, kurių anksčiau nebuvo. Jūsų misija yra bet kokia kaina apsaugoti jūsų verslą. Nepamirškite to, kad grėsmės gali kilti tiek iš vidaus, tiek iš išorės.
- Nenorėjimas jums paaiškinti tikslių planų ar metodų gali būti įspėjamasis ženklas.
- Jei turite pagrindo įtarti, kad specialistas iš išorės kenkia jūsų verslui, nedvejodami nutraukite darbą ir ieškokite naujo.
Patarimai
- Kibernetinis saugumas yra gyvybiškai svarbus dalykas kiekvienam XXI amžiaus verslui - nuo didžiausios finansų įmonės iki mažiausio startuolio.
- Įsigiję kibernetinio saugumo draudimą galite garantuoti, kad atgausite viską, ką prarasite sukčiavimo, pažeidimo ar duomenų nutekėjimo atveju.
- Gali būti gera idėja reklamuoti savo poreikį etiškam įsilaužėliui tokiose svetainėse kaip „Reddit“, kur, žinoma, kalbama apie baltas skrybėles.
Įspėjimai
- Laikykitės atokiau nuo nesertifikuotų laisvųjų agentų, įsilaužėlių, turinčių tvirtą politinį ar religinį polinkį, ir vadinamųjų „hacktivistų“. Šie nesąžiningi asmenys gali bandyti panaudoti gautą informaciją klastingais tikslais.
- Darbas su įsilaužėliu, net ir etiniu, jūsų partnerių ar klientų akyse gali blogai atspindėti jūsų įmonę.
