Assumere un hacker etico in modo sicuro

Chi cerca questo servizio spesso ha fretta. È il momento in cui i venditori anonimi promettono risultati impossibili. Cyberlord parte da autorizzazione, ambito, prove e obiettivo. In questo modo puoi assumere un hacker etico in modo sicuro con una procedura chiara, documentata e difendibile.

Un incarico serio non inizia con una password, ma con autorizzazione e piano di prova.

Non aiutiamo ad accedere ad account altrui, spiare dispositivi privati o aggirare password senza autorizzazione esplicita.

Quando serve aiuto professionale

L’aiuto professionale serve quando l’incidente non è chiaro, le prove potrebbero sparire o l’azienda ha bisogno di un report verificabile. Il punto è impostare l’attività come analisi autorizzata, non come attacco nascosto.

Cosa verifica prima Cyberlord

Cyberlord chiede prima chi controlla il sistema, chi può autorizzare e quale risultato serve. Poi scegliamo tra recupero, indagine forense, penetration test o consulenza di sicurezza.

autorizzazione scritta e perimetro definito
comunicazione sicura e pagamento tracciabile
conservazione delle prove senza alterare i dati
rapporto tecnico con priorità e azioni
recupero o nuovo test quando il caso lo consente

Segnali d’allarme nelle offerte false

Diffidi da risultati garantiti, chat anonime, pagamento totale in cripto, assenza di contratto o richiesta immediata di password. Un professionista spiega limiti, rischi e documentazione prima di agire.

Come impostare correttamente l’incarico

Un incarico corretto definisce obiettivo, ambito, tempi, referente, metodi consentiti e gestione dei dati. Questo protegge entrambe le parti e rende utile il report finale.

Quali risultati aspettarsi

Dovrebbe ricevere sintesi chiara, dettagli tecnici, prove, priorità e prossime azioni. È questo il valore di un incarico legittimo.

Cosa contiene un documento di perimetro davvero utile

Il documento di perimetro è la parte più importante dell'incarico, e merita più tempo del preventivo. Un documento serio contiene almeno:

target autorizzati: domini e sottodomini, blocchi IP, applicazioni con l'ambiente indicato, identità di test create per l'occasione, identificativo del tenant o del progetto cloud
finestre di test consentite, con fuso orario, e tecniche escluse, per esempio il phishing interno contro i dipendenti
punti di contatto che possono sospendere o riavviare il test in pochi minuti, con un canale alternativo se il referente principale non risponde
esclusioni esplicite: infrastruttura di fornitori e clienti, dati personali non strettamente necessari, sistemi di produzione critici
gestione del log di attività del tester e modalità di consegna o conservazione

Le esclusioni contano quanto i target: l’infrastruttura di un fornitore o di un cliente non la autorizzi tu, e chi la tocca comunque espone te, non lui. Chiedi anche un ordine di priorità per i target, così il tester sa da dove iniziare e tu sai cosa leggerai per primo nel report. Conserva poi il documento firmato insieme al contratto: è la prima prova che mostreresti a un revisore o a un assicuratore per dimostrare che l’attività era autorizzata.

Un buon documento distingue inoltre i target con dati reali da quelli con dati di prova: se intendi far testare solo l’ambiente di staging, scrivilo, perché in assenza di indicazioni esplicite il tester presume che valga la produzione.

NDA e accordo di trattamento dati

Ci vogliono due documenti distinti, spesso confusi. Il primo è l’accordo di riservatezza (NDA): disciplina ciò che il tester vede — configurazioni, credenziali, log, schermate — vietando divulgazione e riutilizzo, con cancellazione sicura a fine incarico. Chiedi una lista delle persone autorizzate ad accedere ai dati del tuo ambiente: “la squadra” non è una risposta.

Il secondo è l’accordo di trattamento dati: se la prova prevede accesso a dati personali, la posizione del tester si configura come responsabile del trattamento ai sensi dell’articolo 28 del GDPR, e l’accordo definisce finalità, durata, misure di sicurezza, subappalti e cancellazione garantita. Se nel perimetro restano solo ambienti di test o dati anonimi, di solito non serve; riconosci la situazione e scrivila, non darla per scontata. Fai firmare entrambi i documenti prima del primo accesso, non durante.

Whitelist IP e piano di comunicazione con il SOC

Chiedi con largo anticipo gli IP in uscita del tester, meglio se statici, e passali a chi gestisce firewall, WAF, CDN e SOC. Se la protezione perimetrale è in mano a un vendor terzo, prevedi il margine della sua finestra di intervento: tra l’invio della lista e l’inizio del test conviene lasciare uno o più giorni lavorativi, e ogni richiesta di lettera di autorizzazione formale va gestita subito, non la sera prima. Se il tester usa più nodi di uscita, chiedi che siano tutti dichiarati e coerenti con la lista consegnata: un solo nodo dimenticato cancella il valore della whitelist.

Concorda anche il fuso orario delle finestre: un equivoco tra UTC e ora italiana rompe gli accordi più seri. E tieni presente che le prime ore di test servono a costruire la baseline degli allarmi, non a fare rumore: saperlo cambia il modo in cui il SOC legge quella fase. A incarico finito, rimuovi la whitelist e avvisa i fornitori, così le difese tornano a coprire tutto senza eccezioni residue.

Cosa copre un contratto equo

Un contratto affidabile regola l’attività in entrambe le direzioni. Guarda almeno questi punti:

elenco dei deliverable: sintesi esecutiva, report tecnico con le prove, piano di rimedio, debriefing con il team
finestra di retest dopo la correzione, con costo e orizzonte definiti nero su bianco; l’attesa prima del retest si misura di solito in settimane
tetto alla responsabilità del tester: normale prevedere un cap contrattuale, anomalo escludere dolo e colpa grave
conferma scritta di una polizza di responsabilità civile professionale del tester
nessun compenso collegato a fondi o criptovalute recuperate

Sull’ultimo punto non transigere: legare il compenso del tester a somme da recuperare è il modello classico delle truffe al recupero, ed espone te più di lui. Se poi queste clausole ti sembrano oscure prima di firmare, chiedi una seconda opinione al team di Cyberlord: un contratto che promette esiti certi non descrive un metodo, promette qualcos’altro.

Come confrontare le credenziali di un pentester

Chiedi un paio di report d’esempio anonimizzati: da come sono scritti capisci la cultura di lavoro, cioè sintesi esecutiva per la direzione, dettaglio tecnico per chi deve correggere, prove riproducibili per chi deve verificare. Sulle certificazioni, distingui le prove pratiche, che si ottengono superando esami hands-on su macchine e reti reali in stile OSCP o OSWE, dalle certificazioni a risposta multipla, che attestano più memoria che pratica: non è una regola assoluta, ma le prime dimostrano un lavoro fatto, le seconde da sole raccontano poco.

Sul costo ragiona a giornata di lavoro: le quote di mercato sono molto ampie e variano con profilo, seniorità e tipo di prova, quindi confronta sempre preventivi riferiti allo stesso perimetro. Se uno è una frazione degli altri senza che cambi nulla di dichiarato, chiediti cosa sta saltando.

Errori comuni, dal lato cliente e dal tester

Sul lato cliente, i blocchi ricorrenti sono: avviare il test senza avvisare il SOC, che tronca l’incarico alla prima scansione; restringere il perimetro fino a renderlo irrilevante; cambiare finestre o bloccare le location del tester a metà attività, lasciando il lavoro a metà; saltare la definizione di cosa è normale nel proprio ambiente, così ogni confronto con il rumore di fondo resta impossibile.

Sul lato tester, gli scogli speculari: restare per l’intera attività nello stesso laboratorio isolato, di fatto fuori perimetro; non dichiarare le limitazioni di vista che ne derivano; lavorare senza una baseline d’allarme condivisa, così i confronti non dicono nulla. L’antidoto per entrambi i lati è il documento di perimetro: risolve le incertezze prima che diventino danno. E se non sai da dove partire, la pagina contatti di Cyberlord è il punto semplice per una valutazione iniziale.

Cyberlord

Se deve agire subito, invii fatti, date, schermate e risultato desiderato. Prima le diremo cosa è legale e tecnicamente sensato.

Cyberlord può aiutare subito?
Sì, prima con una valutazione rapida di legalità, rischio e prove.

Devo inviare password?
No. Non invii password prima di definire ambito e canale sicuro.