Var anlitar man etiska hackare?

De flesta företag lägger tid på frågan var man hittar en hackare, när den egentliga frågan är vilken upphandlingsmodell de kan kontrollera. Byrå, granskad marknadsplats eller frilansare: varje väg har en egen riskprofil, och den snyggaste annonsen är sällan den säkraste affären.

Det som skiljer en seriös leverantör från en oseriös är inte designen på webbplatsen. Det är förmågan att visa omfattningskontroll, rapporteringskvalitet och juridiskt skydd innan någon begär betalt. Här går vi igenom kanalerna, verifieringen och avtalen.

Vad du faktiskt köper

En etisk hackare är en säkerhetsprofessionell som med tillstånd prövar era system för att hitta svagheter. Det ni betalar för är inte ett intrång, utan en granskning: vilka kontroller som prövats, vilka svagheter som kunde bekräftas och vilka åtgärder som rekommenderas.

Vanliga delmoment är penetrationstest av applikationer och nätverk, sårbarhetsanalys, prövning av medarbetarnas motståndskraft mot nätfiske och rådgivning kring åtgärder. Skälen att beställa är ungefär desamma: krav från kunder och regelefterlevnad, minskad risk och ett underlag för prioritering. Vill ni förstå skillnaden mellan tjänsterna finns en separat genomgång av sårbarhetsanalys och penetrationstest.

Fyra kanaler att välja mellan

Specialiserade testplattformar

Plattformar för testning som tjänst förmedlar granskade testare och strukturerad rapportering, ofta med integration mot era utvecklingsverktyg. Modellen passar organisationer som testar ofta och vill ha jämförbara rapporter över tid. Kontrollera hur plattformen granskar testarna, vem som äger fynden och vilket avtal ni tecknar med respektive part.

Granskade frilansnätverk

Nätverk som förhandsgranskar frilansare kan vara ett bra alternativ för ett avgränsat projekt där ni behöver en specifik kompetens. Fråga efter urvalsprocessen, hur identiteten verifieras och vilket ansvar nätverket tar om något går fel under uppdraget.

Öppna frilansmarknader

På stora marknadsplatser finns både mycket duktiga och helt okvalificerade aktörer. Kvaliteten varierar kraftigt, och granskningsansvaret hamnar i praktiken hos er. Om ni går den vägen: kräv verifierad identitet, dokumenterade certifieringar, referenser och ett fullständigt avtal innan något testas. Undvik alla annonser som erbjuder åtkomst till konton eller enheter.

Säkerhetsbyråer och konsulter

En byrå levererar ett team snarare än en enskild person, med standardiserad metod, försäkring och avtalsmallar. Det passar er som behöver helhet: granskning, regelefterlevnad och långsiktig rådgivning. Fråga efter namngivna konsulter, deras meriter och hur kvalitet säkras i rapporten.

Så verifierar du meriter innan du signerar

Certifieringar och register

Be om certifieringsnummer och slå upp dem hos utgivaren, till exempel EC-Council för CEH eller OffSec för OSCP. Jämför namnet på certifikatet med personen ni faktiskt anlitar. En skärmbild är inte en verifiering. Vår jämförelse av certifieringar inom cybersäkerhet hjälper er att bedöma vilka som är relevanta för uppdraget.

Identitet och referenser

Ett videosamtal, företagsuppgifter och en faktureringsadress är miniminivå. Be om referensuppdrag och en maskad exempelrapport. Rapporten avslöjar mer om kvaliteten än någon meritförteckning: finns reproducerbara steg, är riskerna prioriterade och går rekommendationerna att genomföra?

Avtal och försäkring

Kontrollera att leverantören har ansvarsförsäkring som täcker konsultverksamheten, och att avtalet reglerar sekretess, radering av kopior och ansvarsbegränsning. Om testaren kommer att hantera personuppgifter behövs också ett personuppgiftsbiträdesavtal, eftersom uppdraget då innebär behandling för er räkning.

Röda flaggor vid rekrytering av testare

"Inga frågor ställdes". En seriös testare begär alltid bevis på ägarskap eller skriftligt tillstånd innan något prövas.
Erbjudanden om att komma åt konton, telefoner eller betygssystem. Det är aldrig ett säkerhetsuppdrag.
Endast privat e-post eller chatt. Professionella aktörer använder företagsadress och kan visa organisationsnummer.
Full betalning i förskott via krypto innan avtal finns.
Löften om ett specifikt utfall i stället för en beskrivning av vad som ska prövas.

Vad det kostar

Priset styrs av omfattning, komplexitet och erfarenhet. Som riktmärke brukar en enklare sårbarhetsskanning ligga i den lägre delen av femsiffrigt intervall, ett test av en webbapplikation några tusen till ett par tiotusen, och en bredare nätverksmiljö betydligt högre. Timarvoden för erfarna konsulter ligger oftast mellan tusen och flera tusen kronor.

Tjänster som kostar en bråkdel av detta är nästan alltid automatisk skanning förklädd till manuellt arbete, eller en ren bluff. Fler intervall finns i vår genomgång av vad det kostar att anlita en hackare.

Juridisk checklista före start

Omfattning och regler för genomförandet. Vilka adresser och applikationer ingår, vilka undantag gäller och under vilka tider får testet köras?
Skriftlig auktorisation undertecknad av behörig företrädare för den som äger systemet. Utan den är uppdraget inte lagligt, oavsett hur avtalet i övrigt ser ut. Läs mer om om det är lagligt att anlita en hackare.
Sekretessavtal som täcker fynd, bevisning och affärsdata.
Personuppgiftsbiträdesavtal när personuppgifter kan komma att behandlas under uppdraget.
Eskaleringsväg med namngiven kontakt hos er och en rutin för vad som händer om testet stör drift eller hittar något akut.

Så jämför du offerter rättvist

Två offerter på samma belopp kan beskriva helt olika arbeten. Jämför därför antal testdagar, hur många konsulter som ingår, om återtest är inkluderat och vilken bevisning som levereras. Fråga också vad som händer om testet behöver förlängas och vem som äger rätten att publicera något om uppdraget, vilket normalt ska vara ni.

Ett bra sätt att undvika dyra missförstånd är att be om leveransformatet innan ni signerar: en rapport ni kan läsa internt, en sammanfattning för ledningen och en åtgärdslista som går att schemalägga. Det är också värt att ställa de frågor vi samlat i guiden om frågor att ställa innan du anlitar en hackare.

Vanliga frågor

Är det lagligt att anlita en etisk hackare? Ja, när uppdraget gäller system ni äger eller har skriftligt tillstånd att testa, och när arbetet utförs enligt avtal. Att beställa åtkomst till system någon annan äger är däremot inte lagligt.

Hur lång tid tar ett uppdrag? Vanligtvis en till tre veckor beroende på omfattning. En enklare applikation kan klaras av på några dagar, medan en bredare miljö kräver längre tid och fler testfönster.

Kan vi nöja oss med automatiska verktyg? Verktyg hittar kända svagheter och enkla konfigurationsfel, men missar logiska fel och sammansatta angreppsvägar. Kombinationen verktyg och mänsklig expertis ger oftast bäst underlag.

Vad händer om testaren hittar en allvarlig svaghet? En seriös leverantör rapporterar enligt överenskommen eskaleringsväg, beskriver risken och föreslår åtgärd. De utnyttjar inte fyndet vidare och delar det inte med andra.

Får vi behålla rapporten? Ja. Fynd, bevisning och rapport ska tillhöra er, och avtalet bör reglera hur leverantören raderar sina kopior när uppdraget avslutats.

Behöver ni hjälp att jämföra kanaler eller att sätta en rimlig omfattning? Prata med teamet för ett samtal om tillstånd, bevisning och tidplan.

Var du anlitar etiska hackare: kanaler och krav