White hat vs black hat: vad du behöver

Frasen "anlita en hackare" betyder olika saker beroende på vem som säger den. En del vill ha ett penetrationstest. Andra vill ha ett rött team. En mindre grupp är obehagligt nära att be om något olagligt utan att veta det.

Skillnaden mellan white hat och black hat är därför ingen varumärkesfråga. Det är skillnaden mellan ett avgränsat säkerhetsuppdrag ni kan försvara inför styrelsen och en handling som kan bli en straffrättslig fråga för både utförare och beställare. Här går vi igenom gränsen, fällan i mitten och hur ni väljer rätt typ av professionell hjälp.

Den enda frågan som avgör

Har personen tillstånd? Det är hela skillnaden. White hat-arbete sker med uttryckligt, dokumenterat tillstånd från den som äger systemet. Black hat-arbete sker utan. Den enda omständigheten avgör om aktiviteten är laglig säkerhetsverksamhet eller dataintrång.

I svensk rätt regleras obehörig åtkomst i brottsbalkens bestämmelse om dataintrång, och den som beställer ett sådant arbete kan själv hamna i ansvar. Det gör frågan om tillstånd till en juridisk fråga, inte en teknisk.

White hat: tillstånd, avgränsning, ansvar

En white hat-hackare är en säkerhetsprofessionell som använder sina tekniska färdigheter för att hitta och åtgärda svagheter med systemägarens uttryckliga medgivande. I praktiken innebär det skriftlig auktorisation, en snäv omfattning, tydliga regler för genomförandet och en leverabel som förklarar vad som testats, vad som hittats och vad som bör göras härnäst.

De bra aktörerna är transparenta med metod, bekväma med att arbeta mot jurister och regelefterlevnad, och beredda att stå för sitt arbete med namn, avtal och ansvarsförsäkring. Uppdragen omfattar typiskt webbapplikationer, nätverk, API:er, molnmiljöer och mobilappar, men också sårbarhetsanalyser, granskningar av säkerhetskontroller och simulerade nätfiskeövningar. Det som förenar är tillståndet.

Black hat: utan tillstånd, utan ansvar

En black hat-hackare tar sig in i system utan tillstånd, för egen vinning eller för att skada. Mönstret är det motsatta mot ett seriöst uppdrag: ingen tillåtelse, ingen spårbarhet och oftast ingen identitet som går att kontrollera. Drivkraften kan vara pengar, utpressning, hämnd eller status.

För er som beställare är konsekvensen enkel att beskriva: ni får ingen garanti, ingen dokumentation och ingen motpart att ställa till svars. Ni får dessutom ett juridiskt problem som ni äger själva, även om någon annan utförde handlingen.

Gråhatt: den farliga mellanvägen

Gråhattar rör sig i en gråzon juridiskt utan att ha tillstånd i förväg. Ett typiskt förlopp är att någon hittar en svaghet, tar sig in för att bekräfta den, kontaktar företaget och ibland begär betalt för uppgifterna.

Avsikten kan vara god, men handlingen är fortfarande obehörig åtkomst. Att anlita en gråhatt innebär att ni köper ett resultat som är framtaget på ett sätt ni inte kan redovisa för en revisor, en försäkringsgivare eller en tillsynsmyndighet. Vill ni ha den typen av kunskap är vägen i stället ett avtalat uppdrag med omfattning och bevisning, eller en ansvarsfull rapporteringskanal för utomstående forskare.

Så skiljer sig uppdragen åt

Tillstånd: skriftligt och avgränsat hos white hat, obefintligt hos black hat.
Spårbarhet: namngiven motpart, avtal och rapporter respektive anonyma kanaler och inga handlingar.
Leverans: åtgärdsförslag och bevisning respektive ingetdera, eller ett krav.
Ansvar: försäkring och avtalsklausuler respektive ingen motpart att ställa till svars.
Effekt på er risk: sänkt risk i det första fallet, ny juridisk och finansiell risk i det andra.

Vad köpare oftast får fel

De flesta företag behöver inte "en hackare" i allmänhet. De behöver ett affärsresultat: validera en produkt före lansering, pröva behörighetsstyrningen, uppfylla ett krav eller mäta om skydds- och spaningsförmågan håller.

Team lägger veckor på att jämföra certifieringar och etiketter när beslutet egentligen handlade om omfattning, bevisning och leverabler. Kan ni inte beskriva hur ett lyckat uppdrag ser ut innan ni anlitar någon, har ni redan ökat risken att köpa fel tjänst.

Så verifierar du en seriös testare

Certifieringar som går att kontrollera

Relevanta meriter finns på flera nivåer: CEH och CompTIA PenTest+ som inträdesnivå, OSCP och GPEN som praktiska yrkesbevis, CREST för tester med tydlig kvalitetssäkring, samt CISSP och CISM för bredare säkerhets- och styrningskompetens. Meriterna säger inget om personlighet, men de säger något om att personen investerat i yrket. Läs mer i vår jämförelse av certifieringar inom cybersäkerhet.

Spårbar identitet och referenser

Be om namngiven kontakt, företagsuppgifter och ett videosamtal. Kontrollera certifieringsnummer direkt hos utgivaren i stället för att lita på en skärmbild. Fråga efter referensuppdrag och en maskad exempelrapport. En seriös aktör har inget problem med någon av delarna.

Avtalet är en del av tjänsten

Ett riktigt uppdrag innehåller omfattning, regler för genomförandet, sekretessavtal, ansvarsbegränsning, betalningsvillkor och en beskrivning av leverablerna. Saknas auktorisationen är uppdraget inte ett säkerhetstest, oavsett hur professionell beställaren än känns. Vår guide om att kontrollera en hackers meriter går igenom stegen i detalj.

Röda flaggor hos falska aktörer

Löften om intrång i konton, telefoner eller konkurrenters system. Inget seriöst företag erbjuder detta.
Krav på betalning i kryptovaluta i förskott, utan avtal och utan faktura.
Vägran att ställa upp på videosamtal eller att lämna företagsuppgifter.
Löfte om ett visst resultat innan de sett miljön, i stället för en beskrivning av vad som ska prövas.
Tidsstress som ska hindra er från att göra en vanlig leverantörskontroll.
Endast krypterad chatt som kontaktväg, utan telefon, adress eller organisationsnummer.

Rättslig exponering när du anlitar fel person

För er som beställare är risken inte teoretisk. Obefogad åtkomst till ett system kan aktualisera ansvar för dataintrång, och medverkan kan bedömas separat. Till det kommer avtalsrättsliga konsekvenser mot kunder, krav från försäkringsbolag som nekar ersättning vid olagliga handlingar och regulatoriska kostnader om personuppgifter hanterats fel.

Utöver juridiken tillkommer det som är svårast att reparera: förtroendet. Ett uppdrag som beskrivs fel i efterhand skadar mer än vad testet någonsin kunde ha hjälpt er med. Därför är den tråkiga delen, avtalet och auktorisationen, den viktigaste delen.

En laglig uppdragsprocess i fem steg

Definiera resultatet. Vad ska ni kunna säga efteråt, och vem ska läsa rapporten?
Avgränsa miljön. Adresser, applikationer, konton och uttryckliga undantag.
Signera auktorisation och avtal innan någon testaktivitet börjar, av behörig person hos er.
Genomför med kontaktvägar. En namngiven kontakt hos er ska kunna nås under hela fönstret.
Åtgärda och återtesta. Ett fynd utan åtgärd är en kostnad, inte en förbättring.

Vill ni jämföra roller innan ni beställer finns en genomgång av hur rött, blått och lila team skiljer sig, och hur ni hittar en seriös leverantör beskrivs i vår guide om var du anlitar etiska hackare.

Vanliga frågor

Vad är huvudskillnaden mellan white hat och black hat? Tillstånd och avsikt. White hat arbetar med skriftligt medgivande från systemets ägare för att hitta och åtgärda svagheter. Black hat agerar utan tillstånd, vilket gör handlingen olaglig oavsett vilket motiv som anges.

Kan en black hat bli white hat? Det förekommer, men vägen kräver att all olaglig verksamhet upphör, att yrkesmeriter byggs upp och ofta att rättsliga konsekvenser hanteras. Många beställare är försiktiga av ansvarsskäl, och den som är öppen med historiken har lättare att bli betrodd.

Vad kostar ett seriöst uppdrag? Det beror på omfattning. Enklare webbapplikationer ligger ofta i den lägre delen av ett femsiffrigt intervall, medan bredare miljöer och flera applikationer kostar betydligt mer. Priser som är dramatiskt lägre än marknaden tyder oftast på automatisk skanning i stället för manuellt arbete.

Får testaren behålla det de hittar? Nej. Fynd, bevisning och data tillhör er, och avtalet ska reglera radering av kopior efter uppdragets slut. Sekretess ska gälla både under och efter arbetet.

Vad gör vi om någon hör av sig och påstår sig ha hittat ett fel? Behandla det som en säkerhetshändelse: dokumentera kontakten, eskalera internt och svara via en formell kanal. Anlita inte personen för ett uppdrag utan vanlig leverantörskontroll och skriftlig auktorisation.

Behöver ni hjälp att avgöra vilken typ av uppdrag er situation kräver? Prata med teamet för ett samtal om omfattning, tillstånd och leverabler.

White hat eller black hat: skillnaden som avgör