![\"Vdor](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2021\/10\/pravni-vidiki-etinega-hekanja_facebook_carbonsec.jpg\")
<\/figure>\n\n\n\nKateri pravni vidiki eti\u010dnega hekanja so v slovenskem prostoru \u017ee dobro opredeljeni in vklju\u010deni v prakso? In na katerih podro\u010djih imamo \u0161e mo\u017enosti za izbolj\u0161ave? O tem smo razpravljali na okrogli mizi, ki ji potekala v sklopu Tedna kibernetske varnosti. Celoten posnetek okrogle mize je dostopen na strani Digitalnega sredi\u0161\u010da Slovenije<\/a>. Klju\u010dne poudarke pa smo strnili v ta zapis.<\/p>\n\n\n\n Storitev penetracijskega testa ali varnostnega pregleda se za\u010dne veliko pred dejansko izvedbo. Projekt mora biti pripravljen tako, da lahko izvajalec nemoteno sledi projektni dokumentaciji in se med samo izvedbo ne spra\u0161uje, ali testira prave sisteme.<\/p>\n\n\n\n Prvi korak je naro\u010dnikovo povpra\u0161evanje po storitvi. Takoj zatem podpi\u0161emo prvi pravni dokument: Sporazum o nerazkrivanju informacij (NDA)<\/strong>. Zakaj? Ker za kakovostno pripravo ponudbe potrebujemo zaupne informacije. Izmenjavo tak\u0161nih informacij moramo vedno urediti z ustrezno pogodbo. Pred pripravo ponudbe se s potencialnim izvajalcem dogovorimo o obsegu testa ali pregleda in natan\u010dno dolo\u010dimo, kaj vse bo storitev vklju\u010devala<\/strong>. \u0160ele nato lahko izvajalec pripravi kakovostno ponudbo.<\/p>\n\n\n\n Pripravljalni del projekta zahteva veliko dela na strani naro\u010dnika. Ta mora namre\u010d v primeru testiranja storitev v oblaku tudi preveriti, kaj je na tak\u0161ni infrastrukturi sploh dovoljeno testirati in po potrebi pridobiti dovoljenja ponudnika storitve<\/strong>.<\/p>\n\n\n\n Ker za tak\u0161ne projekte podjetja pogosto \u017eelijo ve\u010d kot eno ponudbo, je dobro, da se \u017ee prej pozanimajo o referencah potencialnih izvajalcev. Na podlagi pridobljenih podatkov za pripravo ponudbe prosijo le tiste, ki so jih prepoznali kot zanesljive partnerje<\/strong>.<\/p>\n\n\n\n Ko naro\u010dnik in izvajalec uskladita ponudbene zahteve, sledi podpis pogodbe in izjave o varovanju osebnih podatkov<\/strong> (GDPR)<\/strong>. Pred za\u010detkom izvajanja projekta stranki podpi\u0161eta tudi dovoljenje za izvedbo pregleda<\/strong>. V teh dveh dokumentih je tudi navedeno, kdo bo izvajal storitev. \u0160ele zdaj se penetracijsko testiranje ali varnostni pregled lahko za\u010dne.<\/p>\n\n\n\n Morda kdo pomisli, da je penetracijski test<\/a> prosto hekanje vse povprek po informacijskem sistemu. Nikakor. Vsako penetracijsko testiranje in vsak varnostni pregled se izvaja z dolo\u010denim ciljem<\/strong>. Bodisi preverjamo varnost mobilne aplikacije ali to\u010dno dolo\u010dene namizne aplikacije. Lahko testiramo varnost stre\u017eni\u0161kih nastavitev ali perimetra informacijskega sistema. Ali pa testiramo, kako dovzetni so zaposleni za socialni in\u017eeniring.<\/p>\n\n\n\n \u00bbObsega<\/strong>, ki je dolo\u010den v izhodi\u0161\u010dnih dokumentih, nikakor ne smemo prekora\u010diti<\/strong>. Prav tako se moramo pri izvajanju storitve dr\u017eati metodologije in postopkov<\/strong>, ki smo jih opredelili v ponudbi in pogodbi,\u00ab<\/em> je povedal Grega Pre\u0161eren, <\/strong>na\u0161 CTO in vodilni eti\u010dni heker<\/strong>.<\/p><\/blockquote>\n\n\n\n Pogosto se zgodi, da pri izvajanju testa pridemo do to\u010dke, ki je dolo\u010dena v pogodbi, a se pot odpira naprej. Kaj eti\u010dni heker naredi v tak\u0161nem primeru? Vedno na tej to\u010dki zaklju\u010di s pregledovanjem in o svoji ugotovitvi obvesti naro\u010dnika. \u010ce naro\u010dnik \u017eeli, da se pregled izvaja globlje od prvotno predvidenega plana, skleneta aneks k pogodbi. Brez vnaprej sklenjenega pogodbenega dogovora izvajalec ne testira naprej<\/strong>.<\/p>\n\n\n\n \u00bbLahko se tudi zgodi, da izvajalec ob pregledovanju odkrije ranljivost v sistemu tretje stranke, ki je povezan z naro\u010dnikovim sistemom. V tak\u0161nem primeru se pojavi dilema, ali tretji stranki sporo\u010diti, kaj smo odkrili, saj z njo nimamo pogodbenega razmerja,\u00ab<\/em> je izpostavil Pre\u0161eren.<\/p><\/blockquote>\n\n\n\n Na tej to\u010dki pride do izraza eti\u010dnost izvajalca storitve. Eti\u010dni hekerji morajo biti predvsem eti\u010dni<\/strong>. Eti\u010dnost pa je ve\u010d kot le spo\u0161tovanje minimalnih zahtev zakona. Je dr\u017ea, ki mora biti lastnost izvajalca storitev s podro\u010dja kibernetske varnosti. In je temelj, na katerem gradimo zaupanje strank.<\/p>\n\n\n\n Eti\u010dnost je pri izvajanju penetracijskih testov pogosto povezana tudi z osebnimi podatki, do katerih pridemo med pregledom. Tudi ravnanje z osebnimi podatki tekom penetracijskega testa mora biti urejeno s pogodbo med naro\u010dnikom, ki je upravljalec podatkov, in izvajalcem, ki je pogodbeni obdelovalec podatkov.<\/p>\n\n\n\n \u00bbSplo\u0161na uredba pravi, da mora biti pogodbeno razmerje urejeno s pisnim dogovorom oz. pogodbo. 28. \u010dlen uredbe GDPR tudi jasno dolo\u010da, kaj mora tak\u0161na pogodba vsebovati: dol\u017enosti, namen, vrste podatkov, v kolikor je to mo\u017eno vnaprej predvideti,\u00ab <\/em>je povedal Andrej Tom\u0161i\u010d<\/strong> iz urada Informacijskega poobla\u0161\u010denca RS<\/strong>.<\/p><\/blockquote>\n\n\n\n Na ravnanje z osebnimi podatki moramo biti zlasti pozorni pri oblikovanju poro\u010dil o opravljeni storitvi. Izvajalec je pri pripravi poro\u010dil dol\u017ean varovati osebne podatke, shranjene v naro\u010dnikovih sistemih<\/strong>. Osebne podatke v poro\u010dilih zameglimo ali izbri\u0161emo. Ob tem je Andrej Tom\u0161i\u010d \u0161e poudaril, da se moramo zavedati, da so \u0161ifre strank, ID \u0161tevilke zaposlenih ipd. tudi osebni podatki, le da so psevdonimizirani. Zanje veljajo enaka pravila kot za surove osebne podatke. Pri poro\u010dilih lahko operiramo le z anonimiziranimi podatki, ki jih nikakor ni mo\u017eno povezati s posameznikom.<\/p>\n\n\n\n \u00bbCilj penetracijskega testa je pridobitev dostopa do dolo\u010dene mape, datoteke ali v aplikacijo. Ne pa vsebina, ki je tam shranjena,\u00ab <\/em>je izpostavil odvetnik Janez Tekavc<\/strong>.<\/p>\n\n\n\n Ve\u010dkrat smo \u017ee omenili, da je v dana\u0161njem \u010dasu mo\u017eno shekati prakti\u010dno karkoli. Elektronske naprave in tudi naprave, na katere ob omembi elektronike morda niti ne pomislimo: pe\u010dice, akvarije, avtomobile, celo sr\u010dne spodbujevalnike.<\/p>\n\n\n\n Kakr\u0161en koli nepoobla\u0161\u010den poseg v napravo je problemati\u010den s stali\u0161\u010da avtorskih pravic, uveljavljanja garancije in varnosti.<\/p>\n\n\n\n Na podro\u010dju izvajanja storitev eti\u010dnega hekanja se s tem podro\u010djem sre\u010damo pri varnostni analizi izvorne kode<\/strong><\/a>. \u010ce je pogodbeno tako dolo\u010deno, lahko kodo testiramo in skeniramo, nikakor pa je ne smemo kakorkoli predelovati, vanjo posegati ali jo hraniti pri sebi.<\/p>\n\n\n\n Na to vpra\u0161anje lahko pozabimo, \u010de so pravni vidiki eti\u010dnega hekanja pred za\u010detkom projekta jasno opredeljeni. \u010ce so s strani naro\u010dnika podane to\u010dne specifikacije sistemov, ki so predmet testiranja in \u010de izvajalec sledi predvideni metodologiji, skoraj ni razloga za skrb.<\/p>\n\n\n\n \u010ce izvajalec vendarle zazna, da bi pri dolo\u010denem testu lahko \u0161lo kaj narobe, je njegova dol\u017enost, da pred testiranjem o tem obvesti naro\u010dnika in se z njim pogovori o mo\u017enih posledicah. V tak\u0161nem primeru lahko opustimo izvajanje testa. \u010ce naro\u010dnik sprejme tveganje, lahko test vseeno izvedemo.<\/p>\n\n\n\n Kaj lahko na podro\u010dju testiranja kibernetske varnosti v prihodnosti \u0161e izbolj\u0161amo?<\/p>\n\n\n\n Janez Tekavc vidi prilo\u017enost v revizijski sledi: \u00bbZagotovo bi kakovost storitev dvignila revizijska sled penetracijskega testiranja in varnostnega pregleda<\/strong>. Tako bi naro\u010dnik imel mo\u017enost rekonstrukcije napada in vpogleda v to, kdo je dejansko izvedel napad. Lahko bi se namre\u010d zgodilo, da bi neeti\u010dni heker vedel za na\u010drtovano testiranje in v istem \u010dasovnem oknu izvedel dejanski napad na sistem.\u00ab<\/em><\/p><\/blockquote>\n\n\n\n Raven panoge bi v prihodnje lahko dvignili tudi z uvedbo obveznih varnostnih pregledov<\/strong> po vzoru revizij v ra\u010dunovodskem sektorju. Tak\u0161na ureditev bi tudi predvidevala seznam kvalificiranih izvajalcev.<\/p>\n\n\n\n Morda bomo s\u010dasoma dosegli tudi tak\u0161no raven kibernetske kulture, da se bodo podjetja odlo\u010dila za vpeljavo sistema odgovornega razkrivanja pomanjkljivosti<\/strong>. To pomeni, da sama \u00bbnosijo glavo na prodaj\u00ab in javno povejo, da lahko hekerji testirajo njihov sistem. Pri tem opredelijo obseg testiranja, kot bi sklenili pogodbo z naro\u010dnikom. Seveda so izvajalci testov za odkrite ranljivosti tudi ustrezno nagrajeni. V tujini tak\u0161ni sistemi \u017ee uspe\u0161no delujejo. Zadovoljna so tako podjetja, ki lahko izbolj\u0161ajo svojo varnostno dr\u017eo, kot tudi hekerji, ki z nagradami zelo dobro zaslu\u017eijo.<\/p>\n\n\n\n Ne moremo z gotovostjo trditi, v katero smer bo \u0161el razvoj preverjanja kibernetske varnosti v Sloveniji. Zagotovo pa vemo, da so na\u0161e storitve osnovane na trdni pravni podlagi in podkrepljene z dolgoletnimi izku\u0161njami<\/strong>.<\/p>\n\n\n\n \u010ce \u017eelite preveriti, kako trdna je kibernetska varnost va\u0161e organizacije in i\u0161\u010dete zanesljivega partnerja, vam kot eti\u010dni hekerji z veseljem podamo roko. <\/p>\n\n\n\n Pi\u0161ite nam<\/a> za ve\u010d informacij in svetovanje o izbolj\u0161anju varnostne dr\u017ee.<\/p>\n\n\n\n Kak\u0161na je v Sloveniji ureditev eti\u010dnega hekanja s pravnega stali\u0161\u010da in kje so mo\u017enosti za izbolj\u0161ave?<\/p>\n","protected":false},"author":3,"featured_media":3010,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_genesis_hide_title":false,"_genesis_hide_breadcrumbs":false,"_genesis_hide_singular_image":false,"_genesis_hide_footer_widgets":false,"_genesis_custom_body_class":"","_genesis_custom_post_class":"","_genesis_layout":"","footnotes":""},"categories":[67,49,46],"tags":[96,81,86],"class_list":["post-3008","post","type-post","status-publish","format-standard","has-post-thumbnail","category-blog-sl-2","category-novice","category-red-teaming","tag-blog","tag-penetracijsko-testiranje","tag-penetration-testing","entry"],"yoast_head":"\nVsi pravni okviri izvajanja testa naj bodo dolo\u010deni pred za\u010detkom projekta<\/h2>\n\n\n\n
![\"Podpis](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2021\/10\/pravni-vidiki-etinega-hekanja_pogodba_carbonsec.jpg\")
<\/figure>\n\n\n\nVsako preverjanje in testiranje kibernetske varnosti ima svoj cilj<\/h2>\n\n\n\n
Kaj pa, \u010de zaznamo nekaj ve\u010d?<\/h2>\n\n\n\n
Pravni vidiki eti\u010dnega hekanja in varstvo osebnih podatkov<\/h2>\n\n\n\n
![\"V](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2021\/10\/pravni-vidiki-etinega-hekanja_porocilo_carbonsec.jpg\")
<\/figure>\n\n\n\nKaj pa avtorske pravice?<\/h2>\n\n\n\n
![\"Izvorne](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2021\/10\/pravni-vidiki-etinega-hekanja_koda_carbonsec.jpg\")
<\/figure>\n\n\n\nKdo je odgovoren, \u010de gre kaj narobe?<\/h2>\n\n\n\n
Pogled v prihodnost<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2021\/10\/Okrogla-miza_thumbnail.jpg\")
<\/a><\/figure>\n","protected":false},"excerpt":{"rendered":"