Bagaimana Menetapkan Tujuan untuk Rencana Perundangan Etika - dummies

Rencana pengujian Anda membutuhkan tujuan. Tujuan utama hacking etis adalah menemukan kerentanan di sistem Anda dari sudut pandang orang jahat sehingga Anda dapat membuat lingkungan Anda lebih aman. Anda kemudian dapat mengambil langkah ini lebih jauh:

• Tentukan tujuan yang lebih spesifik. Sejajarkan tujuan ini dengan tujuan bisnis Anda. Apa yang Anda dan manajemen coba dapatkan dari proses ini? Kriteria kinerja apa yang akan Anda gunakan untuk memastikan Anda mendapatkan hasil maksimal dari pengujian Anda?

• Buat jadwal spesifik dengan tanggal mulai dan akhir serta waktu pengujian Anda dilakukan. Tanggal dan waktu ini merupakan komponen penting dari keseluruhan rencana Anda.

Sebelum memulai pengujian, Anda benar-benar membutuhkan segala sesuatu secara tertulis dan disetujui. Dokumentasikan semuanya dan melibatkan manajemen dalam proses ini. Sekutu terbaik Anda dalam upaya pengujian Anda adalah manajer yang mendukung apa yang Anda lakukan.

Pertanyaan berikut dapat memulai pengguliran bola saat Anda menentukan sasaran rencana hacking etis Anda:

• Apakah pengujian Anda mendukung misi bisnis dan departemen TI dan keamanannya?

• Apa tujuan bisnis yang terpenuhi dengan melakukan hacking etis? Tujuan ini dapat mencakup hal-hal berikut:

  • Bekerja melalui Statement on Standards for Attestation Engagements (SSAE) 16 audit

  • Memenuhi peraturan federal seperti Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) dan Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS)

  • Memenuhi persyaratan kontrak dari klien atau mitra bisnis

  • Mempertahankan citra perusahaan

  • Mempersiapkan standar keamanan ISO / IEC 27001: 2013

• Bagaimana pengujian ini akan meningkatkan keamanan, TI, dan bisnis secara keseluruhan?

• Informasi apa yang Anda lindungi? Ini bisa berupa informasi kesehatan pribadi, kekayaan intelektual, informasi klien rahasia, atau informasi pribadi karyawan.

• Berapa banyak uang, waktu, dan usaha yang Anda dan organisasi Anda bersedia keluarkan untuk penilaian keamanan?

• Kiriman spesifik apa yang akan ada? Hasil yang Dapat Diterima dapat mencakup apa pun dari laporan eksekutif tingkat tinggi hingga laporan teknis terperinci dan penulisan tentang apa yang Anda uji, beserta hasil tes Anda. Anda dapat memberikan informasi spesifik yang dikumpulkan selama pengujian Anda, seperti kata sandi dan informasi rahasia lainnya.

• Hasil spesifik apa yang Anda inginkan? Hasil yang diinginkan mencakup pembenaran untuk mempekerjakan atau mengalihkan petugas keamanan, meningkatkan anggaran keamanan Anda, memenuhi persyaratan kepatuhan, atau meningkatkan sistem keamanan.

Setelah mengetahui tujuan Anda, dokumentasikan langkah-langkah untuk mencapainya. Misalnya, jika satu tujuan adalah mengembangkan keunggulan kompetitif untuk mempertahankan pelanggan lama dan menarik yang baru, tentukan jawaban atas pertanyaan ini:

• Kapan Anda akan memulai pengujian Anda?

• Apakah pendekatan pengujian Anda akan menjadi buta , di mana Anda tidak tahu apa-apa tentang sistem yang Anda uji, atau berbasis pengetahuan, di mana Anda diberi informasi spesifik tentang sistem yang Anda uji, seperti alamat IP, nama host, dan bahkan nama pengguna dan kata sandi? Apakah pengujian Anda bersifat teknis, melibatkan penilaian keamanan fisik, atau bahkan menggunakan teknik sosial?

• Apakah Anda akan menjadi bagian dari tim hacking etis yang lebih besar, kadang-kadang disebut tim

• tim harimau atau merah? Maukah Anda memberi tahu pihak yang terkena dampak dari apa yang Anda lakukan dan kapan Anda melakukannya? Jika ya, bagaimana?

• Pemberitahuan pelanggan merupakan masalah penting. Banyak pelanggan menghargai bahwa Anda mengambil langkah untuk melindungi informasi mereka. Pendekatan pengujian dengan cara yang positif. Jangan berkata, "Kami membobol sistem kami sendiri untuk melihat informasi apa yang rentan terhadap hacker," kalaupun itu yang Anda lakukan. Sebagai gantinya, katakan bahwa Anda menilai keseluruhan keamanan lingkungan jaringan Anda sehingga informasinya akan seaman mungkin.

  Bagaimana Anda tahu apakah pelanggan peduli dengan apa yang Anda lakukan?

• Bagaimana Anda akan memberi tahu pelanggan bahwa organisasi tersebut mengambil langkah untuk meningkatkan keamanan informasinya?

• Pengukuran apa yang bisa memastikan bahwa usaha ini terbayar?

• Membentuk tujuan Anda membutuhkan waktu, tapi Anda tidak akan menyesalinya. Tujuan ini adalah peta jalan Anda. Jika Anda memiliki masalah, lihat sasaran ini untuk memastikan Anda tetap berada di jalur yang benar.