الاختراق الأخلاقي

الاختراق الأخلاقي يعني أن تدفع لشخص كي يهاجم نظامك عمدًا. أنت تعطيه إذنًا مكتوبًا أولًا، وتتفقان مسبقًا على ما يحق له الاقتراب منه. ويُسمّى من يقوم بهذا العمل عادة مختبِر اختراق، ويُسمّى العمل نفسه اختبار اختراق. يستخدم الأدوات نفسها والحيل نفسها التي يستخدمها المجرم. الفرق أنه ينهي عمله بتسليمك تقريرًا بدل أن يبيع قائمة عملائك.

التقرير هو ما تشتريه فعلًا، فاحكم على أي مورّد من خلاله. كل ملاحظة تقف وحدها. لكل واحدة درجة خطورة، أي مقدار الضرر وسهولة تنفيذه. ولكل واحدة دليل، الخطوات الدقيقة أو صورة من الشاشة، حتى لا يستطيع أحد في فريقك تجاهلها. ولكل واحدة حل مكتوب بكلمات يستطيع مبرمجك تنفيذها هذا الأسبوع. وينتهي العمل بإعادة اختبار، يعود فيها المختبِر بعد الإصلاح ليؤكد كتابةً أن الثغرة أُغلقت.

اتفق على أربعة أمور قبل التوقيع. ما النطاق، أي ما العناوين والتطبيقات والحسابات التي يحق له لمسها، وما الممنوع. ومتى يختبر، لأن صفحة دفع تتعرض للهجوم مساء الخميس ليست فكرة سارّة لأحد. ومن الذي يتصل به فورًا إذا وجد شيئًا خطيرًا، بدل تأجيله إلى التقرير. ومن يملك التقرير بعد ذلك، لأن بنكًا أو عميلًا كبيرًا سيطلب رؤيته. واسأل أيضًا إن كانت إعادة الاختبار داخل السعر. كثيرًا ما لا تكون كذلك، ويكتشف الناس هذا عند الفاتورة.

التكلفة تتبع أيام العمل لا الأدوات. موقع صغير يحتاج يومين أو ثلاثة لمختبِر واحد. أما نظام فيه مدفوعات وصلاحيات موظفين وتطبيق للهاتف فيحتاج أسبوعين أو أكثر. وتضع لينكي سوفت لنظم المعلومات هذا البند في خطة كل مشروع تطبيق ويب، لأن خطأ يُكتشف في مرحلة الرسم يكلف ساعة، والخطأ نفسه بعد الإطلاق يكلف شهرًا. وإذا كان نظامك يعمل بالفعل ولا أحد يعرف حاله، فمن هنا يبدأ عادة عملنا في الأمن السيبراني.

وتنبيه واحد نكرره لكل عميل في لينكي سوفت. الاختبار يثبت ما كان صحيحًا في أيامه فقط. غيّر الكود الشهر المقبل يصبح لديك نظام مختلف، وتقرير الشهر الماضي النظيف لا يقول عنه شيئًا.