الاختراق الأخلاقي

الاختراق الأخلاقي يعني أن تدفع لشخص كي يهاجم نظامك عمدًا، بإذن مكتوب منك واتفاق مسبق على ما يحق له لمسه. ويُسمّى من يقوم بهذا العمل عادة مختبِر اختراق، ويُسمّى العمل نفسه اختبار اختراق. وهو يستخدم الأدوات نفسها والحيل نفسها التي يستخدمها المجرم، فالفرق ليس في الطريقة. الفرق في النهاية، لأنه ينهي عمله بتسليمك تقريرًا بدل أن يبيع قائمة عملائك.

والتقرير هو ما تشتريه فعلًا، فاحكم على المورّد من تقريره لا من اجتماع البيع. وكل ملاحظة يجب أن تقف وحدها، وتبدأ بدرجة خطورة تقول لك حجم الضرر وسهولة وقوعه. وإلى جانبها تحتاج دليلًا، أي الخطوات الدقيقة أو صورة من الشاشة، حتى لا يستطيع أحد في فريقك تجاهل الملاحظة. ثم يأتي الحل، مكتوبًا بكلمات يستطيع مبرمجك تنفيذها هذا الأسبوع. وينتهي العمل بإعادة اختبار، يعود فيها المختبِر بعد الإصلاح ليؤكد كتابةً أن الثغرة أُغلقت.

واتفق على أربعة أمور قبل التوقيع، أولها النطاق، أي ما العناوين والتطبيقات والحسابات التي يحق له لمسها وما الممنوع. والثاني التوقيت، لأن صفحة دفع تتعرض للهجوم مساء الخميس لا تسرّ أحدًا. والثالث من الذي يتصل به فور أن يجد شيئًا خطيرًا، بدل تأجيله إلى التقرير. والرابع من يملك التقرير بعد ذلك، لأن بنكًا أو عميلًا كبيرًا سيطلب رؤيته. واسأل أيضًا إن كانت إعادة الاختبار داخل السعر، فكثيرًا ما لا تكون كذلك ويكتشف الناس ذلك عند الفاتورة.

والتكلفة تتبع أيام العمل لا الأدوات، فموقع صغير يحتاج يومين أو ثلاثة لمختبِر واحد. أما نظام فيه مدفوعات وصلاحيات موظفين وتطبيق للهاتف فيحتاج أسبوعين أو أكثر. وتضع لينكي سوفت لنظم المعلومات هذا البند في ميزانية كل مشروع تطبيق ويب، لأن خطأ يُكتشف في مرحلة الرسم يكلف ساعة، والخطأ نفسه بعد الإطلاق يكلف شهرًا. وإذا كان نظامك يعمل بالفعل ولا أحد يعرف حاله، فمن هنا يبدأ عادة عملنا في الأمن السيبراني.

وتنبيه واحد نكرره لكل عميل في لينكي سوفت هو أن الاختبار لا يثبت إلا ما كان صحيحًا في أيامه. غيّر الكود الشهر المقبل يصبح لديك نظام مختلف، والتقرير النظيف في الدرج لم يعد يصفه.