Działanie może być twórcze, obronne, szkodliwe lub bezprawne — zależnie od autoryzacji, zamiaru, metody i skutku. Hacking etyczny to autoryzowane testowanie lub badania bezpieczeństwa prowadzone w celu identyfikacji i odpowiedzialnego zgłaszania słabości przy minimalizacji szkód.
Słowo „etyczny" nie zastępuje zgody. Odpowiedzialna praca zaczyna się od udokumentowanego upoważnienia właściciela systemu i jasnych granic dotyczących celów, technik, harmonogramu, postępowania z danymi, komunikacji, warunków przerwania i raportowania.
Najważniejsze punkty
AutoryzacjaPotwierdź, kto może zatwierdzić prace, które systemy i konta obejmują, jakie warunki dostawców lub stron trzecich się stosuje, dozwolone techniki, okna testowe i kontakty awaryjne.
Kontrola działańUżywaj najmniej szkodliwej metody, która odpowiada na pytanie, chroń napotkane dane, unikaj niepotrzebnego utrwalania się lub zakłóceń, zachowuj dowody i zatrzymaj się na uzgodnionych progach.
Odpowiedzialne raportowanieWyjaśnij reprodukowalne ustalenia, dowody, realistyczny wpływ, niepewności i sposób naprawy; przestrzegaj uzgodnionego procesu ujawniania i bezpiecznie usuń dane testowe lub dostęp na żądanie.
Istotne ograniczenieDobre intencje, publiczny cel czy określenie siebie mianem etycznego hakera nie tworzą autoryzacji ani powszechnej ochrony prawnej. Przepisy i polityki „safe harbor" różnią się między systemami i jurysdykcjami; w razie niepewności granic zasięgnij porady prawnej.