Hacking ético

Hacking ético... curiosas palabras que en el contexto coloquial se traduciría como piratear sistemas de forma legal, aunque como ya hablamos en un artículo anterior, hacker, pirata y delincuente informático no son la misma figura. En el mundo de la seguridad informática, en el underground, representa la posibilidad de mostrar a una víctima cuales son sus debilidades y vulnerabilidades con una prueba visual, no hay nada más impactante, os lo podemos asegurar.

Antes de entrar de lleno en la cuestión, es interesante definir un par de figuras que se relacionan con el término de hacking ético: los hackers de sombrero blanco (white hat) y sombrero negro (black hat). Los hackers de sombrero negro son aquellos que intentan provocar un daño explotando una vulnerabilidad existente en un determinado sistema. Los hackers de sombrero blanco son aquellos que intentan mostrar el daño que causaría la explotación de una determinada vulnerabilidad en un sistema.

Pongámonos en situación, tenemos un sistema Operating System 3000 corriendo en un servidor y un potente ERP llamado MiERP en la máquina también. Al cabo de unas semanas nos llega un correo electrónico de un tal SuperHacker en cuyo interior se encuentra un documento confidencial que ha obtenido aprovechando una vulnerabilidad del sistema, y además nos explica cuales han sido los pasos y como solucionarlo. La pregunta es bien sencilla: ¿denunciamos a SuperHacker por robo de información confidencial e intrusión no autorizada? ¿o bien le contratamos como gestor de seguridad informática?

Este es el dilema del hacking ético desde el punto de vista de la empresa, puesto que cada uno tenemos una opinión al respecto, que en muchas ocasiones se ve influenciada por factores externos: fabricantes de software, organismos, stakeholders,... Para que nos entendamos, las preguntas básicas que se hace un directivo ante esta circunstancia son: ¿Qué es mejor para el negocio? ¿denunciar a SuperHacker, contratarlo o tapar el hecho?

Ahora, vamos a mirar el hacking ético desde el punto de vista del hacker. No existe un único perfil de hacker de sombrero blanco, puede ser un estudiante, un camarero, un profesional del sector,..., cualquiera, puede ser la persona menos pensada que tenemos a nuestro lado, lo único que tienen en común es la pasión por la informática y ganas de compartir los conocimientos adquiridos tras incontables horas de método empírico. Si SuperHacker no muestra a la empresa cuales son las vulnerabilidades de su sistema, el malvado BlackSuperHacker podría usar dichas vulnerabilidades para su propio beneficio y causar enormes daños en la empresa. Menuda situación para SuperHacker si encima recibe por su aportación una denuncia...

Esta es la realidad del hacking ético, obviamente, la solución jurídica o moral a este dilema tienen que decidirla las partes implicadas: empresas, reguladores y hackers, algo bastante complicado cuando la tercera de las partes no tiene un órgano de representación debido a su propia naturaleza.

Saludos,

El equipo de iSoluciones.