倫理的ハッカーを雇う方法

ホワイトハット」とも呼ばれる倫理的ハッカーを雇うことで、DDoS攻撃やフィッシング詐欺などの脅威からビジネスを守ることができます。御社のインターネット・テクノロジーにおけるセキュリティ侵害を発見し、修正するための有能な候補者を見つけるお手伝いをいたします。

パート1

ポジションを埋める

1. 無防備でいることのリスクを評価する。既存のITチームに固執することで、コストを節約しようとする誘惑に駆られるかもしれません。しかし、専門的なバックアップがなければ、あなたの会社のITシステムは、平均的なコンピュータの専門家にとってはあまりにも巧妙な攻撃に対して脆弱になってしまいます。このような攻撃が一度でもあれば、企業の財務や評判に深刻なダメージを与えることになります。

   • オンライン・データ侵害のセキュリティ確保と後始末にかかる費用は、平均で約400万ドルです。
   • ホワイトハットを雇うことは、保険に入ることと同じだと考えてほしい。彼らのサービスがいくらであろうと、安心のために支払う代償は小さい。
2. 自社のサイバーセキュリティ・ニーズを特定する。インターネット防御を強化する必要があると決めるだけでは十分ではない。外部の専門家を雇うことで何を達成したいのか、ミッション・ステートメントを作成しましょう。そうすることで、あなたと候補者の双方が、彼らの職務について明確な考えを持つことができます。

   • 例えば、あなたの金融会社では、コンテンツ・スプーフィングやソーシャル・エンジニアリングからの保護を強化する必要があるかもしれませんし、新しいショッピング・アプリでは、顧客がクレジットカード情報を盗まれるリスクがあるかもしれません。
   • あなたのステートメントは、一種の逆カバーレターとして機能するはずです。ポジションを宣伝するだけでなく、求めている具体的な経験も記述する。そうすることで、カジュアルな応募者を排除し、その仕事に最適な人材を見つけることができます。
3. 競争力のある給与を提示する準備をすること。倫理的ハッカーを味方につけることは賢明な行動ですが、決して安いものではありません。PayScaleによると、ほとんどのホワイトハットは年収7万ドル以上を期待できる。繰り返しになるが、彼らが行う仕事には、彼らが求めるだけの価値があることを肝に銘じておくことが重要だ。それは、あなたがしないわけにはいかない投資である可能性が高い。

   • あなたの会社が利益を上げるために依存しているITシステムに穴が開くことに比べれば、給料の高騰は小さな経済的後退だ。
4. ハッカーを仕事単位で雇えるかどうか調べてみよう。ITスタッフにホワイトハットをフルタイムで配置する必要はないかもしれない。目的説明の一部として、外部侵入テストやセキュリティ・ソフトウェアの書き換えなど、主要なプロジェクトの先頭に立ってくれるコンサルタントを探していることを明記する。こうすることで、継続的に給与を支払うのではなく、1回限りのリテイナーを支払うことができる。

   • フリーランスのハッカーや、資格を取得したばかりのハッカーには、変わったコンサルティングの仕事がぴったりかもしれない。
   • サイバーセキュリティの専門家のパフォーマンスに満足すれば、将来のプロジェクトで再び一緒に仕事をする機会を提供することができます。

パート 2

資格のある候補者を探し出す

1. 認定エシカル・ハッカー（CEH）資格を持つ候補者を探しましょう。International Council of Electronic Commerce Consultants（略称EC-Council）は、倫理的ハッカーに対する需要の高まりに対応し、倫理的ハッカーの育成と就職支援を目的とした特別な認定プログラムを策定しました。面談したセキュリティ専門家が公式のCEH認定を取得していれば、その専門家が暗い地下室で技術を学んだ人ではなく、本物であることを確信できる。

   • ハッキング資格の確認は難しいものですが、候補者は他のすべての応募者と同じ厳しい基準に従わなければなりません。
   • CEH認定の証明を提出できない人物の採用は避けましょう。第三者が保証してくれないので、リスクが高すぎるのです。
2. オンラインの倫理的ハッカー・マーケットプレイスを閲覧する。Hackers ListやNeighborhoodhacker.comのようなサイトのリストを見てみましょう。MonsterやIndeedのような一般的な求人検索プラットフォームと同様に、これらのサイトは、自分のスキルを活かす機会を求めている適格なハッカーからのエントリーをまとめている。これは、より伝統的な採用プロセスに慣れている雇用主にとって、最も直感的な選択肢かもしれない。

   • エシカル・ハッカー・マーケットプレイスでは、合法的で資格のあるスペシャリストのみを紹介しているため、安心して生活を送ることができる。
3. オープンなハッキングコンテストを開催する。雇用主が候補者を惹きつけるために使い始めた楽しいソリューションの1つは、競合他社同士を対決させるハッキング・シミュレーションです。このようなシミュレーションはビデオゲームをモデルにしたもので、一般的な専門知識と迅速な判断力を試すように設計されています。コンペティションの勝者は、あなたが求めていたサポートを提供してくれるかもしれません。

   • 技術チームに、一般的なITシステムをモデルにした一連のパズルを作らせるか、サードパーティの開発者から、より洗練されたシミュレーションを購入しましょう。
   • 自社でシミュレーションを作成するのは労力や費用がかかりすぎるという場合は、グローバル・サイバーリンピックのような国際的なコンテストで優勝したことのある人に連絡を取ってみるのもよいでしょう。
4. ハッキング対策を担当するスタッフを育成する。ホワイトハットがCEH資格を取得するために利用しているEC-Councilのプログラムには、誰でも自由に登録することができる。そのような注目度の高いポジションを社内で維持したいのであれば、現在のIT従業員の1人をコースに参加させることを検討してください。このコースでは、侵入テストのテクニックを学び、それを使って情報漏えいを探ります。

   • プログラムは5日間の実践クラスで構成され、最終日に4時間の総合試験が行われる。合格するには、70％以上の得点を取らなければならない。
   • 受験料は500ドルで、独学で勉強する場合は100ドルが追加される。

パート3

エシカル・ハッカーをビジネスに導入する

1. 徹底的な身元調査を行う。候補者を給与名簿に載せることを考える前に、徹底的に調査する必要があります。人事部や外部の組織に彼らの情報を送り、何が出てくるか見てみましょう。過去の犯罪行為、特にオンライン犯罪に関わるものには特に注意を払ってください。

   • 身辺調査の結果、犯罪行為が見つかった場合は、赤信号と考えるべきでしょう（おそらく失格の理由となります）。
   • 信頼関係はどのような仕事関係においても重要です。その人を信頼できなければ、どんなに経験豊富であっても、あなたの会社にはふさわしくありません。
2. 候補者と徹底的に面接する。候補者が無事に身元調査を通過したら、次のステップは面接です。例えば、「倫理的ハッキングに携わるようになったきっかけ」、「他の有給の仕事をしたことがあるか」、「脅威をスクリーニングし、無効化するためにどのようなツールを使っているか」、「外部からの侵入攻撃から当社のシステムを守る方法の例を挙げてほしい」などです。

   • 電話やメールに頼るのではなく、直接会って、応募者の人柄を正確に把握しましょう。
   • 懸念が残る場合は、経営陣の別のメンバーと 1 回以上のフォローアップ面接を予定して、セカンド・オピニオンを得られるようにする。
3. サイバーセキュリティの専門家を任命し、開発チームと緊密に連携させる。今後、IT チームの最優先事項は、サイバー攻撃の後始末ではなく、サイバー攻撃を防ぐことであるべきです。 この協力を通じて、貴社のオンライン・コンテンツを作成する人々は、より安全なコーディングの実践、より徹底的な製品テスト、詐欺師を出し抜くためのその他のテクニックを学ぶことができます。

   • 倫理的なハッカーが新機能の一つひとつをチェックすることで、開発プロセスは多少遅くなるかもしれませんが、彼らが考案する新しい強固なセキュリティ機能は、その遅れに見合うものになるでしょう。
4. サイバーセキュリティがあなたのビジネスにどのような影響を与えるかについて、自分自身で情報を得ること。ホワイトハットの豊富な知識を活用し、ハッカーがよく使う手口の種類について少し学びましょう。サイバー攻撃がどのように計画され、実行されるかについて理解を深めることで、攻撃を察知できるようになります。

   • コンサルタントに、彼らが発見したことについて定期的に詳細なブリーフィングを提出するよう依頼する。ブラッシュアップのもう一つの方法は、ITチームの助けを借りて調査結果を分析することです。
   • 雇ったハッカーには、彼らが実施している対策について説明するように促しましょう。
5. 雇ったハッカーを注意深く監視すること。彼らが不正なことを試みる可能性は低いですが、可能性の範囲外ではありません。ITチームの他のメンバーにも、セキュリティ状況を監視し、以前はなかった脆弱性を探すように指示してください。あなたの使命は、何としてもビジネスを守ることです。脅威は外部だけでなく内部からも来る可能性があるという事実を見失わないでください。

   • 彼らの正確な計画や方法をあなたに説明しようとしないのは、警告のサインかもしれません。
   • 外注スペシャリストがあなたのビジネスに害を及ぼしていると疑うに足る理由があれば、躊躇せずに彼らの雇用を打ち切り、新しいスペシャリストを探しましょう。

この記事は、CC BY-NC-SAの下で公開された「 How to Hire an Ethical Hacker 」を改変して作成しました。特に断りのない限り、CC BY-NC-SAの下で利用可能です。