Security draait om vertrouwen. Voordat we iets testen, moet je bereid zijn te laten zien waar je zwakste plekken zitten. Je team moet zich vrij voelen om eerlijk te vertellen wat er werkelijk speelt: het systeem dat niemand heeft bijgewerkt of die tijdelijke oplossing die er drie jaar later nog steeds staat.
Daarom hebben we het bedrijf rond vertrouwen opgebouwd. We voeren eerlijke gesprekken voordat we beginnen, spreken vooraf een duidelijke scope af en zorgen dat er geen verrassingen zijn over wat we doen of wat we vinden.
Daarnaast hebben we jarenlang op plekken waar die boodschap niet altijd welkom was hetzelfde standpunt verdedigd: hackers die te goeder trouw een kwetsbaarheid melden, verdienen bescherming in plaats van wantrouwen.
Die strijd is gewonnen. De Nederlandse richtlijnen voor responsible disclosure en later voor Coordinated Vulnerability Disclosure maakten duidelijk dat iemand die zorgvuldig meldt, binnen redelijke grenzen blijft en niet direct naar de pers stapt, niet als crimineel behandeld moet worden. We hebben bijgedragen aan de totstandkoming daarvan. De foto van onze CTO staat zelfs in de richtlijn.
<Lees ons blog over de totstandkoming van CVD>
Waarom is dat voor jou belangrijk? Omdat dit ervoor zorgt dat een inwoner, leverancier of volslagen onbekende veilig kan melden dat er iets mis is met je systemen. En dat jij die melding veilig kunt ontvangen.
Wat komt als eerste bij je op als je het woord ‘hacker’ hoort? Een donkere kelder en iemand met een hoodie? Of die vriend van school die werkelijk alles kon repareren?
De sector heeft jarenlang vriendelijker klinkende termen bedacht: white hat hacker, ethische hacker, security researcher. Stuk voor stuk zijn het voorzichtige verontschuldigingen voor het woord dat eronder ligt.
Daar zijn we klaar mee. Wij gebruiken bewust het oorspronkelijke woord.
Ons netwerk past in geen enkel stereotype. Het maakt niet uit hoe je eruitziet, waar je vandaan komt of wat je hebt gestudeerd. Wat telt, is een nieuwsgierige geest die iets opmerkt wat er niet hoort te zijn. En de keuze om dat talent voor iets goeds te gebruiken, al lang voordat iemand met ons in contact kwam.
Voor alle duidelijkheid over hoe dit in de praktijk werkt: de hackers in jouw programma worden individueel geselecteerd voor jouw opdracht. Dat gebeurt op basis van hun vaardigheden, staat van dienst en aansluiting bij jouw omgeving. Ze werken binnen een afgesproken scope en volgens regels die iedereen heeft ondertekend. We zetten niet zomaar de deur open om te zien wie er binnenloopt.