La batalla legal y ética en ciberseguridad es controversial. Etiquetas como hacking, o hacker pueden ser asumidas con connotaciones negativas, especialmente en la cultura pop, gracias a ciertas personas.
Recuerda que un pentest es una auditoría autorizada de un sistema computacional y sus sistemas de seguridad y defensa. Esto se realiza mediante un acuerdo entre la parte auditada y la parte auditora. Cualquier término que caiga fuera de este se considera no autorizado. El alcance legal se conoce como scope. El debate es puramente ético, pues aunque una acción sea legal igual no es ética.
Los hackers se dividen en tres categorías, que se conocen como sombreros: blanco, gris y negro.
| Categoría de Sombrero | Descripción | Ejemplo |
|---|---|---|
| White Hat | Se consideran buenas personas. Se mantienen dentro del marco legal y utilizan sus habilidades para beneficiar a otros. | Un pentester realizando un escaneo autorizado a una compañía. |
| Grey Hat | Usan sus habilidades para beneficiar a otros a menudo. Sin embargo no siempre se rigen por los límites legales o éticos. | Alguien tumbando un sitio web fraudulento o de estafas. |
| Black Hat | Son criminales y suelen buscar dañar a organizaciones o ganar beneficio económico a costa de otro. O simplemente hacer el mal. | Autores de un ataque de ransomware piden rescate por la información que secuestraron. |
Reglas del Escaneo (ROE)
Es el documento que se crea en la fase inicial del pentesting. Consiste de tres secciones. El instituto SANS tiene un ejemplo del documento que puedes ver aquí o en la siguiente página.
| Sección | Descripción |
|---|---|
| Permiso | Esta sección del documento da permiso explícito para llevar a cabo el test. Es esencial para protegerse de cualquier problema legal resultante. |
| Alcance | Detallará objetivos específicos. |
| Reglas | Definirá exactamente las técnicas permitidas durante el test. |