IT-pentest: legaal of strafbaar?

In de liefde zijn driehoeksverhoudingen doorgaans ingewikkeld. In IT-security is dat ook zo, of soms zelfs erger. Bij een niet al te complex geautomatiseerd informatiesysteem van een organisatie is vaak een wirwar van partijen betrokken. De problemen die dat oproept zie je bijvoorbeeld wanneer je, een penetratietest op jouw IT-systemen wenst te laten uitvoeren. Sinds jaar en dag plegen organisaties daarvoor ethische hackers of IT-securitybureaus in te schakelen. De contracten voor het uitvoeren van een penetratietest vragen speciale juridische aandacht.

IT-security

De contractuele voetangels en klemmen hangen namelijk samen met de strafbaarheid van hacking. Het Wetboek van Strafrecht noemt dat strafbare feit officieel ‘computervredebreuk’. Daarvan is sprake, zo zegt de wet, als je opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan.

Het spreekt voor zich dat het uitvoeren van een penetratietest erop gericht is om binnen te dringen in IT-systemen. Uiteraard met de bedoeling eventuele beveiligingsgaten in het systeem bloot te leggen (IT-security). In potentie zit een penetratietest dus in de strafrechtelijke gevarenzone. Ethische hackers of IT-security (bureaus) willen niet door justitie in de kraag worden gevat, met een geldboete worden opgezadeld of achter de tralies verdwijnen.

Hoe voorkom je dat strafrechtelijke risico? Van strafbaarheid is geen sprake als de opdrachtgever toestemming geeft tot het binnendringen van het te testen systeem. Door een toestemming komt, zoals dat in juridisch jargon heet, de wederrechtelijkheid te vervallen. Zonder wederrechtelijkheid is er geen strafbaar feit en in zoverre zit je als hacker dan safe.

Toestemming Informatiebeveiliging

Duidelijke toestemming is dus een harde voorwaarde voor een legale penetratietest. Maar aan welke eisen moet zo’n toestemming voldoen? Bij de ‘scope’ van de te beschrijven toestemming is er een legio aan onderwerpen. Uiteraard zal duidelijk moeten zijn hoe lang de toestemming geldt. Wie na het verstrijken van de termijn doorgaat met het penetreren van het systeem handelt eenvoudigweg strafbaar. Het beginmoment en het einde van de dienstverlening van de ethische hacker of het IT-securitybureau moeten dus klip en klaar in het contract zijn vastgelegd.

Ook zal in het contract precies geregeld moeten zijn welke systemen aan de penetratietest onderworpen worden. Zeker wanneer je voor aanvang van de test niet precies weet uit welke deelsystemen het te penetreren geheel bestaat, kan dat contractueel best een lastig punt zijn. Omvat de penetratietest bijvoorbeeld niet alleen een of meer expliciet genoemde stukken software, maar ook de daarbij ingezette firewall? En strekt de toestemming tot de test zich ook uit tot de systeemsoftware die afkomstig is van de hardware-leverancier?

In de praktijk niet minder belangrijk: wordt alleen toestemming gegeven tot het penetreren van systemen die in een testomgeving zijn opgenomen, of ook tot systemen die voor productieve doeleinden in gebruik zijn? Dat laatste levert immers forse operationele risico’s op.

In de contracten over penetratietesten zien we meer dan eens dat de toestemming om binnen te dringen afhankelijk is gemaakt van het gebruik van een specifieke onderzoeksmethode of van een bepaalde hacktool. De toestemming is dan techniek-gerelateerd, wat betekent dat de maker van het contract gedegen kennis moet hebben van de wijze waarop de penetratietest wordt uitgevoerd.