Responsible disclosure: nabuurschap 2.0

Wat doe je als je als buitenstaander een lek vindt in het systeem van een bedrijf? Dan meld je dat aan het betreffende bedrijf. Dat heet responsible disclosure, gewetensvol hacken.

Floor Terra (24) is freelance softwareontwerper en hacker. Als Terra een lek vindt, meldt hij dit direct bij het betreffende bedrijf. Vervolgens geeft hij het bedrijf een bepaalde tijd om het lek te dichten, alvorens hij erover publiceert om de klanten van dat bedrijf in te lichten.

Terra is een moderne klokkenluider. "Soms kom ik dingen tegen waar ik helemaal niet om gevraagd heb, waar ik niet naar zocht, maar dan wil ik er wel iets mee doen." Klokkenluiders worden niet altijd met open armen ontvangen, en Terra dus ook niet. Bedrijven reageren vaak panisch als Terra hen vertelt over een lek in hun systeem. "De meeste bedrijven doen het technisch vrij goed en dan vergeten ze een klein ding wat resulteert in een lek, dan is het heel vervelend om dat toe te geven," aldus Terra.

Inlichten

Ook het feit dat Terra van de bedrijven verlangt dat ze hun klanten inlichten als het lek is gedicht, wordt als pijnlijk ervaren: "Bedrijven zijn ontzettend bang om in de media te komen vanwege een lek", aldus Terra. De software-ontwikkelaar vindt deze angst ongegrond." Je kunt als bedrijf juist een positieve boodschap vertellen, waarmee je laat zien dat je erbovenop zit: er was een klein lek en dat is meteen verholpen."

Marko van Zwam, die leiding geeft aan het Deloitte Security & Privacy team, onderkent dat hackers zoals Floor Terra een nuttige rol kunnen vervullen in veiliger maken van het internet. “Als dit soort moderne klokkenluiders iets vinden, kun je dat als bedrijf beter serieus oppakken in plaats van je kop in het zand steken. De realiteit laat echter zien dat bedrijven met dit soort meldingen enorm worstelen en zelfs rechtszaken dreigen aan te spannen."

"Talloze software bedrijven, zoals Oracle, en Microsoft, maken effectief gebruik van responsible disclosure. In de online dienstverlening zie je dat Google en Facebook ook de stap gezet hebben. Dichterbij huis is Marktplaats een goed voorbeeld van hoe je als organisatie op een positieve wijze om kan gaan met hackers”.

Paniek

Terra brengt informatie over het lek niet naar buiten als het nog niet gedicht is. "Dan kan er alleen maar paniek uitbreken, mensen kunnen zich er niet tegen verdedigen. Het is beter dat de mensen die er wat aan kunnen doen, het verhelpen en vervolgens een patch (software-update dat het probleem verhelpt, red) uitbrengen. Maar publiceer achteraf wel wat je gevonden hebt, zodat mensen een software-update kunnen doen."

Bedrijven die niet reageren, hebben een slechte aan Terra: "Als een bedrijf het lek niet dicht, vertel ik het wel tegen iedereen, dan hoop ik dat ze onder de publieke druk zullen zwichten."

Terra trekt ten strijde tegen de onwetendheid in het bedrijfsleven en bij de overheid over responsible disclosure. Hij gaat de barricaden op uit maatschappelijke betrokkenheid. Eigenlijk is dat ook een vorm van responsible disclosure.