Begin dit jaar kreeg België een nieuw wettelijk kader voor ethisch hackers die kwetsbaarheden in netwerken en systemen in België willen opsporen en rapporteren, maar vragen blijven, zo stellen onderzoekers van de KU Leuven. "De basisprincipes draaien rond het respecteren van de proportionaliteit en noodzaak: de onderzoeker mag enkel handelingen uitvoeren die noodzakelijk zijn om het bestaan van de kwetsbaarheid aan te tonen", zo legt het Centrum voor Cybersecurity België (CCB). uit.

Tenzij er vooraf een beloning is afgesproken is, zoals bijvoorbeeld bij een bugbountyprogramma of een afgesproken penetratietest, mag de onderzoeker geen beloning of betaling eisen. Eén van de nieuwe bepalingen is dat een ontdekte kwetsbaarheid zo snel mogelijk gemeld moet worden aan de verantwoordelijke eigenaar van het kwetsbare systeem en daarna bij het CCB. Alleen na toestemming van de Belgische overheidsinstantie mag de ontdekte kwetsbaarheid openbaar worden gemaakt.

Er blijven echter vragen bestaan over de precieze afbakening tussen legale (ethische) hacking en illegale hacking. "De nieuwe wet gebruikt namelijk de vrij open termen ‘noodzakelijk en evenredig’ om te beschrijven welke activiteiten nu zijn toegestaan", aldus onderzoekers van de KU Leuven die op persoonlijke titel spreken. "Noodzakelijkheid en proportionaliteit zullen altijd afhangen van de concrete situatie waardoor het soms moeilijk te voorspellen is welke technieken wel en niet gebruikt kunnen worden voor ethisch hacken."

Daarnaast mist de wet bepaalde bepalingen als het gaat om het informeren van het publiek over gevonden kwetsbaarheden. Ethische hackers kunnen hun bevindingen niet publiceren zonder toestemming van het CCB, maar er zijn geen aanvullende regels over hoe en wanneer het CCB die toestemming moet geven. "Dit kan ethische hackers beperken om het publiek te waarschuwen voor een kwetsbaarheid in gevallen waarin de organisatie deze niet wil of kan verhelpen."

Toch verwachten de onderzoekers dat de nieuwe wet het werk van ethische hackers eenvoudiger zal maken en zal helpen bij het blootleggen van kwetsbaarheden. "Uiteindelijk zal alleen de tijd leren in hoeverre de baanbrekende poging van België om ethisch hacken te legaliseren de cyberveiligheid in België daadwerkelijk verbetert", zo concluderen ze.