Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Wanneer worden aanvallen als SQL-injectie of het gebruiken van andere ‘beginnersfoutjes’ in een website strafbaar? Mag je bijvoorbeeld proberen of een site daar gevoelig voor is, of ben je dan ook al strafbaar? Zelf lijkt het me pas terecht om strafbaar te zijn als je dingen vernielt of informatie verspreidt over de kwetsbaarheid.

Antwoord: Volgens de letter van de wet is ook profiteren van een kapitale blunder van een beveiligingsfout strafbaar. Zodra je ergens binnendringt waar je niet hoort te zijn, pleeg je computervredebreuk. Zelfs een onbeveiligd systeem 'kraken' is eigenlijk al strafbaar.

Wanneer het echter gaat om een duidelijk zichtbare fout aan een website, lijkt me er weinig mis mee om dit even te controleren, zolang je maar niet verder gaat dan nodig is om vast te stellen dat de fout er is. Zoals ik al eerder schreef, fouten verifieer je niet met een "; DROP DATABASE" commando.

Na zo'n controle behoor je het bedrijf op de hoogte te stellen zodat zij het lek kunnen repareren. Mochten ze dat niet doen, en vind je het lek nieuwswaardig, dan kun je erover publiceren. Ik adviseer altijd wel terughoudend te zijn met publicatie van concrete exploits of details waarmee anderen het lek kunnen misbruiken. Meestal zijn die niet nodig om te kunnen melden dat het lek bestaat. Een screenshot van het resultaat is in de praktijk genoeg, zeker in combinatie met eigen documentatie waaruit blijkt dat de fout er echt is.

Sommige bedrijven reageren fel op mensen die beveiligingsfouten melden: ze dreigen met rechtszaken of aangifte wegens computervredebreuk nadat iemand heeft ontdekt dat hun beveiliging niet op orde was. Het zal echter niet snel gebeuren dat iemand daadwerkelijk vervolgd wordt voor het ontdekken en rapporteren van een fout, zolang de fout niet is misbruikt en er geen schade is ontstaan.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".