Etisk hacking i praktiken

– Vlad-Cosmin Matei om tester som gör skillnad

Cybersäkerhet är inte längre en lyx – det är en nödvändighet. När digitala hot blir allt mer komplexa kan experter som Vlad-Cosmin Matei göra stor skillnad. I denna intervju delar Vlad-Cosmin Matei, penetrationstestare på HiQ, med sig av sina insikter om etisk hacking, sårbarhetsanalyser och varför säkerhet är en lagsport.

Vlad, cybersäkerhet har blivit ett hett ämne i styrelserummen.
Hur hjälper du som penetrationstestare företag att ligga
steget före hoten?

– Min roll handlar om att identifiera risker innan angriparna gör det. Penetrationstestning, eller pentestning, är ett kontrollerat sätt att simulera verkliga cyberattacker för att hitta sårbarheter i system, nätverk och applikationer. Det handlar inte bara om att köra verktyg och hitta brister – det handlar om att förstå hur dessa sårbarheter kan påverka en verksamhet. När vi identifierar luckor ger vi tydliga rekommendationer så att företagen kan stärka sitt försvar. I slutändan handlar det om att minska riskerna och bygga förtroende för systemen de förlitar sig på.

Vad skiljer ett helt okej penetrationstest mot ett riktigt bra?

– Ett riktigt bra penetrationstest levererar inte bara en lista över problem – det ger sammanhang. Det handlar om att koppla sårbarheter till verkliga scenarier och svara på kritiska frågor: Vad kan en angripare göra med denna sårbarhet? Hur sannolikt är det att den utnyttjas? Och vilken är den potentiella affärspåverkan? Ett bra test går bortom den tekniska rapporten och levererar handlingsbara insikter som stämmer överens med företagets prioriteringar och riskaptit.

Att balansera tidsbegränsningar med djupanalyser av system
kan vara en utmaning. Hur hanterar du det i kundprojekt?

– Tidshantering, eller Time Management som man säger är avgörande. Vanligtvis har vi ett bestämt antal timmar för att simulera attacker, så prioritering är kritiskt. Vi fokuserar på högriskområden först – system eller applikationer som är mest exponerade för potentiella hot. Samtidigt måste vi vara flexibla eftersom pentestning sällan är linjärt. Vissa spår leder till återvändsgränder, medan andra avslöjar oväntade sårbarheter. Framgång handlar om att ha en tydlig plan men också att snabbt anpassa sig när ny information framkommer.

Vad är det mest givande med att tackla dessa utmaningar?

– Det mest givande är att veta att vårt arbete direkt förhindrar intrång. Det är tillfredsställande att upptäcka en kritisk sårbarhet, presentera den för kunden och se dem implementera åtgärder som skyddar deras verksamhet. En annan aspekt är det ständiga lärandet – cybersäkerhet är ett område där man aldrig slutar utvecklas. Varje system eller kund ger nya utmaningar, och det gör arbetet spännande och omväxlande.

För organisationer som investerar i cybersäkerhet, var ser
du de vanligaste luckorna?

– En av de största luckorna är att underskatta vikten av regelbundna tester. System utvecklas, nya funktioner läggs till, och angripare utvecklar nya tekniker. Ett penetrationstest är inte en engångsinsats – det behöver vara en del av en pågående säkerhetsstrategi. En annan vanlig brist är att man förbiser den mänskliga faktorn. Många intrång börjar med social ingenjörskonst eller svaga lösenord, så att investera i utbildning och medvetenhet är minst lika viktigt som att säkra den tekniska sidan.

Det finns många verktyg, som ”Hack the Box”. Hur hjälper
sådana verktyg att hålla dina skills skarpa?

– Plattformar som PortSwigger Labs är utmärkta för att hålla sig uppdaterad om de senaste attackmetoderna och försvarsstrategierna. De ger realistiska scenarier där man kan testa tekniker i en säker miljö. Det är en sandlåda för experimentering och ett sätt att se till att ens färdigheter inte bara håller jämna steg utan ligger steget före. I cybersäkerhet är angriparna alltid innovativa, så vi försvarare måste vara minst lika proaktiva.

För företags om överväger ett penetrationstest, vad ska man
leta efter hos en partner?

– Leta efter ett team som går bortom att bara bocka av rutor. Rätt partner ska vara samarbetsvillig, djupt kunnig och fokuserad på att förstå just dina affärsbehov. En bra penetrationstestare tänker inte bara som en angripare – de tänker som din angripare, med hänsyn till din bransch, dina system och dina unika risker. Transparens är också avgörande – kunderna ska känna att de får insikter, inte bara en teknisk rapport.

Okej, en sista fråga: Vad är nästa steg för dig inom cybersäkerhet?

– Landskapet förändras ständigt, och jag är särskilt intresserad av hur AI och automatisering påverkar både attacker och försvar. Mitt fokus ligger på att ligga steget före dessa trender och fortsätta hjälpa kunder att navigera i denna komplexa miljö. Varje nytt projekt är en chans att lära, anpassa sig och bidra till ett säkrare digitalt ekosystem.

Vill du ta del av fler insikter? Besök vår knowledge hub eller kontakta oss!