Warunki autoryzowanych testów bezpieczeństwa

Upoważnienie i zakres

• klient musi być dysponentem zasobu albo przedstawić jednoznaczną zgodę dysponenta;
• zgody chmury, hostingu, SaaS i innych third parties są obowiązkiem klienta;
• RoE wskazuje dokładne zasoby, metody, czas, limity, wyłączenia i kontakty awaryjne;
• zmiana zakresu wymaga jawnej akceptacji obu stron; brak odpowiedzi nie jest zgodą.

Domyślne wyłączenia

Bez rozszerzonego RoE zakazane są DoS/stress test, social engineering, malware i persistence, destrukcja, pobranie ponad minimalny dowód, łamanie haseł, pivot poza zakres oraz testy systemów life-safety, OT/ICS i infrastruktury krytycznej. Funkcje synthetic/rehearsal nie mogą zostać użyte jako wykonanie produkcyjne.

Dowody i stop-test

Tester ogranicza dostęp do minimum, redaguje sekrety i nie kopiuje całych baz jako dowodu. Każda strona może natychmiast zatrzymać test. Awaria, utrata danych, nieoczekiwany dostęp, third party, aktywny incydent lub niejasny zakres wymagają przerwania do jawnej decyzji wskazanych osób.

Granica prawna

Upoważnienie obowiązuje tylko między stronami i w dokładnym RoE. Nie wiąże właściciela, dostawcy ani organu, który nie udzielił zgody. Przepisy dotyczące badań bezpieczeństwa nie są blankietowym safe harbor. Wątpliwość zawsze oznacza wstrzymanie.