Co musi zawierać upoważnienie do testów bezpieczeństwa

Dlaczego zgoda ustna nie wystarcza

Wysłanie zapytania do cudzego systemu bez zgody jego właściciela jest problemem prawnym, a nie kwestią dobrych obyczajów. Zgoda ustna nie rozstrzyga, na co dokładnie się umówiono.

W praktyce spór nigdy nie dotyczy tego, czy zgoda była. Dotyczy tego, czy obejmowała środowisko produkcyjne, czy wolno było wysłać tysiąc zapytań na minutę i czy testowane konto miało prawo zobaczyć te dane.

Dobre upoważnienie odpowiada na te pytania zawczasu, na piśmie, i chroni obie strony. Zlecającego przed tym, że ktoś zrobi coś, na co się nie umawiał. Wykonawcę przed zarzutem, że działał bez podstawy.

Kto podpisuje

Osoba, która faktycznie może dysponować systemem. To brzmi oczywisto, a jest najczęstszym błędem.

Jeśli agencja zleca sprawdzenie systemu swojego klienta, potrzebna jest zgoda klienta, a nie agencji. Agencja bywa autorem kodu i nie jest przez to właścicielem środowiska, w którym ten kod działa.

Przy systemie kupionym od dostawcy zgoda musi pochodzić od dostawcy, chyba że umowa wprost dopuszcza testy przez klienta.

Co obejmuje

Konkretne adresy, repozytoria, projekty i bazy. Wypisane z nazwy.

Sformułowania w rodzaju „cała infrastruktura” albo „systemy firmy” nie są zakresem, tylko jego brakiem. Nie da się na ich podstawie stwierdzić, czy testowanie akurat tego serwera było objęte zgodą.

Które środowisko

Testowe, przedprodukcyjne czy produkcyjne. To zmienia wszystko: porę wykonania, dopuszczalne obciążenie, sposób postępowania z danymi i to, czy w ogóle wolno cokolwiek zapisać.

Jeśli zgoda obejmuje wyłącznie środowisko przedprodukcyjne, wynik dotyczy wyłącznie tego środowiska i raport musi to powiedzieć wprost.

Jakie testy i okno czasowe

Poziom testów, od zwykłego oglądania tego, co publiczne, po testy wykonujące realne zapytania do działającego systemu.

Okno czasowe z datą początkową i końcową. Po tej dacie upoważnienie wygasa. U nas nie jest to zapis w segregatorze: zadanie bez aktywnego upoważnienia technicznie nie wchodzi do kolejki.

Limity i działania zabronione

Maksymalna liczba zapytań w jednostce czasu, dozwolone konta testowe, dozwolone metody.

Osobno wypisane rzeczy, których nie wolno, nawet gdyby były technicznie możliwe. Typowo: zmiana danych produkcyjnych, testy odmowy usługi, socjotechnika wobec pracowników.

Kontakt awaryjny i sposób zatrzymania

Osoba i kanał dostępny w czasie testów. Nie adres ogólny firmy, tylko ktoś, kto odbierze.

Sposób natychmiastowego przerwania testów, bez uzasadnienia i bez procedury. Jedna wiadomość ma wystarczyć. Jeśli zatrzymanie wymaga zgody trzech osób, w praktyce nie istnieje.