Spelregels / v1.0
Spelregels: wij testen alleen met jouw schriftelijke toestemming.
Spelregels, in het Engels rules of engagement, zijn de schriftelijke afspraken van een pentest: wat er getest mag worden, wanneer, hoe en door wie, en hoe je de test stopt. Onze spelregels beginnen bij één regel: wij testen alleen wat de eigenaar schriftelijk heeft toegestaan1. De andere zeven zeggen hoe wij ons binnen die toestemming gedragen.
§02 / Acht regels
De regels, als beloften waar je ons aan kunt houden
Eerst schriftelijke toestemming.
Van de eigenaar van het systeem, voordat er iets getest wordt. Voor een systeem dat een leverancier voor je host, is ook de toestemming van die leverancier nodig; wij leveren de vrijwaringsverklaring en regelen het papierwerk samen met je.
§03 / De verklaring
Wat de vrijwaringsverklaring vastlegt
De vrijwaringsverklaring is kort en concreet. Zij maakt van een test een toegestane test, dus elk onderdeel hieronder is ingevuld voordat wij beginnen.
- Systemen
- De applicaties, API’s, hosts, accounts en AI-assistenten in scope, met hun tools en de gegevensbronnen die ze lezen.
- Uitsluitingen
- Wat buiten de scope valt, net zo precies benoemd als wat erbinnen valt.
- Testvenster
- De data en tijden waarop we testen, met de tijdzone.
- Ons verkeer
- De adressen waarvandaan wij testen, zodat je team ons verkeer kan onderscheiden van dat van anderen.
- Soorten tests
- Wat is toegestaan en wat een apart ja nodig heeft: productie, load, alles wat destructief kan zijn.
- Contactpersonen
- Mensen met naam aan beide kanten, met telefoonnummers, voor vragen en voor de stopregel.
- Derden
- Schriftelijke toestemming van elke leverancier die een systeem in scope host.
- Handtekening
- Van iemand aan jouw kant die bevoegd is de toestemming te geven.
§04 / Documenten
Sjablonen
- VrijwaringsverklaringDe verklaring hierboven, als sjabloon.Nog niet gepubliceerd
- Wederzijdse geheimhoudingsovereenkomstVertrouwelijkheid in beide richtingen, voordat het scopinggesprek de diepte in gaat.Nog niet gepubliceerd
- VerwerkersovereenkomstHoe wij persoonsgegevens in je systemen behandelen terwijl we ze testen.Nog niet gepubliceerd
Deze sjablonen verschijnen hier zodra een jurist ze heeft beoordeeld.
Klaar wanneer jij dat bent
De werkwijze legt uit wat er binnen deze regels gebeurt. Het formulier begint bij wat je getest wilt hebben.
Jouw kant van de voorbereiding, stap voor stap (Engels): hoe je je voorbereidt op een pentest.