Правила за законно тестване

1. Писмено разрешение

Подписано от лице, което има право да разреши теста върху системата (собственик, оторизиран управител, договор с клиента). Устното съгласие не е достатъчно. Разрешението трябва да съдържа дата, обхват и срок.

2. Точен обхват

• Конкретни IP адреси, диапазони и домейни.
• Изключени системи – например продуктивни бази данни или чужди услуги.
• Видове тестове: сканиране, уеб, социално инженерство, физически достъп – всеки изрично одобрен.

3. Време и контакт

Определен прозорец за тестване и човек, който може да спре теста. Инцидентите се докладват на договорения контакт, не на случаен администратор.

4. Защита на данните

• Не събирай и не съхранявай лични данни извън нужното за отчета (GDPR, чл. 5 и 32).
• Резервно копие на системата преди тест, който може да я промени.
• Отчетът и събраните данни се пазят сигурно и се унищожават по договор.

5. Инциденти

Ако при теста се разкрие пробив или лични данни са засегнати, уведоми клиента веднага. При нарушение на личните данни – надзорният орган (КЗЛД) в рамките на 72 часа (GDPR, чл. 33). Национален център за киберсигурност и CERT Bulgaria приемат съобщения за инциденти.

6. Отчет

Всяка находка: описание, стъпки за възпроизвеждане, оценка на риска (CVSS или подобна), препоръка и срок за отстраняване.

Контролен списък преди тест