渗透测试 - 法律问题

在允许他人测试敏感数据之前，公司通常会采取措施来保障数据的可用性、机密性和完整性。为了达成此协议，法律合规是组织的必要活动。

在建立和维护安全和授权系统时必须遵守的最重要的法律法规，以下列出了在实施渗透测试时的相关内容。

法律问题有哪些？

以下是测试人员和客户之间可能出现的一些问题：

• 测试人员对客户而言是未知的——那么，他应该以什么理由获得敏感数据的访问权限呢？

• 谁来担保丢失数据的安全？

• 客户可能会将数据丢失或机密性问题归咎于测试人员。

渗透测试可能会影响系统性能，并可能引发机密性和完整性问题；因此，即使是内部员工进行的内部渗透测试，获得书面许可也至关重要。在开始测试之前，测试人员和公司/组织/个人之间应该达成书面协议，明确所有关于数据安全、披露等方面的问题。

在任何测试工作开始之前，都应制定并由双方签署一份**意向声明**。其中应明确规定工作的范围，以及在执行漏洞测试时可能进行或可能不进行的操作。

对于测试人员来说，重要的是要知道谁拥有正在请求其工作的业务或系统，以及测试系统与其目标之间可能受渗透测试影响的基础设施。其目的是确保：

• **测试人员**拥有书面许可，并明确定义参数。

• **公司**拥有其渗透测试人员的详细信息，并保证其不会泄露任何机密数据。

法律协议对双方都有利。记住，法规因国家而异，因此请了解您所在国家的法律。只有在考虑相关法律后才能签署协议。