滲透測試 - 法律問題

在允許他人測試敏感資料之前，公司通常會採取措施來保障資料的可用性、機密性和完整性。為了達成此協議，法律合規是組織的必要活動。

在建立和維護安全和授權系統時必須遵守的最重要的法律法規，以下列出了在實施滲透測試時的相關內容。

法律問題有哪些？

以下是測試人員和客戶之間可能出現的一些問題：

• 測試人員對客戶而言是未知的——那麼，他應該以什麼理由獲得敏感資料的訪問許可權呢？

• 誰來擔保丟失資料的安全？

• 客戶可能會將資料丟失或機密性問題歸咎於測試人員。

滲透測試可能會影響系統性能，並可能引發機密性和完整性問題；因此，即使是內部員工進行的內部滲透測試，獲得書面許可也至關重要。在開始測試之前，測試人員和公司/組織/個人之間應該達成書面協議，明確所有關於資料安全、披露等方面的問題。

在任何測試工作開始之前，都應制定並由雙方簽署一份**意向宣告**。其中應明確規定工作的範圍，以及在執行漏洞測試時可能進行或可能不進行的操作。

對於測試人員來說，重要的是要知道誰擁有正在請求其工作的業務或系統，以及測試系統與其目標之間可能受滲透測試影響的基礎設施。其目的是確保：

• **測試人員**擁有書面許可，並明確定義引數。

• **公司**擁有其滲透測試人員的詳細資訊，並保證其不會洩露任何機密資料。

法律協議對雙方都有利。記住，法規因國家而異，因此請了解您所在國家的法律。只有在考慮相關法律後才能簽署協議。